ArtPlayer/refactor/changes/2026-09-13-PKG-AUTO-THUMB-01-contract.md

PKG-AUTO-THUMB-01 发布和行为契约

固定 npm 三份真实归档/16成员、8份Git工作区输入，补可重跑归档验证与38项契约测试。 捕获1.0.0缺main/legacy，1.0.1 CJS default对象与1.1.0直接函数的差异。 首次类型断言发现1.0.x实际声明height而非number；测试改为分别锁定真实历史版本， 没有将旧类型假设覆盖到实际文件。原始下载和最终测试日志保存在.cache。

冻结正常异步注册、name、活参数/defaults、十列布局、帧时间、渐进JPEG更新和URL替换。 声明的同步Result、无效height、旧导出形状和资源/异步缺陷登记为后续任务风险。 1.0.0随包源码只作为source-only行为夹具，不冒充缺失的npm运行入口。 npm1.1.0六个成员与冻结工作区对应文件按LF相同；不声称Git关联核心等于已验支持范围。

契约索引新增三个发布点，22工作区+20实际发布；264家族和10精确case数量不变， 没有自动把新测试提升为最终核心/设备/分发验收。新增测试由既有test:baseline自动执行， 无需新增依赖。生产源码/声明/示例/包版本/构建文件不变，无需为纯基线任务重建。

见完整契约和 验证证据。 回退此任务提交即可去掉本次基线及索引/风险记录，不影响生产行为；不推送、不发布。

最终47项定向检查、完整CI1702项（1456单元+14工程+232基线）和339个生产TS严格检查通过。 五项风险保持open，后续独立任务承接；本任务独立本地提交。