Пункты 9.5–9.7 docs/react-labs-redesign.md.

React Router 7.18.0 → 8.3.0: закрыта high-уязвимость GHSA-qwww-vcr4-c8h2
(CSRF bypass в RSC-режиме). Пакет нигде не импортируется, апгрейд мажорной
версии ничего не ломает. React и React DOM 19.2.7 → 19.2.8 по базовой
линии из раздела 4.2. npm audit --audit-level=high — чисто.

Добавлен реально работающий lint-gate: eslint.config.js с typescript-eslint
и react-hooks, скрипт lint и его подключение в check. README больше не
заявляет проверку, которой нет в скриптах.

Единственное нарушение правил хуков было в эталоне effects_refs: чтение
внешнего источника через useEffect + setState. Заменено на
useSyncExternalStore — подписка симметрична, лишнего рендера после
монтирования нет. Открытый тест не менялся и проходит, starter
по-прежнему красный.

В CI добавлены job security и запуск lint, в allowlist LAB_TEST_PATH —
js_state_foundations.

npm run check и npm audit --audit-level=high зелёные: 38 тестов, 26 файлов.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>