修复 Mac 包校验脚本对合法随包 npm 的误判

- check-macos-bundle 的「包里不得出现 node_modules」门禁只放行了 game-runtime/node/node_modules/npm，但 recursive readdir 会把目录项 game-runtime/node/node_modules 也列出来，于是合法包必然断言失败
- 这条门禁是 #439 引入的，之后每次构建都死在更早的阶段（staging/测试），直到 2026-09-21 arm64 单架构跑通才第一次走到它：12:58、13:24、13:43 三轮都挂在这里
- 修复：放行 npm 目录自身、其子树与它的上级 node_modules 容器目录；已用真实 arm64 产物跑通完整 smoke（资源、架构、摘要、权限、Codex 正式查找、app-server 握手、缺组件拒绝全部通过）

apps/ai-game-creator-shell/scripts/check-macos-bundle.mjs

@@ -287,6 +287,13 @@ try {
   ]) {
     assert.ok(fs.existsSync(path.join(plugin, file)), file);
   }
+  // 随包 Node 的 npm 是包里唯一允许出现的 node_modules：除了 npm 目录自身与它的子项，
+  // 还要放行它的上级目录 `game-runtime/node/node_modules`（recursive readdir 会列出目录项，
+  // 少了这一条会让整个门禁对合法包失败——#439 引入后一直没被跑到，直到 2026-09-21 才暴露）。
+  const allowedNodeModules = (file) =>
+    file === 'game-runtime/node/node_modules' ||
+    file === 'game-runtime/node/node_modules/npm' ||
+    file.startsWith('game-runtime/node/node_modules/npm/');
   const packageFiles = fs.readdirSync(resources, { recursive: true });
   assert.ok(
     !packageFiles.some(
@@ -294,8 +301,7 @@ try {
         /(^|\/)(\.env[^/]*|auth\.json|target|\.git)(\/|$)|\.(exe|dll)$/.test(
           file,
         ) ||
-        (/(^|\/)node_modules(\/|$)/.test(file) &&
-          !file.startsWith('game-runtime/node/node_modules/npm')),
+        (/(^|\/)node_modules(\/|$)/.test(file) && !allowedNodeModules(file)),
     ),
   );
   assert.equal(run(executable, ['--version']).stdout.trim(), manifest.version);