Atualizar as dependências do packtools

[robertatakenaka]

Descrição da tarefa

Atualizar as dependências do packtools

Subtarefas

• Garantir que todos os testes rodam antes de começar
• As dependências devem funcionar em python 3.11
• Criar uma estratégia para atualizar cada dependência de requirements.txt (ordem de prioridade de atualização de cada dep e execução de testes)
• Atualizar as dependências de acordo com a estratégia
• Atualizar setup.py e tox.ini

[Rossi-Luciano]

@robertatakenaka Ao rodar a matriz completa tox (py3.9/3.10/3.11) pra validar a subtarefa "as dependências devem funcionar em python 3.11", encontrei um conflito real entre manter suporte a Python 3.9 (declarado em setup.py, EOL desde outubro/2025) e as versões mais recentes de algumas dependências já atualizadas neste ciclo (issue #1251, PRs #1280-1287).

Pillow, aiohttp, requests e tox abandonaram Python 3.9 em versões recentes:

Pacote	Versão fixada nos PRs abertos	Compatível com 3.9?	Última versão 3.9-compatível	CVEs sem correção possível mantendo 3.9
Pillow	12.3.0	Não (exige 3.10+)	11.3.0	25 (nenhuma correção existe para elas sem abandonar 3.9)
aiohttp	3.14.3	Não (exige 3.10+ a partir da 3.14.0)	3.13.5	14 (algumas relevantes: cookie jar RCE-ish, request smuggling, DoS por memória; mas fora do padrão de uso do packtools, que só usa ClientSession/TCPConnector para download simples em packtools/sps/libs/async_download.py, sem WebSocket nem CookieJar.load() com entrada não confiável)
requests	2.34.2	Não (exige 3.10+ a partir da 2.33.0)	2.32.5	1, baixo risco (só afeta quem chama requests.utils.extract_zipped_paths() diretamente, o que o packtools não faz)
tox	4.60.0	Não (exige 3.10+ a partir da 4.31.0)	4.30.3	0 (dependência só de dev, sem risco real de segurança)

Duas opções, preciso de uma decisão antes de fechar os PRs correspondentes (#1280 requests, #1281 aiohttp, #1282 Pillow, #1285 tox, #1287 sincroniza os pisos em setup.py):

1. Abandonar suporte oficial a Python 3.9: já é EOL há 10+ meses, e o próprio ecossistema (Pillow, aiohttp, requests, tox) já foi nessa direção. Ajustaria setup.py (remove o classifier 3.9, sobe o RuntimeError mínimo pra 3.10) e tox.ini (remove py39 do envlist), mantendo os pisos já fixados nos PRs abertos.
2. Manter suporte a 3.9, revertendo os 4 pisos acima pras últimas versões 3.9-compatíveis, aceitando as CVEs residuais documentadas como risco conhecido (nenhuma delas parece crítica para o padrão de uso real do packtools, mas fica registrado).

Rodei a matriz completa antes de abrir essa pergunta: py3.10 e py3.11 passam limpos com os pisos atuais (mesmas 40 falhas pré-existentes já documentadas na #1276, nada novo); só py3.9 falha, e falha na instalação (não nos testes), exatamente por causa desse conflito de compatibilidade.