当前PR是否有AI参与:

[ ] 否

[x] Yes
__1. AI Agent 平台: AtomCode (AtomGit)
__2. AI 模型 : deepseek-v4-flash
__3. Prompt 上下文 : 将 nss 从 3.126 升级到 3.128（参考 3.126→3.127 会话适配国密补丁），并按要求生成 commit、推送分支并创建本 MR

参考：openEuler社区《生成式AI工具使用与开源贡献政策》

PR功能描述 / 为什么需要这个合入**:

升级 nss 到上游最新稳定版 3.128（2026-08-26 发布）。

• 源码包更新为 nss-3.128.tar.gz（NSS_3_128_RTM）
• nspr_version 4.35.0 → 4.39（上游 3.128 要求 NSPR >= 4.39，openEuler nspr 已更新至 4.39）
• 版本宏更新：nss_version/nss_ver/nss_archive_version → 3.128
• 国密补丁适配：Feature-port-nss-support-SM3-digest-algorithm-to-NSS_3_117_R.patch 的 ldvector.c hunk 在 3.128 上失败（3.128 新增 MLDSA_DestroyContext /* End of version 3.033 */ 段），已将该 hunk 上下文从 3.032 后改为 3.033 后插入 SM3 vector 条目，与 loader.h 结构体字段顺序一致（符合 ABI 向后追加规则）。其余三个补丁（SM3 digest / SM2 / SM2 fix）在正确应用顺序下均干净应用
• 国密 OID 验证：SEC_OID_SM3=400、SEC_OID_SM2=401、SEC_OID_SM2_WITH_SM3=402，接在 SEC_OID_CMS_AUTH_ENVELOPED_DATA=399 之后
• changelog 增加 3.128-1 条目

该PR关联的issue

(格式为fixes #<issue号>, 或者resolves #<issue号>): 无

希望检视人员了解:

• 补丁已验证顺序应用干净（无 .rej），实际构建依赖门禁 CI 验证
• 3.128 主要变更：ML-KEM/ML-DSA 相关、libcrux 更新、多项安全加固（PK11SDR_EncryptWithMechanism 整数溢出、slot over-release 等）