ci: 依存更新を脆弱性のみに絞り prosemirror を固定する

[uidev1116]

背景

Dependabot のグループ PR が続けて CI を壊しています。

• chore(deps): bump the patch-and-minor group with 30 updates #76: eslint-plugin-react-refresh 0.4 → 0.5 が eslint 9 以上を要求し npm ci が ERESOLVE（0.x のマイナーは実質破壊的変更だが Dependabot は minor 扱いで、メジャー除外では防げない）
• chore(deps): bump the patch-and-minor group with 13 updates #79: prosemirror 系の更新で CI が壊れた

prosemirror は更新のたびに壊れる実績があるため、追随そのものをやめて固定します。

変更

• npm のバージョン更新を停止（dependabot.yml から npm ecosystem を削除）。脆弱性への対応は Dependabot security updates（設定ファイルとは独立に動く機能）が担い、production / development の両方が対象になります
• prosemirror 系 12 件を実バージョンに固定（^1.5.2 → 1.5.2 等）。レンジによる暗黙の引き上げも起きません。上げるときは人が意図して外します
• GitHub Actions の更新のみ月次で残しました（古い actions で CI が動かなくなるのを防ぐため）。不要なら外します

検証

Node 24 で npm ci / ビルド / テスト 16 件が通ることを確認済み。

あわせて

#79 は閉じます（この設定では作り直されません）。