ci: 公開workflowをローカル化して監査依存を修復

[kazukinakai]

変更内容

• 公開callerからprivate reusable workflowへの参照を削除
• secret scan と Node/pnpm baseline をrepo-local jobへ移行
• action参照をfull SHAに固定し、contents: readを維持
• transitive audit脆弱性（nanoid/esbuild）をlockfileのみ更新して解消

検証

• actionlint: pass
• npm ci: pass（0 vulnerabilities）
• npm run lint / typecheck / test（42 passed）/ build: pass
• npm audit --audit-level=high: pass

公開repoからprivate workflowを呼べないGitHub公式仕様に沿った移行です。