chore(依赖): 升一批 patch/minor，锁死 mermaid-legacy 和 TypeScript 大版本

后端：@node-rs/jieba 2.0.1→2.0.2（含精确 pin 的 -linux-x64-gnu）、
bullmq 6.0.9→6.2.2、postgres→3.4.9、sql.js→1.14.2、web-tree-sitter→0.26.13；
hono ^4.0.0→^4.13.4 与 zod ^4.0.0→^4.4.3 只是把范围收紧到实装版本。

前端：@codemirror/view→6.43.9、highlight.js→11.12.0、mermaid→11.17.2、
naive-ui→2.45.2、pinia→4.0.3、y-codemirror.next→0.3.6、vite→8.2.2、
@types/node→26.3.0。

刻意没动两个：

- mermaid-legacy（npm:mermaid@^9.4.3）保持 9.4.3，vite 的 build target
  也没碰 —— 机房 Chrome < 94 的兜底，legacy polyfill 产物照常生成。
- typescript 停在 5.9.3（只把根上的范围从 ^5.7.0 收到 ^5.9.3）。
  7.0.2 是 Go 原生重写版，另开一个 commit 处理。

踩到的坑记一笔：`bun install` 不清理旧的嵌套副本。升完 @codemirror/view 后
md-editor-v3/node_modules/ 下留着一份 6.43.8，vue-tsc 立刻报
dispatchTransactions 私有属性冲突 —— 看起来像版本不兼容，其实
md-editor-v3 要的是 ^6.38.2，6.43.9 完全满足。当时全仓有十几处这种残留。
**升完依赖必须 rm -rf node_modules && bun install 再验类型**，否则会
对着一堆假的类型冲突查半天。

验证（删空 node_modules 重装后）：apps/api tsc 0 error、check:routes 167 条
无遮蔽、apps/web vue-tsc 0 error、vite build 通过、单二进制在仓库外起得来
并打库返回真数据、jieba 原生模块 dev 与编译两种形态都验过、BullMQ 两个
worker 正常 ready。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

package.json

@@ -13,7 +13,7 @@
     "db:down": "docker compose -f docker/compose.dev.yml down"
   },
   "devDependencies": {
-    "typescript": "^5.7.0",
+    "typescript": "^5.9.3",
     "@types/bun": "latest"
   }
 }