Firebase CLI に残る開発依存の脆弱性を上流の互換対応後に解消する

## 背景

#63 のセキュリティ点検の残課題。#67 / PR #72 は qs を解消し、互換性を壊さず更新できない Firebase CLI の開発依存を `documents/npm-audit.md` に記録して完了した。全警告の解消ではないため、上流対応後の再確認を本 issue で追跡する。

2026-09-12 の GitHub API 再照会で csv-parse (GHSA-8cw4-87c7-c6xx、alert 14) と stream-json (GHSA-528h-pc64-c93x、alert 13) が open / medium。PR #72 の記録では OpenTelemetry Core も残件。本番依存は #63 の初回 audit と PR #72 の検証で検出0件。

## 対応

- `documents/npm-audit.md` の再確認条件に従い、firebase-tools の互換対応版が出た時点で依存を更新する
- 開発依存込みと本番依存の npm audit、型検査・lint・エミュレータ上のテストを実行し、残件と到達可能性を記録する
- CI / ローカルが別途導入する Firebase CLI の固定バージョンも照合する。グローバル導入にはプロジェクトの overrides が効かない点も含める
- 上流対応前にメジャー違いを強制 override して CLI を壊さない

上流の互換対応待ちのため、現時点では無人実装 label を付けない。上流が変わった際に実装へ回す。

## セッション再開

```sh
cd /Users/bannzai/worktrees/bannzai/Alarmify/issue-63
codex resume 01a09526-cdc9-7343-8c0a-ed3fbb3da65f
```

Wait for a Firebase CLI release with the required upstream compatibility, then read documents/npm-audit.md and update the development dependency without forcing a major override. Run npm audit for development and production dependencies, type checks, lint, and emulator tests; compare CI and local pinned CLI versions and record remaining issues and reachability.

Written by the indexing model from the issue text.