phase1(security): roave/security-advisories — CVE-блокировка на install (Прил. Н #13)

Метапакет roave/security-advisories:dev-latest добавлен в require-dev.
Это conflict-only пакет — он не содержит кода, а просто помечает
известные CVE-версии других пакетов как несовместимые. При попытке
установки/обновления таких версий composer падает с conflict-resolution
до того, как уязвимый код попадёт в vendor/.

Текущий снапшот зависимостей чист: «No security vulnerability advisories
found» при установке (95 пакетов).

Закрывает Прил. Н #13. Не требует конфигурации, бинарников, env.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

app/composer.json

@@ -22,7 +22,8 @@
         "mockery/mockery": "^1.6",
         "nunomaduro/collision": "^8.6",
         "pestphp/pest": "^4.7",
-        "pestphp/pest-plugin-laravel": "^4.1"
+        "pestphp/pest-plugin-laravel": "^4.1",
+        "roave/security-advisories": "dev-latest"
     },
     "autoload": {
         "psr-4": {