build(pnpm): перевести JS-тулинг на pnpm 12 и поднять зависимости

package-lock.json заменён на pnpm-lock.yaml, в манифесте packageManager
pnpm@12.6.0. Свой pnpm-workspace.yaml нужен клону внутри кита: без него
pnpm поднимается до воркспейса кита и пишет в его лок.

В python-ci и contract pnpm ставится до setup-node, node 26. JS поднят
ncu (typespec 1.16), python uv lock --upgrade: prometheus-fastapi-
instrumentator 8, secure 2. Сгенерированные модели и OpenAPI не
изменились, тесты, контракт-тесты и smoke в образе зелёные.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

Author: mokevnin

.github/workflows/contract.yml

@@ -30,10 +30,15 @@ jobs:
 
       - uses: astral-sh/setup-uv@v10.0.1
 
+      # pnpm ставится до setup-node: тот с cache: pnpm ищет уже существующий
+      # бинарь, чтобы вычислить путь к store, и иначе падает с
+      # «Unable to locate executable file: pnpm».
+      - uses: pnpm/action-setup@v6
+
       - uses: actions/setup-node@v7
         with:
-          node-version: 22.x
-          cache: npm
+          node-version: 26.x
+          cache: pnpm
 
       - name: Install
         run: make install

.github/workflows/python-ci.yml

@@ -26,12 +26,17 @@ jobs:
       - uses: astral-sh/setup-uv@v10.0.1
 
       # Node нужен инструментам контракта: компилятор TypeSpec и
-      # генератор python-моделей из OpenAPI — оба npm-пакеты. Само
+      # генератор python-моделей из OpenAPI — оба пакеты из npm. Само
       # приложение о node не знает.
+      # pnpm ставится до setup-node: тот с cache: pnpm ищет уже существующий
+      # бинарь, чтобы вычислить путь к store, и иначе падает с
+      # «Unable to locate executable file: pnpm».
+      - uses: pnpm/action-setup@v6
+
       - uses: actions/setup-node@v7
         with:
-          node-version: 22.x
-          cache: npm
+          node-version: 26.x
+          cache: pnpm
 
       - name: Install
         run: make install

Makefile

@@ -2,7 +2,7 @@ PORT ?= 8000
 
 install:
 	uv sync
-	npm ci
+	pnpm install --frozen-lockfile
 
 # Первичная настройка: зависимости и .env из шаблона.
 setup: install env
@@ -46,13 +46,13 @@ routes:
 # порождённый из него артефакт, который коммитится: по нему генерируются
 # модели, его же отдаёт приложение и по нему идут контрактные тесты.
 generate-openapi:
-	npx tsp compile .
+	pnpm exec tsp compile .
 
 # Модели из спеки. Путь начинается с ./ намеренно: без этого генератор
 # принимает его за адрес проекта в реестре Hey API и падает на разборе.
 generate-models:
-	npx openapi-python -i ./openapi/openapi.v1.json -o ./app/types/handlers/v1 -p pydantic
-	npx openapi-python -i ./openapi/openapi.v2.json -o ./app/types/handlers/v2 -p pydantic
+	pnpm exec openapi-python -i ./openapi/openapi.v1.json -o ./app/types/handlers/v1 -p pydantic
+	pnpm exec openapi-python -i ./openapi/openapi.v2.json -o ./app/types/handlers/v2 -p pydantic
 
 generate-types: generate-openapi generate-models
 
@@ -101,7 +101,7 @@ smoke-test:
 # обновиться сразу и локально.
 deps-update:
 	uv lock --upgrade
-	npx npm-check-updates -u
+	pnpm dlx npm-check-updates -u
 
 .PHONY: install setup env dev start test test-coverage lint lint-fix routes \
 	generate-openapi generate-models generate-types generate-check \