fix(ci): pin npm before provider certification install

[Eclipseic1848]

变更目的 / Purpose

修复 v0.7.1 严格候选 Provider job 在依赖安装阶段的确定性失败。

Candidate run 33838498153 的 Ubuntu、Windows 全部离线门禁已通过，但 Provider job 100952817495 使用 Node 22 自带的 npm 10.9.8，未遵守根 packageManager 与 engines 对 npm 11.5.1 的要求。npm ci 报 EBADENGINE/EUSAGE 和 peer 依赖缺失后退出，未执行 providers:certify。该失败不是 Provider 响应或网络错误。

范围与非目标 / Scope and non-goals

• 在 Provider job 的 npm ci 前补上与候选矩阵相同的 npm install --global npm@11.5.1。
• 扩展已有工作流合同，要求 candidate 与 provider-certification 两个 job 都先固定 npm，再执行 npm ci。
• 不修改 package-lock、产品代码、Runtime、公开 API、协议、权限、密钥、费用/时间限制、认证提交/制品绑定或发布门禁。
• 不重启旧候选，不追加真实 Provider 调用。

验证证据 / Verification

• 回归先红：旧工作流在新增 Provider npm 固定断言处失败。
• 修复后：node node_modules/vitest/vitest.mjs run scripts/workflow-contract.test.ts --project release-engineering，15 tests PASS。
• Biome（修改的测试文件）与 git diff --check PASS。
• Standards 与 Spec 独立审查：均 PASS，0 findings。
• 原 Runtime tarball SHA-256 复核仍为 97c3bb9abb89981d93505e7c39a0de3599689ba2683a015bbe001b0f2af9f80d；未重新构建。
• 本地未重跑全仓测试、覆盖率、打包、TTY、Python 或真实 Provider：本变更仅修复工作流工具链安装，并复用原提交已完成的双平台离线结果。新 PR 工程 CI 单独报告，不把旧提交证据冒充新提交完整候选资格。

影响检查 / Impact

无产品行为、配置/协议、安全边界、数据外发、版本或迁移变化。真正的 Provider 认证与正式发布仍未完成。

文档同步 / Documentation

• 无需更新用户文档：贡献指南与 packageManager 已准确要求 npm 11.5.1，本 PR 只是使工作流落实既有要求。
• README、社区文件、About、SOP、Skill 与公开示例没有因本次内部修复产生新的事实变化。

最终自查 / Final review

• 仅两份指定文件，7 insertions、1 deletion。
• 不包含密钥、用户数据、本机路径或调试产物。
• 缺失版本固定或错误执行顺序均被回归断言拦截。