chore(deps-dev): update PHPUnit, PHP_CodeSniffer, Doctrine CS and Infection

[heitoralthmann]

Quatro majors de dependência de desenvolvimento que o Dependabot ainda não
tinha aberto:

pacote	de	para
phpunit/phpunit	11.5.55	13.3.1
squizlabs/php_codesniffer	3.13.6	4.0.4
doctrine/coding-standard	13.0.1	14.0.0
infection/infection	0.34.2	0.35.2

O que precisou mudar

PHPUnit 13 passou a emitir notice para createMock() sem expectativa —
que é a definição de stub, não de mock. Eram 341 notices em 114 testes,
todos vindos de cinco dublês construídos em dois lugares. Os cinco viraram
createStub(). O único que carrega expectativa de verdade
(LogoutCommandTest afirmando que logout() é chamado exatamente uma vez)
continua createMock().

Isso não reprovaria o CI de qualquer forma: failOnWarning e failOnRisky
estão ligados, mas notice não é nenhum dos dois e o exit code já era 0.
Corrigido porque é a direção sinalizada pelo PHPUnit e o conserto era barato.

O que foi verificado

505 testes / 1644 asserções, PHPStan sem erros (src max + tests level 6),
phpcs limpo, docs:check em dia, composer validate --strict,
composer audit e o dependency analyser sem apontamentos. As duas
deprecations que sobram são as intencionais do construtor de compatibilidade
do BaseClient.

A reescrita do phpcs 4.0 não derrubou o ruleset. Como um ruleset que
degrada silenciosamente vira composer lint verde sem checar nada, a
validação foi feita contra um arquivo-sonda propositalmente violador: o sniff
próprio DebuggingFunctions carrega e dispara, o override de ScopeIndent
de 2 espaços ainda pega código com 4, e o truque de severidade que reabilita
DoubleArrowNotAligned sobreviveu. O phpcbf segue idempotente.

Ressalvas

• PHPUnit 13 exige php >= 8.4.1 e o pacote declara ^8.4. Um install de
  desenvolvimento em 8.4.0 exato recusaria. Não morde na prática — o
  setup-php resolve 8.4 para o patch mais recente e require-dev não
  chega em quem consome o CLI.
• O Infection não foi exercitado de verdade: a máquina de desenvolvimento
  não tem pcov nem xdebug. Ele carregou o infection.json5 sem reclamar do
  schema e parou no check de driver de cobertura, então a config é válida na
  0.35, mas uma execução real de mutação não foi rodada. O workflow é
  workflow_dispatch.

CHANGELOG não foi tocado: o projeto não registra bump de dependência de dev.