chore(ci): 收斂依賴機器人為單一 Dependabot 並補齊分組與自動合併

[s123104]

問題

盤點 open PR 時發現 6 個 Dependabot PR 長期堆積，其中 #1014、#979 checks 全綠卻掛置數週，#980 與 #995 是同一個 react-router-dom v7 升級的重複 PR。追下去發現根因不是 Dependabot 設定太寬，而是自動化責任被交給了一個從未生效的機器人。

根因：renovate.json 是死設定

證據	結果
gh pr list --author app/renovate --state all	0 筆
Renovate Dependency Dashboard issue	不存在
renovate.json 建立時間	2025-12-26（docs/dev/034）

Renovate App 從未安裝，這份含 automerge: true 的設定 8 個月完全沒有生效。

更糟的是 .github/dependabot.yml 依照同一份文件被刻意降規格：

# 2025-12-26: 改為每週，避免與 Renovate 衝突（Renovate 週一執行）
# Dependabot 作為備援，僅處理 Renovate 遺漏的更新
open-pull-requests-limit: 3

於是唯一實際在跑的機器人失去 grouping 與自動合併能力 —— 034 文件當初想解決的「PR 堆積」問題原樣復發。

修改

1. 刪除 renovate.json，確立單一依賴機器人 SSOT。

2. .github/dependabot.yml

• npm 與 github-actions 加 minor/patch grouping → 每週 PR 數從 ~6 收斂到 1–2
• major 刻意不分組：需逐案評估相容性（例：react-router v7 與 vite-react-ssg 耦合），混進群組會讓同批安全更新一起被卡住
• 補 /security-headers entry：該目錄自帶 npm + package-lock.json、不在 pnpm workspace 內，先前只能被動等漏洞警報冒 PR（chore(deps): bump sharp from 0.34.5 to 0.35.2 in /security-headers in the npm_and_yarn group across 1 directory #979 即為此類）
• 保留既有 @types/node major ignore

3. 新增 .github/workflows/dependabot-automerge.yml

• minor/patch → gh pr merge --auto --squash
• major → 只加 major-update 標籤（gh label create --force 確保冪等，不依賴 repo 端手動前置設定）
• 分組 PR 的 update-type 取群組內最高 semver，major 混入時整包落到人工審查，不會被誤自動合併

安全性

Dependabot 觸發的 pull_request 事件其 GITHUB_TOKEN 為唯讀，故必須用 pull_request_target 取得寫入權限。本 workflow 刻意不 checkout PR 分支、不執行 PR 內任何程式碼，僅呼叫 GitHub API，避免 pull_request_target 的權限提升風險。

合併仍由 branch protection 與 required checks 把關 —— auto-merge 只是排隊機制，checks 未過不會合併，不存在繞過審查控制的路徑。

4. 文件同步

• docs/dev/034 標註 ⛔ 作廢並記錄失效原因（保留歷史，不刪除）
• CLAUDE.md 新增「依賴機器人 SSOT」段落，禁止再引入第二套機器人設定
• DEPENDENCY_UPGRADE_PLAN.md 移除已不適用的 Renovate 選項
• README.md workflow 數量三處不一致（9 / 9 / 10）一併校正為實際的 13

驗證

項目	結果
兩份 YAML 解析	通過（3 個 update entry、grouping 與 limit 如預期）
002 記分守門	通過
pre-commit 六步	全綠（含全 workspace typecheck 與 prettier）

尚未處理

• 22 個 open security alerts（11 high / 10 moderate / 1 low）是獨立風險項，需另案盤點 pnpm.overrides
• chore(deps): bump react-router-dom from 6.30.4 to 7.0.0 in the npm_and_yarn group across 1 directory #980 建議關閉（與 chore(deps): bump react-router-dom from 6.30.4 to 7.18.2 #995 重複，目標版本 7.0.0 已過時）
• react-router v7（chore(deps): bump react-router-dom from 6.30.4 to 7.18.2 #995） 需獨立 epic 驗證 vite-react-ssg 相容性，本 PR 的 major 政策正是為此保留人工關卡

🤖 Generated with Claude Code

[github-actions]

⚠️ Deprecation Warning: The deny-licenses option is deprecated for possible removal in the next major release. For more information, see issue 997.

Dependency Review

The following issues were found:

• ✅ 0 vulnerable package(s)
• ✅ 0 package(s) with incompatible licenses
• ✅ 0 package(s) with invalid SPDX license definitions
• ⚠️ 1 package(s) with unknown licenses.

See the Details below.

License Issues

.github/workflows/dependabot-automerge.yml

Package	Version	License	Issue Type
dependabot/fetch-metadata	2.*.*	Null	Unknown License

Denied Licenses:

GPL-3.0, AGPL-3.0

OpenSSF Scorecard

Package	Version	Score	Details
actions/dependabot/fetch-metadata	2.*.*	🟢 8.2	Details Check Score Reason Binary-Artifacts 🟢 10 no binaries found in the repo Packaging ⚠️ -1 packaging workflow not detected Maintained 🟢 10 29 commit(s) and 0 issue activity found in the last 90 days -- score normalized to 10 Code-Review 🟢 10 all changesets reviewed Dangerous-Workflow 🟢 10 no dangerous workflow patterns detected CII-Best-Practices ⚠️ 0 no effort to earn an OpenSSF best practices badge detected Token-Permissions 🟢 9 detected GitHub workflow tokens with excessive permissions Pinned-Dependencies 🟢 3 dependency not pinned by hash detected -- score normalized to 3 Fuzzing ⚠️ 0 project is not fuzzed License 🟢 10 license file detected Signed-Releases ⚠️ -1 no releases found Security-Policy 🟢 10 security policy file detected Branch-Protection 🟢 8 branch protection is not maximal on development and all release branches SAST 🟢 10 SAST tool is run on all commits

Scanned Files

• .github/workflows/dependabot-automerge.yml

[chatgpt-codex-connector]

💡 Codex Review

Here are some automated review suggestions for this pull request.

Reviewed commit: b7a9ed6314

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review".

If Codex has suggestions, it will comment; otherwise it will react with 👍.

Codex can also answer questions or update the PR. Try commenting "@codex address that feedback".

[chatgpt-codex-connector]

將依賴機器人新規則同步到 AGENTS.md

此處建立了「只准 Dependabot、禁止第二套機器人」的新 repo-wide CI 流程規則，但同一提交未更新根 AGENTS.md，使 Agent SOP 與 CLAUDE.md 的 SSOT 立即分歧；請將這套依賴機器人政策與安全限制同步寫入 AGENTS.md。

AGENTS.md reference: AGENTS.md:L122-L122

Useful? React with 👍 / 👎.

[chatgpt-codex-connector]

將 workflow 數量改為實際的 12

此提交完成後，git ls-tree 在 .github/workflows 下只列出 12 個 YAML workflow（已包含新增的 Dependabot workflow），因此這裡以及同次修改的另外兩個「13」都會向使用者與稽核者提供錯誤的 CI 清單數量；請統一更正為 12，或避免硬編碼此統計值。

AGENTS.md reference: AGENTS.md:L163-L163

Useful? React with 👍 / 👎.