Dependabotの更新対象と開発用依存管理を整備

[iuill]

変更内容

• .github/dependabot.yml を追加・更新
• Bun ecosystem を対象に Dependabot security update を有効化
• GitHub Actions / Dev Container / Dev Container Dockerfile / 開発用 pip requirements も Dependabot の監視対象に追加
• open-pull-requests-limit: 0 により通常の version update PR は抑制し、security update PR 目的に寄せる
• Dev Container セットアップで使う Codex CLI の固定バージョンを 0.142.3 に更新
• BS-RoFormer WebGPU 変換用の Python 依存を uv + ハッシュ付き requirements lock に変更
• ハッシュ付き lock の前提に合わせて Dev Container の build / run platform を linux/amd64 固定にし、/home/node/.local/bin を remoteEnv.PATH に追加
• CI の bun audit --audit-level=high を通すため、Vite を 8.0.16、protobufjs override を 7.6.4 に更新

補足

GitHub Packages の private registry については、対象 package 側の Manage Actions access でこのリポジトリに Read access を付与する前提です。PAT や dependabot.yml の registries 設定はこのPRでは追加していません。

BS-RoFormer 変換用の Python 依存は WebUI 実行時には使われず、開発者が bun run prepare:bs-roformer-webgpu を実行してローカル ONNX モデルを生成する場合だけ使います。lock は Dev Container の Python 3.11 / Linux x86_64 環境を前提にしており、Dev Container の build / run ともに linux/amd64 で固定しています。

確認

• node -e "JSON.parse(require('fs').readFileSync('.devcontainer/devcontainer.json','utf8'))"
• bash -n scripts/prepare-bs-roformer-webgpu.sh .devcontainer/scripts/install-dev-tools.sh
• uv pip install --dry-run --require-hashes --only-binary=:all: -r scripts/requirements-bs-roformer-webgpu.txt
• bun audit --audit-level=high
• bun run lint
• bun run test
• bun run typecheck
• bun run build
• GitHub Actions CI / Verify pass