Dependabot設定を taro-series のグループ化版に統一

[fumikito]

概要

Dependabot 設定を taro-series（グループ化版）に揃える。現行の基本設定（composer/npm を monthly・グループ化なし）が個別 PR の乱立を招いており、現在 dependabot PR が6本オープン（#106〜#110, #92）になっている。

変更内容

taro-series の dependabot.yml を完全一致でコピー：

• グループ化: npm / composer それぞれの通常更新を major 含め1本の PR に集約
• security グループ: 脆弱性修正（推移的依存含む）も1本に集約
• allow: direct — 推移的依存の単体 PR を止める
• cooldown: 7日、open-pull-requests-limit: 5、timezone: Asia/Tokyo、weekly

効果

既存の個別 dependabot PR は、次回スケジュール時にグループ化された PR として再生成される見込み。乱立が解消する。

🤖 Generated with Claude Code

[claude]

AI トリアージ: PR #131

リスク: 🟢 低（config変更のみ）
スコープ: scope:config
不足: なし

サマリー

• Dependabot設定をグループ化・週次・direct-onlyへ刷新し、乱立PRを1本に集約する
• allow: direct と applies-to: security-updates の組み合わせでは、推移的依存の脆弱性PRが期待通り生成されない可能性がある

詳細レビュー

テスト要否

• ⚪ テスト不要: .github/dependabot.yml — CI設定ファイルのみ、コード変更なし

レビュワーが確認すべき箇所

1. .github/dependabot.yml:21 — allow: direct と推移的依存セキュリティ更新の競合
   コメントには「脆弱性は下の security グループで拾う」と書かれているが、Dependabot は allow フィルターをグループ化より先に適用する。allow: direct が有効な状態では、推移的依存のセキュリティ更新は npm-security / composer-security グループでもブロックされる可能性がある。意図通りに動くか、一度スケジュール後に Dependabot のログで確認することを推奨。

2. .github/dependabot.yml:13 vs .github/dependabot.yml:36 — npm は day: "monday" 指定だが composer は未指定
   小さな非一貫性。動作は問題ないが、揃える方がわかりやすい。

設計上の懸念

• cooldown キーは比較的新しいDependabot機能（2024年後半追加）。本リポジトリで対応済みかどうかは自動検証不可のため、マージ後に実際に cooldown が効いているか確認推奨。
• 既存6本のオープンDependabot PR（Bump phpstan/phpstan from 2.1.40 to 2.2.1 #106〜Bump @wordpress/env from 10.39.0 to 11.7.0 #110, Bump yoast/phpunit-polyfills from 2.0.5 to 4.0.0 #92）は新設定適用後に自動クローズされないため、手動クローズが必要な点を確認のこと。

---

🤖 AI triage by claude — レビュー基準: アーキテクチャ適合性・WordPressフック・セキュリティロジック・パフォーマンス