[qiyinxi]

为以后把 CI 设成合并门槛、开合并队列做准备，同时给 workflow 加自动安全检查和依赖更新。

Refs ModAVD/ModAVD#127

改了什么

1. 触发统一

ci.yml 的触发改成 pull_request、push（只限 main）、merge_group、workflow_dispatch。作者检查只在 pull_request 和 workflow_dispatch 下跑：PR 里的提交在 PR 阶段已经查过，push / merge_group 下剩下要查的只有 GitHub 生成的 squash 提交，它的作者邮箱取自贡献者 GitHub 账号的设置（main 上已经有一个这样的提交用的不是 noreply 邮箱），查了会让合并队列和 main 无端变红。

2. workflow 安全检查（zizmor）

ci.yml 里新加一个 job Workflow security (zizmor)：

• 在 runner 自带的 Python 里建 venv，pip install zizmor 1.32.0，版本和 wheel 的 SHA-256 都钉死（--require-hashes --only-binary=:all:），不用第三方 action。
• 扫仓库里的 .github/workflows 和 .github/dependabot.yml，用默认的 regular 档位，结果以 GitHub 注释的形式标在 PR 上，有发现就失败。
• 带上只读的 github.token，开启 zizmor 的在线检查（核对钉住的 SHA 确实属于那个 action 仓库、有没有已知漏洞的 action 版本）。

现有 workflow 没有扫出问题，不用改、也没有忽略项。

3. Dependabot

新加 .github/dependabot.yml：github-actions，每月检查一次，每个生态合成一个 PR；新版本发布满 7 天才提（cooldown，zizmor 也要求这一项）。

scripts/repo_checks.py 不用改：Dependabot 的提交作者是 dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>，本来就符合 noreply 规则。test_repo_checks.py 补了一条用这个真实身份的断言，防止以后改规则时把它挡掉。

检查过的

• 本地用 zizmor 1.32.0（在线模式）按 CI 的命令扫过，0 个发现。
• python -B -I -X utf8 scripts/test_repo_checks.py 通过。