[qiyinxi]

为以后把 CI 设成合并门槛、开合并队列做准备，同时给 workflow 加自动安全检查和依赖更新。

Refs ModAVD/ModAVD#127

改了什么

1. 触发统一

check.yml 的触发改成 pull_request、push（只限 main）、merge_group、workflow_dispatch。「Warn when a page changed in one language only」那步本来就只在 pull_request 跑（只出警告），push 和 merge_group 下照旧跳过，不会因为没有 base_ref 出错。deploy.yml 不动。

2. workflow 安全检查（zizmor）

check.yml 里新加一个 job Workflow security (zizmor)：

• 在 runner 自带的 Python 里建 venv，pip install zizmor 1.32.0，版本和 wheel 的 SHA-256 都钉死（--require-hashes --only-binary=:all:），不用第三方 action。
• 扫仓库里的 .github/workflows 和 .github/dependabot.yml，用默认的 regular 档位，结果以 GitHub 注释的形式标在 PR 上，有发现就失败。
• 带上只读的 github.token，开启 zizmor 的在线检查（核对钉住的 SHA 确实属于那个 action 仓库、有没有已知漏洞的 action 版本）。

现有 workflow 没有扫出问题，不用改、也没有忽略项。

3. Dependabot

新加 .github/dependabot.yml：github-actions 和 npm，每月检查一次，每个生态合成一个 PR；新版本发布满 7 天才提（cooldown，zizmor 也要求这一项）。

检查过的

• 本地用 zizmor 1.32.0（在线模式）按 CI 的命令扫过，0 个发现。