renovate: devbox は lockFileMaintenance のみで lock を更新

[mackato]

ユーザー指示の要点

devbox.json は Major 指定・devbox.lock で pin する方針。前回の rangeStrategy: update-lockfile(#9) は devbox マネージャでは効かず、生成 PR(#10/#11) が devbox.json を git@2→git@2.54.0 のように書き換えていた。

変更の概要

• renovate.json:
  • packageRules で devbox の version 更新（major/minor/patch/pin/digest）を無効化 → devbox.json を一切書き換えない。
  • lockFileMaintenance のみで @N レンジ内の devbox.lock を更新（「Lock file maintenance」PR）。
  • 実行頻度はワークフロー cron（週次・月曜 9am JST）へ一本化するため lockFileMaintenance を常時許可（schedule: ["* * * * *"]）。
  • 効果のない minimumReleaseAge / rangeStrategy を除去。

トレードオフ

• cooldown（minimumReleaseAge）は version 更新向け機能で lockFileMaintenance には効かないため、devbox には cooldown が効かなくなる。devbox は nixpkgs 由来で汚染リスクが低く、配布物に効く flake.lock の cooldown は Dependabot 側で維持されるため許容。
• Major 跨ぎは lock 更新対象外。Major 上げは devbox.json の @N を手動変更（= 意図的）。

検証方法

• マージ後、devbox.json を書き換える Update dependency git to v2.54.0 #10/Update dependency nixfmt to v1.2.0 #11 を close。
• renovate を Run workflow で再実行し、(1) version 更新 PR が出ないこと、(2) 「Lock file maintenance」PR が devbox.lock のみ変更すること（devbox.json 不変）を確認。

🤖 Generated with Claude Code