chore(dependabot): 暂停普通版本升级，保留安全检查

.github/dependabot.yml

@@ -3,17 +3,20 @@ updates:
   # GitHub Actions 依赖
   - package-ecosystem: "github-actions"
     directory: "/"
+    open-pull-requests-limit: 0
     schedule:
       interval: "weekly"
 
   # 根工程 npm 依赖（pnpm）
   - package-ecosystem: "npm"
     directory: "/"
+    open-pull-requests-limit: 0
     schedule:
       interval: "weekly"
 
   # examples 子包 npm 依赖（pnpm workspace）
   - package-ecosystem: "npm"
     directory: "/examples"
+    open-pull-requests-limit: 0
     schedule:
       interval: "weekly"

CONTRIBUTING.md

@@ -68,6 +68,14 @@ pnpm run mutation:full         # 忽略已有结果，重建基线
 手动触发并选择 `full` 可强制重建，只有 main 的成功运行会更新共享基线。
 报告作为 `mutation-reports-*` artifact 保留 14 天。当前未设置最低变异分数门槛。
 
+## 依赖与安全检查
+
+[Dependabot 配置](.github/dependabot.yml) 将 GitHub Actions、根 npm 和 examples npm 的
+`open-pull-requests-limit` 设为 `0`，暂停普通版本升级 PR；需要升级时由维护者单独评估。
+该选项不限制安全更新 PR，详见 [GitHub 配置说明](https://docs.github.com/en/code-security/reference/supply-chain-security/dependabot-options-reference#open-pull-requests-limit)。
+安全更新和漏洞告警仍由仓库后台设置控制，本次配置调整不改动这些开关。
+CodeQL 工作流继续保留。已有依赖 PR 留待逐项审阅，不批量关闭。
+
 ## 维护文档
 
 - [README](README.md) 保留安装、可运行的快速开始和导航。