ci(dependabot): merge minor and patch updates only after CI Success

[sunerpy]

背景

#562 把 Dependabot 改成分组 PR 之后，第一个分组 PR #563（4 个 Action 的小版本更新）在 14:46:44 创建，19 秒后就被「Dependabot Auto-Merge」合进了 main，CI 到 14:52 才跑完。原因：仓库没有必需检查，gh pr merge --auto 会直接合并，不等 CI。这次 CI 事后全部通过，但以后每周的小版本与补丁分组 PR 都会这样未经 CI 进入 main。

改动

• 自动合并前等待这个 PR head 上的 CI Success：成功才 gh pr merge --squash --match-head-commit；失败或 40 分钟内没有结果就留给人工（只打警告，不合并）。
• Dependabot 推了新 head 时，取消还在等旧 head 的那一轮（concurrency）。
• 补上查询检查结果需要的 checks: read，job 超时放宽到 45 分钟。
• 大版本更新仍然只评论、不合并。

验证

• actionlint 通过。
• 等待逻辑在本地对三种 head 演练（合并命令只打印）：deps(all): consolidate the open Dependabot updates #562 的 head（CI 成功）→ 会合并；deps(pnpm): bump typescript from 6.0.3 to 7.0.2 in /web/frontend #466 的 head（CI 失败）→ 只警告、不合并；没有 CI 的 head → 超时、只警告。
• 本 PR 不是 Dependabot 发起的，auto-merge job 会显示为跳过；下一次 Dependabot 分组 PR 会走新的路径。

🤖 Generated with Claude Code

[codecov]

Codecov Report

✅ All modified and coverable lines are covered by tests.
see 1 file with indirect coverage changes

🚀 New features to boost your workflow:

• ❄️ Test Analytics: Detect flaky tests, report on failures, and find test suite problems.
• 📦 JS Bundle Analysis: Save yourself from yourself by tracking and limiting bundle sizes in JS merges.