From 0b40c4a134f2521e300002fd5a7a47aaa3172c0e Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?=E5=AE=87=E4=BA=95=20=E9=99=B8=E7=99=BB?= <ui@appleple.com>
Date: Mon, 27 Jul 2026 21:48:13 +0900
Subject: [PATCH] =?UTF-8?q?ci:=20Dependabot=20=E3=81=AE=E3=83=90=E3=83=BC?=
 =?UTF-8?q?=E3=82=B8=E3=83=A7=E3=83=B3=E6=9B=B4=E6=96=B0=E3=82=92=20produc?=
 =?UTF-8?q?tion=20=E4=BE=9D=E5=AD=98=E3=81=A0=E3=81=91=E3=81=AB=E7=B5=9E?=
 =?UTF-8?q?=E3=82=8B?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

開発ツールまで対象にしていたため、1 パッケージの peer 不整合でグループ PR 全体が止まった
（eslint-plugin-react-refresh 0.5 が eslint 9 以上を要求し、eslint 8 系の本リポジトリでは
npm ci が ERESOLVE で失敗。30 件をまとめた PR がそのまま BLOCKED になった）。

0.x のマイナーは実質破壊的変更だが Dependabot は minor として扱うため、「メジャーを除外」
だけでは防げない。配布物に影響しない開発ツールを対象から外すのが確実で、開発ツールの
脆弱性は security updates 側（設定ファイルとは独立に動く機能）で拾われる。
---
 .github/dependabot.yml | 6 ++++++
 1 file changed, 6 insertions(+)

diff --git a/.github/dependabot.yml b/.github/dependabot.yml
index 98709e4..36d6c25 100644
--- a/.github/dependabot.yml
+++ b/.github/dependabot.yml
@@ -9,6 +9,12 @@ updates:
       time: '09:00'
       timezone: Asia/Tokyo
     open-pull-requests-limit: 5
+    # 配布物に入る依存だけを対象にする。開発ツール（eslint / jest / webpack 系）は
+    # 更新しても配布物に影響しない一方、peer の噛み合いが崩れて npm ci が解決不能になり
+    # （実例: eslint-plugin-react-refresh 0.5 が eslint 9 以上を要求）、グループ PR 全体が
+    # 止まる。開発ツールの脆弱性は Dependabot security updates 側で拾われる
+    allow:
+      - dependency-type: production
     groups:
       patch-and-minor:
         patterns: