ci: 依存更新を脆弱性のみに絞り prosemirror を固定する

.github/dependabot.yml

@@ -1,40 +1,23 @@
 version: 2
 
+# npm 依存のバージョン更新（脆弱性に関係のない追随）は行わない。prosemirror 系は更新のたびに
+# 壊れる実績があり、開発ツールも peer の噛み合いで npm ci が解決不能になってグループ PR が
+# 丸ごと止まるため（eslint-plugin-react-refresh 0.5 が eslint 9 以上を要求した例）。
+# 脆弱性への対応は Dependabot security updates が担う（設定ファイルとは独立に動く機能で、
+# production / development の両方を対象にする）。
+#
+# prosemirror 系は package.json で実バージョンに固定してあるので、レンジによる暗黙の
+# 引き上げも起きない。上げるときは人が意図して外す。
 updates:
-  - package-ecosystem: npm
+  - package-ecosystem: github-actions
     directory: '/'
     schedule:
-      interval: weekly
-      day: monday
-      time: '09:00'
+      interval: monthly
       timezone: Asia/Tokyo
-    open-pull-requests-limit: 5
-    # 配布物に入る依存だけを対象にする。開発ツール（eslint / jest / webpack 系）は
-    # 更新しても配布物に影響しない一方、peer の噛み合いが崩れて npm ci が解決不能になり
-    # （実例: eslint-plugin-react-refresh 0.5 が eslint 9 以上を要求）、グループ PR 全体が
-    # 止まる。開発ツールの脆弱性は Dependabot security updates 側で拾われる
-    allow:
-      - dependency-type: production
-    groups:
-      patch-and-minor:
-        patterns:
-          - '*'
-        update-types:
-          - minor
-          - patch
+    open-pull-requests-limit: 3
     ignore:
       - dependency-name: '*'
         update-types:
           - version-update:semver-major
-    commit-message:
-      prefix: chore
-      include: scope
-
-  - package-ecosystem: github-actions
-    directory: '/'
-    schedule:
-      interval: monthly
-      timezone: Asia/Tokyo
-    open-pull-requests-limit: 3
     commit-message:
       prefix: ci

package.json

@@ -262,7 +262,7 @@
     "@testing-library/react": "^16.3.2",
     "@types/imagesloaded": "^4.1.6",
     "@types/jest": "^29.5.12",
-    "@types/prosemirror-tables": "^0.9.1",
+    "@types/prosemirror-tables": "0.9.1",
     "@types/react": "^19.2.17",
     "@types/react-dom": "^19.2.3",
     "@types/uuid": "^10.0.0",
@@ -306,17 +306,17 @@
     "imagesloaded": "^4.1.4",
     "is-mobile": "^2.1.0",
     "lowlight": "^1.13.0",
-    "prosemirror-commands": "^1.5.2",
-    "prosemirror-gapcursor": "^1.3.2",
-    "prosemirror-history": "^1.4.0",
-    "prosemirror-inputrules": "^1.4.0",
-    "prosemirror-keymap": "^1.0.1",
-    "prosemirror-model": "^1.8.2",
-    "prosemirror-schema-list": "^1.0.3",
-    "prosemirror-state": "^1.2.3",
-    "prosemirror-tables": "^0.7.11",
-    "prosemirror-transform": "^1.1.3",
-    "prosemirror-utils": "^0.7.7",
+    "prosemirror-commands": "1.5.2",
+    "prosemirror-gapcursor": "1.3.2",
+    "prosemirror-history": "1.4.0",
+    "prosemirror-inputrules": "1.4.0",
+    "prosemirror-keymap": "1.2.2",
+    "prosemirror-model": "1.21.3",
+    "prosemirror-schema-list": "1.4.0",
+    "prosemirror-state": "1.4.3",
+    "prosemirror-tables": "0.7.11",
+    "prosemirror-transform": "1.9.0",
+    "prosemirror-utils": "0.7.7",
     "prosemirror-view": "1.28.3",
     "raf": "^3.4.1",
     "scroll-to": "0.0.2",