Файлы сообщества, шаблоны, dependabot и workflow релиза

[maximkr]

Метрика community profile у репозитория была 42%: из обязательного набора присутствовали только README, LICENSE и description.

Добавлено:

• SECURITY.md — приватный канал через GitHub Security Advisories, сроки ответа, список приоритетных классов уязвимостей для системы с ACL. Отдельно перечислено то, что уязвимостью не является: root/root в docker-compose, .env в репозитории, исполнение BeanShell-скриптов
• CONTRIBUTING.md — сборка через Docker и через Gradle, стиль кода, правила миграций Liquibase, список изменений, требующих архитектурного ревью. Честно сказано, что все тест-классы сейчас под @ignore
• CODE_OF_CONDUCT.md — Contributor Covenant 2.1
• шаблоны issue (баг и улучшение) и pull request. Шаблон бага требует версию, способ развертывания и логи — этого не хватало в существующих обращениях
• .github/dependabot.yml — gradle и github-actions ежемесячно. Обновления сгруппированы и ограничены пятью PR, иначе на таком объеме старых зависимостей репозиторий завалит пулл-реквестами. Struts исключен: 1.3.10 снят с поддержки в 2013, уход с него — отдельная задача, а не обновление версии
• .github/workflows/release.yml — по пушу тега v* собирает WAR, публикует образ в ghcr.io/maximkr/trackstudio и создает GitHub Release с WAR во вложении. Имя пакета GHCR задано в нижнем регистре явно: реестр не принимает заглавные буквы, а github.repository содержит TrackStudio

Синтаксис всех YAML проверен парсером.