chore: add Dependabot baseline

[liujuanjuan1984]

概要

为仓库引入首期 Dependabot 自动依赖更新基线，覆盖 uv 与 github-actions，并保持现有依赖审计脚本与 CI 门禁分工不变。

变更

.github

• 新增 .github/dependabot.yml
• 为 uv 配置每周检查、分组 minor/patch 更新、限制并发 PR 为 5
• 为 github-actions 配置每周检查、分组更新、限制并发 PR 为 3
• 统一使用 deps commit 前缀与 dependencies 标签

scripts

• 更新 scripts/README.md
• 说明 Dependabot 负责自动版本更新 PR
• 说明 dependency_health.sh 继续负责显式依赖审计与巡检

tests

• 更新 tests/scripts/test_script_health_contract.py
• 增加 Dependabot 配置存在性与覆盖范围的契约断言
• 增加脚本索引文档说明的契约断言，防止后续文档漂移

验证

• ./scripts/doctor.sh

关联

• Closes chore: 引入 Dependabot 自动依赖更新 #401

[liujuanjuan1984]

独立审查结论：当前未发现阻塞性问题。

审查要点：

• 配置范围克制，只覆盖 uv 与 github-actions，与当前仓库依赖形态匹配。
• dependency_health.sh、CI 审计和 Dependabot 的职责边界清晰，没有把自动升级与显式审计混在一起。
• 新增测试能约束关键配置与文档说明，能降低后续配置漂移风险。

残余风险：

• 当前仅对 uv 的 minor / patch 更新做分组，后续若出现较多 major 更新 PR，仍需观察噪声水平并按实际情况调小频率、分组或并发上限。