build: group Dependabot updates and lift the PR ceiling

[Cat5Dog2]

#133 で解消したバージョンずれの再発防止です。設定ファイル 1 本のみの変更で、ビルド成果物には影響しません。

何が問題だったか

nuget の open-pull-requests-limit: 5 にグループ設定がなく、1 パッケージ 1 PR で枠を使い切っていました。

上限に張り付くと、更新は「待たされる」のではなく「作られない」 のが厄介な点です。実際、以下は 10.0.10 が出ていたのに PR が存在しませんでした。

• Microsoft.EntityFrameworkCore.SqlServer
• Microsoft.AspNetCore.Mvc.Testing
• Microsoft.EntityFrameworkCore.InMemory
• Microsoft.EntityFrameworkCore.Sqlite

しかも通知は出ないので、気づく手段がありません。

さらに #123（Web.Tests の Test SDK 18.7.0）は「Superseded by #129」として閉じられましたが、#129 は E2ETests しか触っていません。ディレクトリを跨いでパッケージ名だけで重複判定された結果、Web.Tests の更新が落ちて 18.6.0 に取り残されていました。

変更内容

項目	変更
nuget open-pull-requests-limit	5 → 10
nuget groups	aspnetcore-efcore / test-tooling / azure を追加
github-actions open-pull-requests-limit	2 → 5
github-actions groups	全 action を 1 グループに
先頭コメント	dotnet-tools.json が監視対象外である旨を明記

設計判断

ASP.NET Core と EF Core を同一グループに
両者は同じトレイン（10.0.x）で同時リリースされます。PR が分かれていたことが、Design/Tools だけ先行して SqlServer が取り残される原因そのものでした。

メジャー更新はグループに入れない
nuget の各グループは update-types を minor / patch に限定しています。SixLabors.ImageSharp 3.x → 4.0 のような破壊的変更は、単独 PR で個別にレビューしたいためです。

github-actions は update-types で絞らない
action のバージョンタグ更新（v5 → v6）はすべて major 判定になります。ここを minor/patch に絞ると、グループが何にもマッチしません。実際 #115（checkout v6→v7）も #130（setup-dotnet v5→v6）も major でした。

dotnet-tools.json はコメントで補う
Dependabot はローカルツールマニフェストを読みません。dotnet-ef は EF Core と同トレインなので、手動で揃える必要がある旨をファイル先頭に記載しました。

検証

.github/dependabot.yml が YAML として妥当で、意図した構造にパースされることを確認済みです。

nuget            limit=10
    aspnetcore-efcore: ['Microsoft.AspNetCore.*', 'Microsoft.EntityFrameworkCore.*'] types=['minor', 'patch']
    test-tooling: ['Microsoft.NET.Test.Sdk', 'Microsoft.Playwright.*', 'xunit*', 'coverlet.*'] types=['minor', 'patch']
    azure: ['Azure.*'] types=['minor', 'patch']
github-actions   limit= 5
    github-actions: ['*'] types=ALL
dotnet-sdk       limit= 1

実際のグループ化挙動は、マージ後の初回スケジュール実行（月曜 09:00 JST）で確認できます。

🤖 Generated with Claude Code

[Cat5Dog2]

レビュー指摘を受けて #135 に統合したためクローズします。

統合の理由は積み上げ PR の base 問題の解消と、本番デプロイ回数の削減（3回→2回）です。

あわせて本 PR にあった以下の誤りを #135 で訂正しています。

1. 「Dependabot は dotnet-tools.json を監視しない」は誤り。2024年から対応済み（#8889 / #10269）。真因は探索対象にリポジトリ直下が含まれていなかったこと
2. GitHub Actions の全件グループ化を削除。Dependabot は元から action 単位で1 PR にまとめるため（deps(deps): bump actions/setup-dotnet from 5 to 6 #130 の実績）、グループは不要かつ major 更新の切り分けを困難にする
3. 「上限に達した更新は取りこぼされる」→「作成が先送りされ、通知されない」に訂正