用途：在当前工作区的 Git 仓库中列出、审查并合并 Dependabot PR，重点覆盖变更日志分诊、风险分级、CI 校验和 rebase 合并。仅针对当前工作区仓库，不处理其他仓库；若工作区不是 Git 仓库或缺少 .github/dependabot.yml 应停止。FMC 应用仓库通常以 develop 为目标分支，不要把 Dependabot PR 合入 main。
主要能力：用 gh pr list --author app/dependabot --state open --json number,title,baseRefName,headRefName,labels 列出未合并 PR。逐个 gh pr view <number> --json title,body,baseRefName,headRefName,mergeable,statusCheckRollup,author,labels 查看，PR 正文即变更日志，优先使用其中发布说明，正文缺失或明显不完整时再查外部来源。用 gh pr diff <number> 检查 package.json、锁文件与清单差异。分组 PR 需逐包扫描，任一高风险条目可阻断整组。
风险分级：低风险（补丁级开发工具、类型定义、独立工具）CI 通过即合并；中风险（分组次要/补丁框架依赖、vite、oxlint/oxfmt、Playwright）需读正文说明并抽查使用；高风险（react、@tanstack/*、maplibre-gl、react-map-gl、prisma、better-auth、zod、tailwindcss、typescript 主版本）需读迁移说明、grep 相关 API 并运行构建、Lint、单元测试。语义化主版本、明确破坏性变更、peer 依赖冲突、CI 红灯或说明不清时用 AskQuestion，不得自行合并。安全更新至少按中风险处理。
Bun 仓库注意：Dependabot 无法为 Bun 创建安全更新 PR，GitHub 会以 npm_and_yarn 作业失败作为信号，需按告警手动升级：直接依赖在 package.json 设为已修复版本后 bun install；传递依赖用 bun why <package> 处理，必要时 AskQuestion 再考虑 overrides。提交信息形如 chore(deps): bump <package> to <version> 并注明安全修复。
合并：所有必需检查通过、风险已处理且无阻塞评审线程后，用 gh pr merge <number> --rebase --delete-branch 做 rebase 合并以保持线性历史，不使用 squash。不符合合并条件时关闭并在 .github/dependabot.yml 添加针对性 ignore。限制：不跨仓库操作，不在必需检查失败时合并，不重构应用代码，不改 CI 让坏升级通过，安全告警未清空时不得声称完成。相关技能含 tech-stack、babysit、playwright-skill。