Dependabot 版本更新默认增加三天冷却期

GitHub 旗下 Dependabot 对版本更新默认启用三天冷却，即新版本发布后至少等待三天才开 pull request；安全更新仍即时推送。2025 年 9 月 npm 下毒事件及 2018–2026 年 21 起供应链案例显示下毒版本通常在数小时内被下架，三天冷却可避开大部分短窗口攻击。