[tiye]

使用者影响

修复 Dependabot PR 在全部 Calcit 检查、原业务测试和构建通过后，仍因缺少 COS bucket/密钥而失败的问题。Dependabot 与 fork PR 继续完整检查/构建，但不上传预览；普通同仓库 PR 和 main 的原上传/部署行为保持不变。

不新增 Dependabot secrets、不扩大 GITHUB_TOKEN、不使用 pull_request_target，也不通过人工重跑获取更高权限。

原因及改动

Timegrass #121 的运行 39480761448 由 dependabot[bot] 发起，唯一失败为 COS Action Missing required input: bucket。原条件仅检查同仓库，误把 Dependabot PR 当作可读取普通 Actions secrets 的预览运行。

仅在原 COS 步骤增加 PR 作者排除条件并更新 README；按 PR 作者判断，也覆盖由维护者重新打开/同步此 PR 的情况。COS Action 1.2.0 内置 public-base-url 校验保留，所有前后端门禁、版本、生产前缀及 web/server rsync 路径不变。

验证与边界

• YAML 解析、git diff --check 通过；结构比较确认仅 COS 条件变化。
• Snapshot、依赖、lock 和业务代码未修改，未运行本地 Caps 或新增验证脚本。
• 原 chore(deps-dev): bump vite from 8.3.0 to 8.3.3 #121 日志证明 Calcit/业务/构建已通过；修复 PR 的 CI 将独立重放原流程。
• 本 PR 不自行合并或部署。合并 main 会按原工作流触发前后端 rsync，必须另行确认，不能把它称为纯文档无部署合并。

依据：GitHub 官方 Dependabot Actions 限制。这是项目 workflow 条件问题，不是 Calcit 或 COS Action 验证缺陷，不重复向其上游报错。