chore(community): 补齐社区规范文件与日文协议说明 (#503)

* docs(readme): 补齐日文协议表与 Embeddings 说明

* chore(community): 新增贡献指南、行为准则与社区配置

* chore(community): 明确行为准则举报渠道与 Dependabot 限制

* chore(community): 补齐 embedded module 的检查说明与依赖监控

.github/ISSUE_TEMPLATE/config.yml

@@ -0,0 +1,11 @@
+blank_issues_enabled: false
+contact_links:
+  - name: 部署与配置文档 / Documentation
+    url: https://www.gpt-load.com/docs
+    about: 部署、配置和常见问题请先查阅官方文档。/ Check the official docs for deployment, configuration, and FAQs first.
+  - name: 使用交流 / Community chat
+    url: https://t.me/+GHpy5SwEllg3MTUx
+    about: 使用问题、配置咨询和经验交流请到 Telegram 群。/ Ask usage questions and share experience in the Telegram group.
+  - name: 安全漏洞报告 / Report a security vulnerability
+    url: https://github.com/tbphp/gpt-load/security/advisories/new
+    about: 请勿公开提交安全问题，务必使用私有漏洞报告。/ Never open a public issue for a vulnerability; always use private reporting.

.github/dependabot.yml

@@ -0,0 +1,89 @@
+# 仓库已对所有 action 强制 SHA pin，上游补丁不会自动到达；由 Dependabot 提 PR
+# 更新 SHA 并同步刷新其后的版本注释，保持"可审计"与"能更新"同时成立。
+#
+# 生效前提是 GitHub 的两条硬限制，二者都只能靠切换默认分支根治：
+#   1. Dependabot 只从默认分支读取本文件。本文件位于 v2 而默认分支为 main 时，
+#      下面的 version update 规则不生效。
+#   2. security update 永远只针对默认分支，且一旦声明 target-branch，本文件对该
+#      ecosystem 的配置就不再作用于 security update。即只要默认分支还是 main，
+#      v2 的依赖漏洞就拿不到 Dependabot 的安全更新 PR，需要人工跟进。
+#      https://docs.github.com/en/code-security/reference/supply-chain-security/dependabot-options-reference
+version: 2
+
+updates:
+  - package-ecosystem: github-actions
+    directory: /
+    target-branch: v2
+    schedule:
+      interval: weekly
+    open-pull-requests-limit: 5
+    commit-message:
+      prefix: chore(ci)
+    labels:
+      - dependencies
+    groups:
+      # 与下面两组保持一致：major 单独成 PR，便于评估破坏性变更。
+      github-actions-minor-and-patch:
+        patterns:
+          - "*"
+        update-types:
+          - minor
+          - patch
+
+  - package-ecosystem: gomod
+    directory: /
+    target-branch: v2
+    schedule:
+      interval: weekly
+    open-pull-requests-limit: 5
+    commit-message:
+      prefix: chore(deps)
+    labels:
+      - dependencies
+    groups:
+      # major 升级单独成 PR，便于评估破坏性变更。
+      go-minor-and-patch:
+        patterns:
+          - "*"
+        update-types:
+          - minor
+          - patch
+
+  # third_party/cpaembedded 是独立 module，Dependabot 不会从根目录递归发现，
+  # 需显式声明；它经 replace 编译进主二进制，其依赖属于实际攻击面。
+  - package-ecosystem: gomod
+    directory: /third_party/cpaembedded
+    target-branch: v2
+    schedule:
+      interval: weekly
+    open-pull-requests-limit: 5
+    commit-message:
+      prefix: chore(deps)
+    labels:
+      - dependencies
+    groups:
+      cpaembedded-minor-and-patch:
+        patterns:
+          - "*"
+        update-types:
+          - minor
+          - patch
+
+  - package-ecosystem: npm
+    directory: /web
+    target-branch: v2
+    schedule:
+      interval: weekly
+    open-pull-requests-limit: 5
+    commit-message:
+      prefix: chore(web)
+    labels:
+      - dependencies
+      - javascript
+    groups:
+      web-minor-and-patch:
+        patterns:
+          - "*"
+        update-types:
+          - minor
+          - patch