chore(security): add repository supply-chain governance

[seonghobae]

Summary

• add repository-local Dependabot coverage for Gradle and GitHub Actions on master
• add a local security-reporting entry point that keeps the organization policy as the single source of truth
• verify the checked-in Gradle 5.1.1 wrapper JAR before CI execution
• pin the downloaded Gradle 5.1.1 distribution with its published SHA-256 checksum

Verification

• actionlint .github/workflows/ci.yml
• YAML parse for CI and Dependabot configuration
• wrapper JAR SHA-256 matches Gradle's published 5.1.1 wrapper checksum
• distribution SHA-256 matches Gradle's published 5.1.1 binary checksum
• JAVA_HOME=/opt/homebrew/opt/openjdk@11/libexec/openjdk.jdk/Contents/Home ./gradlew build --no-daemon
  • tests passed
  • JaCoCo report and coverage verification passed

Governance scope

This addresses the source-managed portions of ContextualWisdomLab/.github#693. Repository security-feature settings and disposition of the intentional, checksum-verified wrapper JAR alert remain tracked there because they require separate settings/governance actions.

Refs ContextualWisdomLab/.github#693

Summary by CodeRabbit

• 보안

  • Gradle 배포 파일과 Wrapper의 무결성 검증을 추가해 변조된 빌드 도구 사용을 방지합니다.
  • 보안 취약점의 비공개 신고 절차와 필요한 보고 정보를 안내합니다.

• 유지보수

  • Gradle 및 GitHub Actions 의존성을 매주 자동으로 확인하고 업데이트하도록 설정했습니다.

[coderabbitai]

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro Plus

Run ID: de98b9f3-0770-4f44-be1d-c4b1a7ce05a6

📥 Commits

Reviewing files that changed from the base of the PR and between a32b065 and 46c321d.

📒 Files selected for processing (4)

• .github/dependabot.yml
• .github/workflows/ci.yml
• SECURITY.md
• gradle/wrapper/gradle-wrapper.properties

---

📝 Walkthrough

Walkthrough

Dependabot에 Gradle 및 GitHub Actions 주간 업데이트를 설정했습니다. Gradle 배포 파일과 Wrapper JAR의 SHA-256 검증을 추가했습니다. 보안 취약점의 비공개 보고 절차를 문서화했습니다.

Changes

빌드 의존성 무결성

Layer / File(s)	Summary
Dependabot 업데이트 구성 .github/dependabot.yml	Gradle과 GitHub Actions의 주간 업데이트를 master 브랜치에 대해 설정했습니다. 열린 풀 리퀘스트 수를 5개로 제한했습니다.
Gradle 무결성 검증 gradle/wrapper/gradle-wrapper.properties, .github/workflows/ci.yml	Gradle 배포 파일에 distributionSha256Sum을 지정했습니다. CI에서 Gradle Wrapper JAR의 실제 SHA-256 값과 예상값을 비교하고 불일치 시 빌드를 실패시킵니다.

보안 보고 정책

Layer / File(s)	Summary
보안 정책 문서화 SECURITY.md	조직 정책을 지원 버전, 취약점 공개, 대응 절차의 기준으로 지정했습니다. 비공개 취약점 보고 링크와 필수 보고 정보를 안내했습니다.

Estimated code review effort: 2 (Simple) | ~10 minutes

🚥 Pre-merge checks | ✅ 5

✅ Passed checks (5 passed)

Check name	Status	Explanation
Description Check	✅ Passed	Check skipped - CodeRabbit’s high-level summary is enabled.
Title check	✅ Passed	제목은 Dependabot, 보안 보고, Gradle 무결성 검증을 포함한 저장소 공급망 거버넌스 변경을 정확히 요약합니다.
Docstring Coverage	✅ Passed	No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check.
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch codex/html4tree-governance

---

_{Comment @coderabbitai help to get the list of available commands.}