docs(i6): solidify I5_I6 design markdown; add Dependabot and ci-security (Trivy, npm audit)

Made-with: Cursor

docs/engineering/iterations/I6_CLOSEOUT.md

@@ -45,6 +45,7 @@
 | **前端** | 生产构建使用明确 `VITE_API_BASE`（见 §4） |
 | **SDK（本仓）** | 定版 tag、`CHANGELOG`、[轨道 C](../tracks/03-client-sdk.md) **兼容矩阵** 填齐；**I6 周内禁止 MAJOR Schema**（与设计一致） |
 | **内部 Token** | 平台 `PLATFORM_INTERNAL_TOKEN` / `CRAFTLABS_PLATFORM_INTERNAL_TOKEN` 与 Webhook `craftlabs.platform.internal.token` **同值**；轮换走 [RUNBOOK §10](../../../services/RUNBOOK.md) |
+| **依赖 / CVE** | PR 合并前 **`ci-security`** 通过：Trivy 扫描 `services/`、`java/`（`CRITICAL`+`HIGH`，仅已修复项见 workflow）；`npm audit --audit-level=high`（`web/delivery-platform-ui`）。**Dependabot** 周度提 PR（`.github/dependabot.yml`）。 |
 
 ---
 
@@ -65,3 +66,4 @@
 | 日期 | 说明 |
 |------|------|
 | 2026-04-06 | I6 收口执行包初版：UAT 表、冻结清单、VITE 矩阵。 |
+| 2026-04-06 | 冻结清单补充 CI 依赖/CVE 与 Dependabot。 |