ci(renovate): trigger on Dependency Dashboard checkbox edits

.github/workflows/renovate.yaml

@@ -21,11 +21,13 @@ on:
         description: dry-run（書き込みなしでログ出力のみ）
         type: boolean
         default: false
-  # NOTE: `issues: edited` / `pull_request` トリガーは意図的に外している。Renovate 自身が
-  # Dependency Dashboard issue の body を毎回更新するため、これらを残すと
-  # 「run が dashboard を更新 → issues:edited が発火 → 別の run が起動」の自走ループになり
-  # 大量の `repository-changed` abort を生む。Dashboard checkbox を toggle しても次の
-  # scheduled / workflow_dispatch run で読み取られるので機能は失われない（即時反応しなくなるだけ）。
+  # Dependency Dashboard のチェックボックスを人間が toggle したら即時実行する。
+  # Renovate(App bot) 自身の dashboard 更新も issues:edited を発火させるが、下の
+  # job-level if が sender.type=Bot を弾くので自走ループ（run→dashboard更新→
+  # issues:edited→別run→repository-changed abort）にはならない。PAT 版では編集者が
+  # 人間ユーザと同一で sender フィルタが効かなかったため、このトリガーを外していた。
+  issues:
+    types: [edited]
 
 concurrency:
   group: renovate
@@ -37,6 +39,13 @@ jobs:
     timeout-minutes: 60
     # 実際の repo write 権限は GitHub App トークンが持つため job の GITHUB_TOKEN は不要。
     permissions: {}
+    # issues イベントは「人間が Dependency Dashboard issue を編集したとき」だけ通す。
+    # App bot 自身の body 更新(sender.type=Bot)と無関係な issue 編集は弾き、
+    # schedule / workflow_dispatch は常に通す。
+    if: >-
+      github.event_name != 'issues' ||
+      (github.event.sender.type == 'User' &&
+      github.event.issue.title == 'Dependency Dashboard')
     steps:
       # 専用 GitHub App の短命トークンを発行。GITHUB_TOKEN と異なり App トークンで
       # 作成した PR は ci.yaml 等のワークフローを発火できる（automerge 前提のため必須）。