[Security] 启用 CodeQL、依赖告警与敏感信息防护

[damingishere-coder]

背景

项目处理 API Key、简历、浏览器扩展、本地数据库和招聘平台登录状态，需要比普通展示项目更严格的安全检查。

目标

在不接触真实用户数据的前提下，为 Java、JavaScript / TypeScript、依赖和密钥泄露建立持续检查。

验收标准

• 在 Security and quality 中启用 Dependabot alerts
• 启用 Dependabot security updates
• 配置 CodeQL 扫描 Java 与 JavaScript / TypeScript
• 启用 Secret scanning（账号支持时）
• 启用 Push protection（账号支持时）
• CI 或提交前检查常见敏感文件和字段
• 对发现的问题建立处理优先级和误报说明
• 更新 SECURITY.md

重点检查

• .env、API Key、Bearer Token、Cookie、Authorization
• *.db、*.sqlite、备份文件和日志
• 简历、聊天截图和浏览器用户目录
• 命令执行、路径拼接、CORS 和扩展消息来源校验
• 过期或存在已知漏洞的 Gradle、npm 和 GitHub Actions 依赖

注意

安全扫描不得上传真实数据库、简历、Cookie 或本地浏览器配置作为测试样本。

[damingishere-coder]

第三轮进展已通过 PR #29 合并到 main：

• CodeQL 已覆盖 Java / Kotlin 与 JavaScript / TypeScript
• 两种语言的 security-extended 分析均已成功运行
• Dependabot 已限制为 Minor / Patch 更新，避免未经评估的大版本升级
• Release、CI 和 Chrome 扩展校验均不读取真实 Cookie、简历、数据库或 API Key
• SECURITY.md 已补充自动化检查、CI 与 Release 安全边界

本 Issue 暂不关闭：Dependabot alerts/security updates、Secret scanning、Push protection 等仓库级开关仍需在 GitHub Settings 中确认启用，并需要根据 Security 页面中的实际告警继续处理。