[ROM4n2]

做法

把 6 个 dependabot PR 一次性合到本 PR，随后关闭原 PR。

原因：5 个 pip PR 每个都只改 1 行版本，但按 .gitattributes 的 eol=crlf 会把 requirements.lock.txt 整文件重写（每个 83 行噪声 diff），且它们改同一文件必然逐个冲突、需要 6 轮 rebase + 6 轮 CI。

变更

包	变化
fastapi	0.162.0 → 0.162.2（patch；requirements.txt 显式 pin 同步）
click	8.5.0 → 8.5.1
pydantic-core	2.50.2 → 2.50.4
typer	0.27.3 → 0.28.0（minor；本仓库只在工具脚本里做 CLI 参数解析）
typing-inspection	0.4.4 → 0.4.5
actions/cache	v4 → v6（8 处；v5 起要求 runner ≥ 2.327.1，GH 托管 runner 已满足）

requirements.txt 顶部补了本次 bump 记录与风险面评估（与既有 2026-11-01 条目同格式）。

需要知道的一点

requirements.txt 的 blob 原本是 CRLF（早于 .gitattributes 契约写入），git 在 add 时按 text 属性规范化为 LF，因此本 PR 里该文件显示整段重写。属一次性清理，之后修改不再产生该噪声。

验证

• 本地 .venv 仍是旧版本，没有本地验证新依赖的实际兼容性——这部分由 CI（pip install -r requirements.txt 后跑全量门禁）裁决。
• 本地已跑 CI 定义 / 依赖清单相关守卫：116 passed（含分片登记、workflow 断言、发布文档闸）。
• 3 个 workflow 文件的 YAML 均可解析（jobs 数 8 / 5 / 1 不变）。