Abhängigkeiten pflegen sich selbst, Actions und Pakete auf einen Stand

.github/dependabot.yml

@@ -0,0 +1,89 @@
+# Hält die NuGet-Pakete von selbst auf Stand.
+#
+# Dependabot sieht einmal pro Woche nach, ob es für ein Paket aus einer
+# .csproj eine neuere Fassung gibt, und öffnet dafür einen Pull Request.
+# Gebaut und geprüft wird der von build.yml wie jeder andere Zweig auch -
+# was dort nicht durchläuft, lässt sich also nicht versehentlich
+# zusammenführen. Zusammengeführt wird nichts von allein; das bleibt ein Klick.
+#
+# WICHTIG: Die Datei wirkt erst, wenn sie im Standardzweig liegt. Auf einem
+# Nebenzweig tut sie nichts.
+#
+# Sicherheitslücken meldet Dependabot unabhängig von diesem Takt sofort -
+# vorausgesetzt, "Dependabot security updates" ist in den Einstellungen des
+# Repositories eingeschaltet.
+
+version: 2
+
+updates:
+  - package-ecosystem: nuget
+
+    # "/" meint das ganze Repository: Dependabot durchsucht von der Wurzel aus
+    # auch die Unterordner und findet damit WindowsDaSiTool.csproj und das
+    # Testprojekt unter tests\.
+    directory: "/"
+
+    schedule:
+      interval: weekly
+      day: monday
+      time: "06:00"
+      timezone: Europe/Berlin
+
+    # Mehr als drei offene Paket-Anfragen gleichzeitig bringen nichts - sie
+    # veralten schneller, als sie durchgesehen werden.
+    open-pull-requests-limit: 3
+
+    commit-message:
+      prefix: "Pakete"
+
+    groups:
+      # Die vier Avalonia-Pakete tragen stets dieselbe Versionsnummer und
+      # müssen gemeinsam wandern. Einzeln angehoben ergäbe das einen Build,
+      # der an widersprüchlichen Fassungen scheitert - deshalb steht hier
+      # bewusst KEIN update-types: Auch der Sprung auf eine neue Hauptversion
+      # kommt als ein einziger Pull Request, der alle vier zusammen anhebt.
+      avalonia:
+        patterns:
+          - "Avalonia*"
+
+      # Alles Übrige (CommunityToolkit.Mvvm, Tmds.DBus.Protocol, ...) in einer
+      # gemeinsamen Anfrage - aber nur kleine Sprünge. Eine neue Hauptversion
+      # kommt absichtlich allein, damit sie einzeln angesehen werden kann.
+      uebrige-pakete:
+        patterns:
+          - "*"
+        exclude-patterns:
+          - "Avalonia*"
+        update-types:
+          - minor
+          - patch
+
+  # Dieselbe Pflege für die Aktionen in .github/workflows/ - checkout,
+  # setup-dotnet, upload-artifact und die übrigen. Bis hierher wurden sie von
+  # Hand gepflegt und waren entsprechend ungleich (checkout@v4 neben
+  # checkout@v5, upload-artifact@v4 neben @v6); künftig hebt Dependabot sie an.
+  - package-ecosystem: github-actions
+
+    # Bei Aktionen ist "/" wörtlich das Repository-Stammverzeichnis: Dependabot
+    # sieht dann in .github/workflows/ nach. Ein anderer Pfad wäre hier falsch.
+    directory: "/"
+
+    schedule:
+      interval: weekly
+      day: monday
+      time: "06:00"
+      timezone: Europe/Berlin
+
+    open-pull-requests-limit: 3
+
+    commit-message:
+      prefix: "Aktionen"
+
+    groups:
+      # Alle Aktionen in einer einzigen Anfrage, bewusst ohne update-types.
+      # Eine neue Hauptversion wechselt bei den offiziellen Aktionen fast immer
+      # nur die Node-Fassung des Läufers; sie gemeinsam anzuheben hält die
+      # Workflows untereinander gleich - genau darum ging es.
+      aktionen:
+        patterns:
+          - "*"

.github/workflows/build.yml

@@ -18,9 +18,9 @@ jobs:
   pruefungen:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v5
+      - uses: actions/checkout@v7
 
-      - uses: actions/setup-dotnet@v5
+      - uses: actions/setup-dotnet@v6
         with:
           dotnet-version: '10.0.x'
 
@@ -32,9 +32,9 @@ jobs:
   uebersetzen:
     runs-on: windows-latest
     steps:
-      - uses: actions/checkout@v5
+      - uses: actions/checkout@v7
 
-      - uses: actions/setup-dotnet@v5
+      - uses: actions/setup-dotnet@v6
         with:
           dotnet-version: '10.0.x'
 
@@ -61,7 +61,7 @@ jobs:
             -p:EnableCompressionInSingleFile=true `
             -p:DebugType=none -p:DebugSymbols=false
 
-      - uses: actions/upload-artifact@v4
+      - uses: actions/upload-artifact@v7
         with:
           name: WindowsDaSiTool-Testbau
           path: publish/WindowsDaSiTool.exe

.github/workflows/release.yml

@@ -40,11 +40,11 @@ jobs:
     runs-on: windows-latest
     steps:
       # Beim Etikett dessen Stand, beim Knopfdruck der Stand des Standardzweigs.
-      - uses: actions/checkout@v5
+      - uses: actions/checkout@v7
         with:
           fetch-depth: 0
 
-      - uses: actions/setup-dotnet@v5
+      - uses: actions/setup-dotnet@v6
         with:
           dotnet-version: '10.0.x'
 
@@ -107,7 +107,7 @@ jobs:
 
       # Legt das Etikett mit an, falls es noch nicht existiert (Knopfdruck-Weg).
       - name: Veröffentlichung anlegen
-        uses: softprops/action-gh-release@v2
+        uses: softprops/action-gh-release@v3
         with:
           tag_name: ${{ steps.version.outputs.tag }}
           name: Windows DaSi Tool ${{ steps.version.outputs.version }}

WindowsDaSiTool.csproj

@@ -28,20 +28,20 @@
   </PropertyGroup>
 
   <ItemGroup>
-    <PackageReference Include="Avalonia" Version="12.1.1" />
-    <PackageReference Include="Avalonia.Desktop" Version="12.1.1" />
-    <PackageReference Include="Avalonia.Themes.Fluent" Version="12.1.1" />
-    <PackageReference Include="Avalonia.Fonts.Inter" Version="12.1.1" />
+    <PackageReference Include="Avalonia" Version="12.1.2" />
+    <PackageReference Include="Avalonia.Desktop" Version="12.1.2" />
+    <PackageReference Include="Avalonia.Themes.Fluent" Version="12.1.2" />
+    <PackageReference Include="Avalonia.Fonts.Inter" Version="12.1.2" />
     <PackageReference Include="CommunityToolkit.Mvvm" Version="8.4.2" />
     <!-- System.Text.Encoding.CodePages wurde entfernt: Ab .NET 10 ist die
          Funktionalitaet (CodePagesEncodingProvider fuer Codepage 850) im
          Framework enthalten. Das separate Paket ist unnoetig (Warnung NU1510).
          Der Registrierungscode in Program.cs bleibt unveraendert und funktioniert. -->
     <!-- Diese (nur unter Linux genutzte) D-Bus-Abhaengigkeit kommt ueber
          Avalonia.Desktop transitiv herein. Wir setzen sie explizit auf die
-         neueste Version 0.94.2 - deutlich ueber der fuer CVE-2026-39959 (HIGH)
+         neueste Fassung - deutlich ueber der fuer CVE-2026-39959 (HIGH)
          gepatchten 0.92.0, also CVE-frei. Unter Windows nicht ausgefuehrt. -->
-    <PackageReference Include="Tmds.DBus.Protocol" Version="0.94.2" />
+    <PackageReference Include="Tmds.DBus.Protocol" Version="0.95.1" />
   </ItemGroup>
 
   <ItemGroup>