[maly]

Closes #3

Změny

• @yao-pkg/pkg 5.16.1 → 6.23.0 (package.json + package-lock.json).
• pkg.targets → node24-win-x64, node24-linux-x64, node24-macos-x64, node24-macos-arm64; je to jediný zdroj cílů – release.yml je načítá z package.json (npx pkg … --targets "$TARGETS").
• release.yml: první krok jobu build-and-release ověří, že ${GITHUB_REF_NAME#v} odpovídá version v package.json, jinak workflow skončí dřív, než vznikne Release. Workflow-level permissions jsou jen contents: read, build-and-release má contents: write, publish zůstává contents: read + id-token: write.
• engines.node >=22, README to samé; CI (ci.yml) běží v matici Node 22 a 24.
• Nový .github/dependabot.yml (npm + github-actions, týdně).
• Verze balíčku 1.0.40 → 1.0.41 (podle upřesnění v issue; patch jako dřív, viz poznámka níž).

Ověření (lokálně, Node 24.21.0)

• actionlint – bez nálezů.
• npm ci + npm test (smoke test bundlů) – OK; npm pack --dry-run – OK.
• Stejný postup jako krok „Build binaries“ (všechny 4 cíle × 4 nástroje) – sestaví se všech 16 binárek s vestavěným Node v24.20.0; scripts/smoke.sh dist – OK; ./dist/asm80-linux-x64 --help funguje.
• Kontrola tagu: v1.0.41 projde, v1.0.40 skončí chybou „Tag neodpovídá verzi v package.json“.

Poznámky

• Kvůli zvednutí engines z >=18 na >=22 by se dalo uvažovat i o minor/major verzi; použil jsem patch 1.0.41, jak bylo zvykem. Pokud chceš jinou, stačí upravit version.
• pkg při sestavení na Linuxu varuje, že binárky macos-arm64 nejsou podepsané (ad-hoc podpis přes codesign/ldid). Tak to bylo už s pkg 5, tímhle PR se to nemění.