用途：审查 GitHub Actions 工作流的安全性与正确性，或为 Terraform、Helm/EKS、容器构建和发布自动化生成新工作流，并落实团队在最小权限令牌、OIDC 和生产门禁方面的标准。
主要能力：提供三种模式。review 对 .github/workflows/*.yml 输出阻断性与建议性发现；new 可脚手架生成 terraform、docker、release 三类工作流；harden 按安全基线提出补丁。检查项涵盖：动作未固定到 40 位 SHA、pull_request_target 检出 PR head 导致 RCE、permissions: write-all 过度授权、使用静态 AWS 密钥而非 OIDC、密钥在 run: 中回显、生产部署缺少 environment 保护、脚本注入、公共仓库自托管运行器无限制等阻断问题，以及缺少 concurrency、timeout-minutes、缓存、依赖扫描、权限基线等建议项。每条发现带规则 ID，抑制需在上一行写 # gha-skill:ignore <RULE-ID> -- <原因>，原因必填；仅报告置信度超过 80% 的问题并需引用原始行。
使用方式：在对话中给出模式名（review/new/harden），或让技能检查工作目录；无工作流但有 .tf 或 Dockerfile 时会询问是否脚手架生成。审查前会读取全部工作流文件，并跟随同仓库的可复用工作流引用。
限制：不自行编写文件，仅产出报告内容与补丁；不会编造动作 SHA，需用户用 gh api repos/<owner>/<repo>/git/refs/tags/<tag> 查询；具体价格与平台信息暂未提供。