用途：在 GitHub Actions 工作流中排查并处理 zizmor 报出的安全告警，加固 CI 流水线，并用 SHA 固定第三方 action。核心原则是能修则修，只有在修复会破坏必需功能时才抑制，且必须写明原因。
主要能力与用法：建议在 git worktree 的分支上进行，先确认 pwd 与 git branch。按固定顺序推进，每步单独提交：加入 zizmor CI 任务；配置 dependabot 每周批量更新 github-actions；在 bin/setup 与 bin/ci 加入本地工作流检查（仅当项目存在这些脚本）；执行 pinact run --min-age 10 固定 action；按 high→medium→low→informational 逐级处理告警；将权限改为 job 级；运行 actionlint；最后做 pedantic 复查。运行 zizmor 时应带 GitHub token：GITHUB_TOKEN=$(gh auth token) zizmor .，否则部分在线审计会被静默跳过。自动修复用 zizmor --fix=all --min-severity=<level> .，但必须逐项审查 diff。按规则给出处置建议：artipacked、template-injection、excessive-permissions、bot-conditions、dependabot-cooldown 等需修复；superfluous-actions、cache-poisoning、unpinned-images 等默认抑制；抑制格式为 # zizmor: ignore[rule-name] -- 原因。
适用场景与限制：面向维护 GitHub Actions 工作流的仓库维护者。需具备 zizmor、actionlint、pinact、shellcheck 等工具环境；部分行为（如缓存关闭、凭证持久化）需人工判断，不能直接接受自动修复。资料未提供价格、平台等其他信息。