用途：在批准或合并拉取请求前使用，尤其适合审计涉及环境变量、CMS 集成或面向用户 HTML 的改动。
主要能力与检查点： 一、密钥与配置。不得提交真实 .env 值或 delivery/preview token，文档中只用占位符；新增 NEXT_PUBLIC_* 键会暴露给浏览器，不要把仅限服务端的敏感密钥放在该前缀下。 二、Contentstack。token 作用域与预览设置需与 README.md 保持一致，包括支持预览的 delivery token 和 Live Preview 环境。 三、安全与依赖。PR 会触发 SCA（.github/workflows/sca-scan.yml），需明确说明新增依赖和已知安全公告；公开仓库按 .github/workflows/policy-scan.yml 要求准备 SECURITY.md 与许可证文件。 四、HTML 与 XSS。富文本和块内容仅在 pages/index.tsx 中经 isomorphic-dompurify 处理后使用 dangerouslySetInnerHTML；改动标记时应保留或改进净化逻辑。 五、图片。新增远程图片域名必须同步到 next.config.mjs 的 images.remotePatterns（或由环境变量驱动的 hostname），否则 next/image 会在运行时出错。 六、质量。实质性的 TS/React 改动需在本地运行 npm run lint。
限制：资料未提供具体命令行之外的自动化配置细节、收费信息或适用平台范围。