企业就绪评估技能（Enterprise Readiness），面向生产/企业级就绪评估场景。
用途：判断项目能否上生产或达到企业级要求，并实施供应链安全与 CI/CD 加固。适用主题包括 SLSA 溯源、cosign 签名、SBOM、pnpm；CI/CD 加固与工作流权限；OpenSSF Best Practices（Passing/Silver/Gold）与 OSPS Baseline（L1/2/3）；Scorecard 优化（Token-Permissions、Branch-Protection、Pinned-Deps）；代码审查、ADR、变更日志与 SECURITY.md。仅适用于生产/企业级档位，详见 references/tier-framing.md。
评估流程分五步：发现（识别平台、语言、现有 CI/CD、dependabot.yml）；评分（套用清单，检查 Scorecard、徽章标准、覆盖率）；差距分析（按严重程度列出缺失控制）；实施（应用修复：SHA 固定 action、收紧权限、新增工作流）；验证（重新评分并对比）。
必备工作流与徽章：覆盖率要求包括 CI、CodeQL、Scorecard、依赖审查、composer audit、SBOM，可作为独立工作流或调用 netresearch 可复用工作流的作业；徽章包括 CI、Codecov、Scorecard、Best Practices、Baseline，详见 references/badges-and-workflows.md。
关键加固模式：权限在工作流级声明 permissions: contents: read，仅在具体作业授予写权限；第三方 action 固定到 SHA 并附版本注释（# v4.2.0），组织内部可复用工作流用 @main；每个作业第一步使用 step-security/harden-runner，优先 egress-policy: block 配合 allowed-endpoints；配置 dependabot.yml 覆盖全部生态（composer、npm、github-actions、docker），并用 pull_request_target 为依赖 PR 设置自动合并；通过 codecov-action 上传覆盖率，codecov.yml 配置补丁覆盖率阈值；同时存在 pull_request: 时，将 push: 触发限制为 branches: [main] 以避免重复 CI；SLSA 溯源使用 actions/attest-build-provenance 配合 id-token: write 与 attestations: write，并用 gh attestation verify 验证（项目自身工作流中为 Level 2，Level 3 需 checkout、构建与证明都在项目无法编辑的组织可复用工作流内）；SECURITY.md 需包含漏洞披露流程与响应 SLA（Critical 7 天、High 30 天）。
关键规则：绝不在 run: 块中插值 ${{ github.event.* }} 或 ${{ inputs.* }}（脚本注入）；绝不猜测 action 版本，需从 GitHub API 获取并与标签核对 SHA；徽章理由必须包含 https:// URL；对有 Dependabot/Renovate 的仓库始终配置自动合并。
参考资料包括 general.md、scorecard-playbook.md、badges-and-workflows.md、mandatory-requirements.md、ci-patterns.md、code-review.md、slsa-provenance.md、signed-releases.md、openssf-badge-silver.md、openssf-badge-gold.md、openssf-badge-baseline.md、bestpractices-json.md、harden-runner-guide.md、solo-maintainer-guide.md、npm-pnpm-supply-chain.md、python-pip-supply-chain.md。相关技能：go-development、github-project、security-audit、git-workflow。
限制：资料未提供具体安装命令、价格或平台支持范围。