用途：用于评估项目是否达到生产或企业就绪标准，并实施供应链安全与 CI/CD 加固。仅面向生产/企业层级，层级说明见 references/tier-framing.md。
主要能力：供应链安全（SLSA 出处证明、cosign 签名、SBOM）；CI/CD 加固与工作流权限管控；OpenSSF Best Practices（Passing/Silver/Gold）与 OSPS Baseline（L1/2/3）；Scorecard 优化（Token-Permissions、Branch-Protection、Pinned-Deps）；代码审查、ADR、变更日志与 SECURITY.md。
使用方式：按五步流程评估——发现（平台、语言、现有 CI/CD、dependabot.yml）；评分（套用检查清单，核对 Scorecard、徽章标准、覆盖率）；差距分析（按严重程度列出缺失控制项）；实施（SHA 固定 action、加固权限、新增工作流）；验证（重新评分对比）。关键加固模式：工作流级声明 permissions: contents: read，仅在作业级授予写权限；第三方 action 固定到 SHA 并附版本注释（# v4.2.0），组织内部可复用工作流用 @main；每个作业第一步使用 step-security/harden-runner，优先 egress-policy: block 配 allowed-endpoints；dependabot.yml 覆盖 composer、npm、github-actions、docker 等生态，并用 pull_request_target 配置依赖 PR 自动合并；通过 codecov-action 上传覆盖率，codecov.yml 设补丁覆盖率阈值；同时存在 pull_request 时将 push 触发限定为 branches: [main] 以防重复 CI；用 actions/attest-build-provenance 生成 SLSA 出处证明（需 id-token: write 与 attestations: write），用 gh attestation verify 验证；SECURITY.md 写明漏洞披露流程与响应 SLA（严重 7 天、高危 30 天）。强制工作流与徽章：CI、CodeQL、Scorecard、依赖审查、composer audit、SBOM，徽章包括 CI、Codecov、Scorecard、Best Practices、Baseline，详见 references/badges-and-workflows.md。
关键规则：禁止在 run: 块中插值 ${{ github.event.* }} 或 ${{ inputs.* }}（脚本注入）；禁止猜测 action 版本，须从 GitHub API 获取并对照标签验证 SHA；徽章理由中始终包含 https:// URL；对有 Dependabot/Renovate 的仓库始终配置自动合并。
参考文档：references/general.md（始终）、scorecard-playbook.md、badges-and-workflows.md、mandatory-requirements.md、ci-patterns.md、code-review.md、slsa-provenance.md、signed-releases.md、openssf-badge-silver.md、openssf-badge-gold.md、openssf-badge-baseline.md、harden-runner-guide.md、solo-maintainer-guide.md、npm-pnpm-supply-chain.md。
限制：仅适用于生产/企业层级项目；包含平台、语言、具体定价及部分实施细节的资料暂未提供。