用途：审计和加固多条 Maven 维护分支的许可证门禁，核对许可证来源证据、选择表与排除表、SBOM 生成、完整 Reactor 验证、commit/push 证明及 CI 完成度。它不替代项目自身的 JDK/Maven/POM 契约、许可证政策或 CI 必需检查配置。
主要能力：验证 CycloneDX/SPDX SBOM 与实际依赖图、最终提交和发布范围一致；区分完整 Reactor、目标模块复验、-rf 恢复执行与 CI 等价验证；核对本地 HEAD、tracking ref、远端 SHA 及该 SHA 触发的必需 CI。
使用方式：先读取项目指令与各分支工具链契约，建立一行一个分支的证据矩阵，状态仅限 passed、failed、in_progress、blocked、skipped、unknown，skipped 永不等于 passed；每格附实际命令、退出码、报告路径、依赖坐标、远端 SHA 或 run/job ID 等可复核证据。随后处理许可证与 SBOM、闭合完整 Reactor、核对提交推送、等待最终 SHA 的必需 CI，最后按判定、范围、已闭合、未闭合、异常分类、剩余风险、下一动作给出结论。
限制：不做法律判断，许可证兼容性有争议时转交法务或治理者；不自动选择许可证、伪造证据、放宽必需 CI，也不把 safety 扫描 skipped 写成 passed；未经授权不创建/切换分支、改写历史、commit、push 或重跑 CI。HTTP 200 只证明可访问，不证明许可证语义正确；push 成功只证明传输，不证明远端最终状态或 CI 通过。完整长代码示例与参考文件内容暂未提供。