用途：保护 CIA 平台的 CI/CD 流水线免受供应链攻击，确保制品完整性，并满足 SLSA（软件制品供应链级别）要求。适用于创建或修改 GitHub Actions 工作流、新增依赖、配置制品签名或证明、审查流水线安全状况、实施依赖更新策略。不适用于应用层安全（应使用 secure-code-review 技能）和基础设施安全（应使用 threat-modeling 技能）。
主要能力：GitHub Actions 加固，要求最小权限、将 action 固定到完整 commit SHA、禁止回显密钥、用 CODEOWNERS 保护工作流文件；供应链安全，覆盖 SLSA 1 至 3 级（当前 GitHub Actions 与托管 runner 满足 1、2 级，3 级进行中）；多层依赖扫描，包括 OWASP Dependency Check、GitHub Dependency Review、Dependabot；SBOM 生成与证明，使用 CycloneDX 插件输出 target/bom.json 并通过 actions/attest-sbom 证明；构建完整性，含可复现构建配置与 actions/attest-build-provenance 制品证明；runner 安全，使用 GitHub 托管 runner 与 step-security/harden-runner 审计出站连接；监控告警，启用 Dependabot、密钥扫描、CodeQL 与 OSSF Scorecard。
使用方式：在 GitHub Actions 工作流中按示例配置权限、固定 action 版本、设置密钥引用、运行依赖扫描与 SBOM 生成命令，并遵循依赖新增与更新策略（补丁可自动合并，次要与主要版本需人工审查）。
限制：资料未提供具体安装命令、收费信息或平台支持范围；部分能力依赖 GitHub 生态与 Maven 工具链。