用途：该技能用于规范 Hack23 所有开源活动，确保通过透明实践体现安全卓越，覆盖自有仓库、外部贡献及第三方开源使用。核心原则是开源透明通过系统化安全卓越与可公开验证的治理形成竞争优势。
主要能力与要求：README 必须展示安全徽章，包括 OpenSSF Scorecard（供应链安全评分≥7.0）、CII Best Practices（至少 Passing）、SLSA Level 3、质量门禁（SonarCloud 或等效显示 Passed），以及 FOSSA、REUSE、许可证徽章；不得发布未配置安全徽章的仓库，不得展示失败状态徽章而无补救计划，不得使用无实际集成的占位徽章。许可证方面，新项目须用 Apache-2.0，源文件须含 SPDX 标识符，添加依赖前须验证兼容性；GPL-3.0、LGPL-3.0、AGPL-3.0 需 CEO 批准，MPL-2.0 自动批准；禁止专有许可证、CC-BY-NC、SSPL、BSL、PolyForm、JSON License 及无许可证代码。依赖管理须生成 CycloneDX 或 SPDX 格式 SBOM，启用 Dependabot 或 Renovate，安全更新须在 7 天（严重）或 30 天（高危）内合并，使用锁文件并用 FOSSA 扫描；不得添加未验证许可证的依赖、使用已知严重漏洞依赖或忽略 Dependabot 警报。社区标准要求仓库包含 CONTRIBUTING.md、CODE_OF_CONDUCT.md、SECURITY.md、LICENSE、README.md。CI/CD 须配置 CodeQL、秘密扫描、Dependabot、FOSSA、SonarCloud；不得绕过扫描失败、禁用安全功能或提交秘密。
适用场景与限制：适用于 Hack23 拥有的仓库、外部贡献和第三方开源使用。合规映射涉及 ISO 27001:2022、NIST CSF 2.0、CIS Controls v8.1。具体实施细节与完整示例见 Hack23 Open Source Policy。