用途：为 Hack23 各项目建立以安全为核心的代码审查实践，确保安全漏洞、不安全模式与合规违规在代码进入生产前被识别并修复。
主要能力：提供审查要求（MUST/MUST NOT）、安全审查检查清单与自动化扫描集成要求。检查清单覆盖认证与授权（非公开资源强制认证、每个访问点检查授权、最小权限）、输入输出（允许列表校验输入、按上下文编码输出、不反射未净化用户输入）、数据保护（静态与传输加密、代码与配置中无密钥、数据分级）、错误处理（不向用户暴露堆栈、日志不含敏感数据、失败不绕过安全）、依赖（检查新依赖漏洞、固定版本、避免不必要依赖）。
使用方式：所有代码变更合并前必须审查安全影响；以 CodeQL、Dependabot 等自动化扫描作为第一道防线；每个 PR 按检查清单逐项核对；所有仓库须配置 GitHub CodeQL 在 push 与 PR 时分析、启用 Dependabot 告警、启用密钥扫描、分支保护要求状态检查通过。
限制与禁止：不得批准存在已知严重/高危漏洞的代码；不得因“小改动”跳过安全审查；不得批准无书面理由即禁用安全控制的代码；安全敏感变更不允许自我批准。
合规映射：ISO 27001:2022 A.8.25、A.8.4；NIST CSF 2.0 PR.DS、PR.IP；CIS Controls v8.1 控制 16。具体安装命令与价格暂未提供。