用途：将 Hack23 AB 的安全开发策略落地到项目全流程，以安全设计（security-by-design）和系统化 DevSecOps 实践指导开发。
主要能力：按五个阶段给出可执行要求。规划与设计阶段要求项目分类、CIA 三要素级别、RTO/RPO、SECURITY_ARCHITECTURE.md（含 Mermaid C4 图）、STRIDE 威胁建模（THREAT_MODEL.md）、风险评估与安全投资 ROI。开发阶段要求遵循 OWASP Top 10、语言特定安全实践、安全代码评审、数据分类、使用 GitHub secrets 而非硬编码凭据、参数化查询、输入校验与输出编码、错误处理不泄露信息。测试阶段覆盖 SAST（SonarCloud 质量门禁）、SCA（依赖扫描、SBOM、许可证合规，按严重级别设定修复 SLA：严重 24 小时、高 7 天、中 30 天、低 90 天）、DAST（OWASP ZAP）、密钥扫描与测试数据保护。部署阶段要求 CI/CD 安全门禁、GitHub Actions 固定到 SHA、harden-runner 出站审计、最小权限、生产手动审批与回滚计划。运维阶段要求漏洞管理、安全指标、依赖更新、事件响应与年度评审。
AI 管控：AI 仅作为提案生成器，所有输出需人工评审批准，不得绕过 CI/CD 与安全门禁，不得自主部署生产；AI 辅助代码走标准 PR 流程并记录；对 .github/agents/.md、.github/copilot-mcp.json、.github/workflows/copilot-setup-steps.yml 的变更需 CEO 批准。
测试与证据：单元测试最低 80% 行覆盖、70% 分支覆盖，需 UnitTestPlan.md；端到端测试覆盖关键用户旅程，需 E2ETestPlan.md；README 需展示 OpenSSF Scorecard（目标 ≥7.0）、CII Best Practices、SLSA Level 3、SonarCloud 质量门禁、覆盖率、许可证与威胁模型徽章。
限制：资料未提供具体安装命令、价格、平台支持范围或实际效果数据；内容为策略与清单，需结合具体项目分类与组织流程实施。