用途：把安全融入开发最早阶段，而不是事后补丁。核心原则包括：默认安全（默认 HTTPS、最小权限、加密通信、安全密码策略、默认关闭非必要功能）；纵深防御（网络、应用、访问控制、数据、监控多层）；最小权限（GitHub Actions 最小权限、角色与令牌限定范围）；安全失败（错误不泄露信息、认证失败锁定）；不信任用户输入（校验、参数化查询、输出编码、白名单）；保持简单（用成熟库、避免自研加密、缩小攻击面）；职责分离（合并前代码审查、环境隔离、审计）；机制经济（标准协议、平台安全能力）。
静态站点做法：消除服务端攻击面，强制 HTTPS/TLS 1.3、HSTS、安全 Cookie 标志；配置 CSP、X-Content-Type-Options、X-Frame-Options、Referrer-Policy；减少依赖，CDN 资源启用 SRI，定期依赖扫描。
CI/CD 做法：GitHub Actions 中声明最小 permissions，固定 Action 到 SHA，使用 harden-runner，安全使用 secrets，启用 Dependabot、CodeQL/Semgrep、secret scanning、签名提交。
生命周期：设计（STRIDE 威胁建模、安全需求与架构）、开发（安全编码、输入校验、输出编码、安全错误处理与日志）、测试（SAST、依赖与密钥扫描、人工审查、渗透测试）、部署（安全流水线、加固、监控、回滚）、运营（持续监控、漏洞与补丁管理、定期审查）。
限制：资料未提供具体安装命令、收费、平台支持范围或效果数据；内容为原则与示例，落地需结合项目实际。