用途：将 Windsurf（现 Devin Desktop）配置校验与 AI 代码质量门禁集成进 CI/CD 流水线，覆盖 .devin/rules/project.md 校验、AI 生成代码的团队策略执行，以及 Windsurf 配置的自动分发。
主要能力：
- 配置校验：在 pull_request 触发时检查 .devin/rules/project.md 是否存在、字符数是否超过 12000 上限；检查 .codeiumignore 是否覆盖 .env、.pem、.key、credentials 等模式；校验 .devin/rules/*.md 的 YAML frontmatter 与 trigger 字段。
- AI 代码质量门禁：检测大变更集（超过 20 个文件时告警）；新增源码文件超过 3 个且无测试时报错；扫描新增文件中的硬编码密钥（如 sk_live、AKIA、ghp_、glpat-、xoxb-）。
- 配置分发：通过 matrix 在 frontend、backend、mobile 等子仓库中创建分支与 PR，不直接写入默认分支，使用 REPO_SYNC_TOKEN 与 gh workflow run。
- 提交约定：对超过 10 个文件的变更集提示使用 [cascade] 标签。
- MCP 健康检查（可选）：校验 ~/.codeium/windsurf/mcp_config.json 是否为合法 JSON。
使用方式：需启用 GitHub Actions 的仓库、仓库内已有 Windsurf 配置文件、团队就 AI 代码审查策略达成一致。工具使用上，Read 仅检查所需文件，Write 仅用于用户要求的新产物，Edit 用于有界可审查的改动，Bash 仅使用 frontmatter 中声明的命令范围，变更前先做非破坏性检查。输出为可审查的 CI 变更集，含策略检查、保护分支安全的工作流、本地复现命令、预期通过与失败证据及回滚说明。
限制：不得直接推送到受保护的默认分支，不得在生成文件中嵌入仓库凭据。常见问题包括规则文件超限（拆分为 .devin/rules/ 下的工作区规则）、diff 中检测到密钥（移除、轮换并加入 .codeiumignore）、配置同步失败（更新 REPO_SYNC_TOKEN 权限）、frontmatter 校验失败（补充 trigger 字段）。具体收费、价格与平台支持情况暂未提供。