用途：为团队使用 Windsurf（Cascade）建立统一策略与质量门禁，控制 AI 可执行的操作、强制 AI 生成代码的审查，并减少常见 AI 编码错误。
主要能力：
- 终端安全：在 settings.json 中配置 windsurf.cascadeCommandsAllowList 与 windsurf.cascadeCommandsDenyList，限制 Cascade 可自动执行的命令（如允许 npm test、git diff，禁止 rm -rf、sudo、git push --force、DROP TABLE 等）。
- 工作区隔离：用 .codeiumignore 屏蔽 .env、credentials/、*.pem、terraform.tfstate、生产数据等敏感路径；用 .windsurf/rules/protected-files.md 规定迁移、Dockerfile、CI 工作流、依赖等文件未经明确请求不得修改。
- AI 代码审查门禁：提供 .github/workflows/ai-code-gate.yml 示例，在 PR 中检查大改动集、新增源码是否配套测试、diff 中是否含硬编码密钥。
- 团队规范：docs/windsurf-policy.md 列出必需实践（先提交 Git、仅用功能分支、逐文件审查、接受后测试、AI 提交加 [cascade] 前缀）与禁止行为。
- 扩展信任：.vscode/extensions.json 推荐与不推荐扩展，避免多个 AI 扩展冲突。
- 预检工作流：.windsurf/workflows/safe-cascade.md 在 Cascade 前检查工作区、创建分支。
使用方式：需先完成 Windsurf 团队配置、Git 工作流与 CI/CD 管道，并达成团队 AI 使用共识；随后按步骤落地上述配置文件与工作流。
适用场景：团队级 Windsurf 治理、AI 生成代码的审查与合规、终端命令安全控制。
限制：资料未提供具体价格、平台支持范围或效果数据；示例配置需按团队实际调整。