用途：根据真实项目证据生成或修订 GitHub Actions workflow，覆盖 CI、测试矩阵、构建、Release、部署、缓存、Secrets、OIDC 与 PR 自动化等场景。
主要能力：先读 manifest、lockfile、wrapper、运行时文件与现有 workflow，确认 lint、test、build、package 命令；识别 monorepo 边界、矩阵维度、服务容器、缓存路径与产物；设计最小流水线，默认只生成只读 CI，发布与部署单独授权；核验并固定 Action 到完整 40 位 commit SHA，保留版本注释。
必要用法：不要凭项目名猜测运行时、包管理器或部署目标；pull_request 按不可信代码处理，只读 Token、无 Secrets、不在高权限自托管 Runner 上执行 fork 代码；pull_request_target 绝不 checkout PR head 或运行 PR 脚本；不可信上下文通过 env 传值，避免直接插入 run:；每个 job 设最小 permissions 与 timeout-minutes；actions/checkout 默认 persist-credentials: false；发布/部署优先使用短期 OIDC 与受保护 Environment。
验证与限制：需运行 actionlint 与真实项目命令验证，不可把“看起来正确”当通过；工具不可用时如实说明未完成门禁。示例 SHA 核验于 2026-07-22，实际使用应重新核验官方 release。文档未提供具体收费、平台限制或效果保证信息。