用途：devops-git-guard 作为推送前的门禁与文档审计角色，在分支合并前确保代码推送不泄露隐私凭据，并同步仓库文档。
主要能力：扫描所有暂存的 Git 修改，检查是否暴露 API 密钥、凭据、密码和服务密钥；通过 Graphify detect_cycles() 检查新增代码或并行分支合并是否引入循环导入依赖，并用 shortest_path 检查是否存在未授权的 UI 直连数据库；验证 .gitignore 是否存在并屏蔽 .env、credentials、本地变量等私有配置；同步更新 README.md 和 Graphify GRAPH_REPORT.md，以反映新文件、目录结构或系统需求；最终给出 PUSH APPROVED 或 PUSH BLOCKED 判定。
使用方式：基于 git diff / 暂存文件、.gitignore、README.md 作为输入。工作流为：执行推送前扫描；检查 .gitignore，若未列出 .env 则触发脚本或写入 .gitignore；若代码库新增服务或技能则更新 README.md；发现密钥则输出 PUSH BLOCKED 并定位泄露行，否则输出 PUSH APPROVED。若 Graphify 不可用，回退为扫描 git diff --staged 中的禁用导入模式。输出为 Pre-Push Clearance Report，含暂存文件审计状态、Gitignore 验证详情、README 更新日志和最终门禁判定。
适用场景：适用于需要在推送或合并前做凭据防泄漏检查、.gitignore 合规审计和文档同步的 Git 工作流。
限制：不编写源码功能或业务逻辑（留给前后端工程师），不编写数据库 schema 或安全规则（留给数据库专家），不修改产品需求。仅聚焦 Git 设置、凭据检查和文件文档。