用途：评估项目能否进入生产或企业级就绪状态，以及实施供应链安全与 CI/CD 加固。仅面向生产/企业层级，参考 references/tier-framing.md。
主要能力：SLSA 来源证明、cosign 签名、SBOM；CI/CD 加固与工作流权限管理；OpenSSF Best Practices（Passing/Silver/Gold）与 OSPS Baseline（L1/2/3）；Scorecard 优化（Token-Permissions、Branch-Protection、Pinned-Deps）；代码审查、ADR、变更日志、SECURITY.md。
评估流程：发现（平台、语言、现有 CI/CD、dependabot.yml）→ 打分（套用清单，检查 Scorecard、徽章标准、覆盖率）→ 差距分析（按严重度列出缺失控制）→ 实施修复（SHA 固定 action、加固权限、添加工作流）→ 复核再打分比对。
使用要点：必需工作流与徽章包括 CI、CodeQL、Scorecard、依赖审查、composer audit、SBOM，可作独立工作流或调用 netresearch 可复用工作流；徽章含 CI、Codecov、Scorecard、Best Practices、Baseline。加固模式：工作流级声明 permissions: contents: read，仅按作业授予写权限；第三方 action 固定 SHA 并附版本注释（如 # v4.2.0），组织内部可复用工作流用 @main；每个作业首步使用 step-security/harden-runner，优先 egress-policy: block 并配置 allowed-endpoints；配置 dependabot.yml 覆盖 composer、npm、github-actions、docker，并用 pull_request_target 建自动合并；通过 codecov-action 上传覆盖率并配置 codecov.yml 补丁覆盖率阈值；同时存在 pull_request 与 push 时将 push 限定 branches: [main]；用 actions/attest-build-provenance 配 id-token: write 与 attestations: write，并以 gh attestation verify 验证（项目自身工作流为 Level 2，Level 3 需在项目不可编辑的组织可复用工作流内完成 checkout、build 与 attestation）；创建 SECURITY.md 说明披露流程与响应 SLA（严重 7 天、高 30 天）。
关键规则：绝不在 run: 块内插值 ${{ github.event.* }} 或 ${{ inputs.* }}；不得猜测 action 版本，须从 GitHub API 获取并核对 SHA 与标签；徽章说明必须含 https:// URL；有 Dependabot/Renovate 的仓库必须配置自动合并。
限制：仅限生产/企业层级场景；资料未提供其他层级细节、收费或价格信息。