repo-protections

用途：为 GitHub 仓库配置服务端保护门禁，弥补客户端钩子无法替代的强制约束。主要能力：在默认分支上配置 ruleset（要求 PR、必需状态检查、禁止强推与删除、按需要求代码所有者审查）；启用密钥扫描与推送保护；配置 Dependabot；启用私有漏洞报告；以及 Actions 基线加固（第三方 action 固定到 commit SHA、顶层 permissions: contents: read、按 job 提权、慎用 pull_request_target）。使用方式：先运行只读审计脚本 python3 "${CLAUDE_SKILL_DIR}/scripts/check_protections.py" [owner/repo]，再阅读 references/protections-playbook.md，按顺序补齐缺失项，最后重跑脚本并用 gh api repos/{owner}/{repo}/rulesets 验证。限制：私有仓库的 ruleset 与分支保护需付费计划，API 会返回 403/升级错误；从未运行过的必需状态检查无法被选中；必需检查按上报的检查名匹配而非工作流文件名；密钥扫描推送保护仅拦截已知模式；CODEOWNERS 不存在时要求代码所有者审查无效；不适用于 SECURITY.md 等社区健康文件、代码漏洞修复、凭据轮换、发布流水线与 CI 工作流编写。