用途：将公开 GitHub 仓库提升至 GitHub Community Standards 与 OpenSSF Scorecard 供应链基线，并为 OpenSSF Best Practices Badge 做准备。与 /gh-bootstrap（锁定合并面）互补，本技能负责贡献者入口与供应链面；组织级设置用 /safe-settings。
主要能力：一、按 assets/ 模板搭建社区文件（CODE_OF_CONDUCT.md、CONTRIBUTING.md、SECURITY.md、.github/ISSUE_TEMPLATE/ 下的 bug_report.yml、feature_request.yml、config.yml、PULL_REQUEST_TEMPLATE.md）；README 和 LICENSE 只做检查不自动生成，缺失许可证时提示选择并指向 choosealicense.com。二、搭建供应链工作流：dependabot.yml、dependency-review.yml、scorecard.yml、codeql.yml（按检测到的受支持语言替换占位符），并审计 Token-Permissions 与 Dangerous-Workflow，只报告不自动修改。三、用 gh api 幂等开启 Dependabot 告警/自动修复、secret scanning、push protection、私有漏洞上报。四、打印 OpenSSF 徽章注册链接与 README 徽章代码片段，但不代为注册。
必要用法：先执行 gh auth status、gh repo view、gh api repos/$REPO/community/profile 等确认状态；文件中存在差异时先询问再覆盖；占位符 {{REPO}}、{{OWNER}}、{{CONTACT_EMAIL}} 需替换；无真实联系邮箱时不写含占位符的 SECURITY.md/CODE_OF_CONDUCT.md。
适用场景与限制：适用于公开仓库；私有仓库部分功能需付费 GitHub Code Security，失败则跳过。不负责许可证选择、README 撰写、分支保护、sigstore 签名、依赖固定、模糊测试及徽章问卷填写。注意组织级默认社区文件会被仓库级覆盖，CodeQL 默认设置与工作流设置互斥，新仓库 Maintained 检查需 90 天活动。