用途：把公开 GitHub 仓库补齐到 GitHub Community Standards 与 OpenSSF Scorecard 供应链基线，并为 OpenSSF Best Practices 徽章做准备。它关注贡献者入口与供应链面，与负责分支保护、合并面的 /gh-bootstrap 互补，建议先运行 /gh-bootstrap 再运行本技能。
主要能力：一、社区标准文件，按 assets/ 模板搭建 CODE_OF_CONDUCT.md、CONTRIBUTING.md、SECURITY.md、Issue 模板、PR 模板等，覆盖前先 diff 并询问；README 与 LICENSE 只做缺失检查，不自动生成，许可证缺失时引导至 choosealicense.com。二、供应链，搭建 dependabot.yml、dependency-review.yml、scorecard.yml、codeql.yml（视语言适用性），并审计现有工作流的 Token-Permissions 与 Dangerous-Workflow，仅报告不自动修改。三、通过 gh api 启用或核验 Dependabot 告警、自动安全修复、secret scanning 与 push protection 等 GitHub 原生安全功能。四、输出 OpenSSF Best Practices 徽章注册链接与 README 徽章片段，但不代为注册。
使用方式：先确认范围并检查现状，例如 gh auth status、gh repo view、gh api repos/$REPO/community/profile；随后一次性向用户确认可见性、许可证、CodeQL 适用性、FUNDING.yml、CODEOWNERS 等决策；再按顺序搭建文件与工作流，切换安全功能，审计工作流，最后重新读取社区 profile 与工作流并输出摘要。
适用场景：公开仓库的社区健康度与供应链基线补齐。限制：不负责许可证选择、README 撰写、组织级社区文件、分支保护、Sigstore 签名、依赖固定、模糊测试，也不代填 OSSF 徽章问卷；私有仓库部分功能需付费 Code Security，可能返回 403；新仓库因 Maintained 检查需 90 天活动，分数偏低属正常。