用途：在 CI/CD 中嵌入安全控制，适用于加固 SAST、SCA、密钥、IaC、DAST、容器扫描，配置受保护分支安全门禁、制品签名、SBOM、来源证明与 OIDC 联邦，分诊流水线安全发现并定义修复 SLA 或例外流程，以及把交付制品映射到 SOC 2、ISO 27001、SSDF 等合规证据要求。不适用于纯云基础设施供给、无安全需求的流水线运维、企业 IdP/KMS/PAM/SIEM/EDR 控制、非流水线 IAM 设计、SOC 告警处置、威胁狩猎、公司级安全战略、集群引导与日常运维、授权渗透测试、手工 Web/API OWASP 测试及逆向工程。
主要能力与核心工作流：
- 左移安全基线：清点语言、构建工具、部署目标与合规范围；启用密钥扫描与推送保护；在 PR 上运行 SAST+SCA（新增严重/高危失败）；扫描 terraform plan 或清单变更（Checkov、tfsec、KICS）；镜像推送前扫描（Trivy、Grype）；例外需记录责任人、到期时间与补偿控制。门禁默认按密钥、严重 CVE、高危 CVE 在 PR、默认分支、生产部署三个层级区分阻断或警告。
- CI/CD 安全门禁：流水线顺序为 lint→单元测试→SAST/SCA→构建→镜像扫描→签名/SBOM→部署预发→DAST（如适用）→晋级生产，受保护分支不可跳过安全阶段。使用 OIDC 联邦替代长期云密钥，按摘要或不可变版本固定 actions/镜像，隔离构建与部署任务，要求代码评审与检查通过，制品存不可变仓库并在部署时验签，保留审计日志。
- 供应链完整性：每次发布生成 SBOM（CycloneDX 或 SPDX），签名镜像与来源证明（Sigstore/cosign、SLSA 导向证明），阻断含已知严重 CVE 的依赖，优先锁定文件，审查重大依赖升级，审核新第三方 actions、Helm chart 与基础镜像。
- 云、容器与运行时安全：工作负载置于私有子网，仅经 LB/WAF 入站；非 root 容器、只读根文件系统、丢弃能力、禁止特权 Pod；东西向流量用网络策略或服务网格 mTLS；密钥来自 Vault/Secrets Manager/External Secrets；CSPM 告警接入值班；生产集群运行时检测（Falco 等）。
- 威胁建模与安全评审：对含认证、支付、PII 或外部输入的功能绘制数据流与信任边界，按 STRIDE 列出威胁，映射缓解措施并登记接受风险。新公开 API、认证模型变更、多租户隔离变更、加密设计、管理工具、生产路径的 agent/LLM 触发深度评审。
- 漏洞管理与合规证据：归一化发现，结合 CVSS 与业务上下文评分，分配责任人与修复 SLA，重扫验证后关闭，统计 MTTR、未修复严重数等指标，并把控制项映射到流水线配置、扫描报告、访问评审与变更工单。
使用方式：按需加载对应参考文件——左移扫描见 references/shift_left_scanning.md，流水线门禁与 OIDC 见 references/cicd_security_gates.md，SBOM 与签名见 references/supply_chain.md，K8s/CSPM/WAF/运行时见 references/cloud_runtime_security.md，STRIDE 与评审模板见 references/threat_modeling.md，SLA 与 SOC 2/ISO 证据见 references/compliance_evidence.md。
限制：资料未提供具体工具版本、价格、平台绑定或部署效果数据；实际适配需结合仓库语言、构建工具、部署目标与合规范围确定。