用途：gh-setup 用于初始配置或修改 GitHub 仓库的协作与交付面，包括协作文件（PR 模板、Issue 表单、SECURITY.md、CONTRIBUTING.md）、Actions 工作流、发布流程和部署流程。它要求在改动前先阅读仓库指南与拥有该变更的文件和命令，按路由区分协作文件、工作流修正、设置或交付策略、发布或部署四类任务。
主要能力与原则：拉取请求以只读凭据执行不受信代码；可信的发布与部署任务仅在验证和输入校验后加载凭据；工作流默认权限为只读或 {}，按 job 收窄扩大；高信任远程 Action 使用经过审查的不可变固定版本；发布、签名、晋级与部署关键段不可取消且可核对；一个已验证载荷跨越构建、测试、发布和部署边界。必填检查在矩阵或条件分支下应使用稳定的最终结果。改动后的线上设置与下游状态需回读验证，绿色工作流本身不能证明变更生效。
使用方式：先按任务选择对应路由并加载参考文件；涉及安全基线、Actions 安全、运行器成本时读取相应参考；新增发布或部署机制时从最接近的维护中实现起步，仅沿用其契约而非照抄版本与身份。仓库策略方面，阅读 repository settings 处理合并方式、规则集、必填检查、签名提交、标签、Actions 策略、Environments、CodeQL 与元数据；不默认要求拉取请求，仅在前置评审、不受信贡献、合并队列、默认分支移动前必须通过的检查或所有者明确要求时启用。
限制与验证：仓库只读更新可用时，允许经本地门禁验证的快进推送，推送前跑本地门禁并监控 CI 完成。工作流改动后运行仓库门禁、actionlint 与 zizmor；线上交付仅在授权且范围内时做最小安全验证。仅改工作流不授权发布或部署。干跑和静态检查无法证明不可变发布、签名回写、注册表一致性、部署、监控或回滚。授权线上变更后需回读所有相关设置、Environment、规则、发布、注册表、标签、部署或下游指针；部分失败时先对账持久状态再重试，不得为让工作流变绿而新建版本或改动不可变发布。
资料未提供具体安装命令、支持平台与收费信息。