用途：在创建、搭建、编辑或审查 GitHub Actions 工作流时，提供供应链安全的默认做法，并可对仓库执行完整安全审计。
主要能力与规则：要求每个非本地 uses 引用固定到完整的 40 位提交 SHA，将 @v*、@main、@master、分支名和短 SHA 视为安全债务；不得编造 SHA，无法验证时须明确说明。除非用户明确要求且工作流绝不在有密钥或写权限时执行不可信代码，否则不引入 pull_request_target。禁止把不可信上下文直接拼接到 shell，应将 ${{ github.* }}、${{ inputs.* }} 等移入 env: 并给 shell 变量加引号。设置明确的最小权限 permissions:，默认只读，仅对需要写入的特定作业授予写作用域。被要求 audit、harden 或 security scan 时须运行完整审计清单，不得静默跳过检查；若缺少 gitleaks、trufflehog、zizmor 等工具，应报告并建议安装。
使用方式：编写或编辑工作流时，先分类任务，阅读 references/workflows.md 和 references/secure-patterns.md，审计每个 uses 引用、信任边界和每个 run: 步骤，并确保 Dependabot 更新 github-actions 生态，提示传递性风险。执行完整审计时阅读 references/audit-checklist.md，执行所有检查，按 CRITICAL、HIGH、MEDIUM、LOW 分组呈现结果，并以汇总表和优先行动清单收尾。相关参考文件还包括 references/sha-pinning.md。
适用场景：新建工作流、修改工作流、可复用工作流和仓库安全审计。限制：不提供具体功能、收费或平台信息；工具安装命令为 brew install gitleaks、brew install trufflehog、brew install woodruffw/tap/zizmor、brew install gh。其他细节暂未提供。