用途：对 .github/workflows/*.yml 做全面审计，覆盖 GitHub Actions 最佳实践、安全加固与项目约定。适用时机：用户要求审计或检查工作流、提交工作流改动前、工作流失败后做根因分析、定期健康检查。
使用流程：发现（Glob .github/ workflflows/*.yml）、解析（校验 YAML 语法）、逐项审计、跨工作流一致性检查、输出按严重程度（critical > high > medium > low）排序的发现表、为每条发现给出具体修复建议（diff 或说明）。
主要检查项：YAML 有效性（可解析、同级无重复键、禁止制表符）；Action 版本（如 actions/checkout@v4 及更低判为 critical，建议升级 @v6，因 Node 20 动作于 2026 年 6 月 2 日被迫切到 Node 24；@main/@master 可变引用判为 high）；脚本注入（run: 块中不得内联 github.event.issue.title 等不可信上下文，应先经 env 传入）；权限（缺少 permissions 块、write-all、未用权限、无 OIDC 的 id-token: write、pull_request_target）；自动合并与机器人模式（无作者守卫的 gh pr merge --auto、allowed_bots: '*'）；超时（作业缺 timeout-minutes，默认 360 分钟）；错误处理（推送到受保护分支、缺少 || true 或 continue-on-error）；并发（定时工作流缺 concurrency、部署使用 cancel-in-progress: true、Claude Code 作业缺少并发）；分支保护感知；跨工作流一致性（node、pnpm、Rust 工具链版本，重复触发器）；Claude Code Action 配置（@beta/@v0、弃用输入、缺少认证、claude_args 中的 --model、--max-turns 等）；触发器卫生。
报告格式：markdown 表格列含 #、Severity、File、Check、Finding、Fix，表后附统计汇总行。
限制与注意：审计期间不得修改工作流文件，仅报告；用户要求修复时再改动并重新审计验证；安全发现需说明攻击向量；仅检查 .github/workflows/，除非被引用否则忽略 .github/actions/。资料未提供安装命令、收费方式或平台价格信息。