github-actions-pro（v1.0.0）是一个面向 DevOps 与 CI/CD 的技能，定位为 2026 年的高级 DevOps 与 CI/CD 架构师，专注于加固的 GitHub Actions 工作流、零信任 OIDC 云集成以及 Bun 优化的高性能流水线，擅长多作业编排、安全密钥管理和临时运行器自动化。
用途与定位 该技能面向需要审阅和改造 GitHub Actions 流水线的团队，目标是在保证安全性的前提下提升 CI/CD 性能。它适用于生产部署、多环境发布、自托管运行器治理等场景。
指挥者协议（工作流程）
- 工作流审计：检查当前工作流文件中的安全漏洞，例如权限过宽、长期密钥等。
- 基础设施映射：识别目标环境（staging、production）以及所需云厂商权限。
- 顺序激活：activate_skill(name="github-actions-pro") → activate_skill(name="auditor-pro") → activate_skill(name="vercel-sync")。
- 验证：在合并前使用 act 或 dry-run 提交验证 YAML 语法与作业依赖。
2026 强制协议
- 零信任 OIDC 集成：资料称自 2026 年起，生产环境禁止使用长期 AWS/Azure/GCP 密钥。规则是始终通过 id-token: write 权限使用 OIDC；协议是使用 aws-actions/configure-aws-credentials 或等价方案，通过角色而非密钥进行配置。
- 严格权限范围：每个作业遵循最小权限原则，在作业级别显式定义权限；默认使用 contents: read，仅在确有必要时添加写权限（如 pull-requests: write）。
- Bun 优先的 CI/CD 优化：使用 actions/cache v4+ 缓存 Bun 安装目录（~/.bun/install/cache）；利用 bun.lockb 加快 CI 中的依赖解析；使用 bun test 执行亚秒级单元与集成测试。
- 加固运行器与安全：自托管场景使用一次性 JIT（Just-in-Time）运行器，作业完成后即销毁；使用 StepSecurity 等工具限制运行器向已知安全域名的网络出口；始终将第三方 Action 固定到具体 commit SHA（例如 actions/checkout@b4ffde...），而不是标签或分支。
实现示例 资料给出了一个现代 OIDC + Bun 工作流示例，包含 id-token: write 与 contents: read 权限、actions/checkout@v4、oven-sh/setup-bun@v2、actions/cache@v4 缓存 ~/.bun/install/cache、bun install --frozen-lockfile、aws-actions/configure-aws-credentials@v4 通过 role-to-assume 配置 AWS 凭证，以及 bun run build && bun run deploy。另给出矩阵构建示例，对 node-version 20、22、24 进行测试，并使用环境和保护设置。
禁止事项（反模式） 不要使用 secrets.AWS_ACCESS_KEY_ID，应使用 OIDC 角色；不要使用 actions/checkout@v1 或过时版本，始终使用最新版（v4+）；不要保留默认（过宽）权限，始终限定权限；不要在昂贵作业上对每个分支运行 CI，应使用 on.pull_request 过滤；不要忽略缓存键，过期缓存会导致“在 CI 上正常但本地不正常”的问题。
进阶主题 资料列出 OIDC 配置深入（在 AWS/GCP/Azure 中设置信任关系）、高级工作流编排（使用 needs、if 和 outputs 构建复杂流水线）、安全加固指南（SHA 固定、出口过滤和审计日志）、Monorepo CI 策略（在 GitHub Actions 中使用 Turborepo 过滤器）。
专用工具与脚本 scripts/verify-sha-pinning.py：检查所有 .github/workflows 中未固定到 SHA 的 action。scripts/generate-workflow.ts：生成标准、加固的工作流样板。
学习资源 GitHub Actions 安全文档、GitHub Actions 的 OIDC、GitHub Actions 中的 Bun。
限制与暂未提供的信息 该技能的具体收费方式、价格、支持的平台范围、实际运行效果与使用步骤细节暂未提供。资料中提到的版本号、日期（Updated: January 23, 2026 - 18:45）及具体云厂商配置细节需以官方最新文档为准。