从 CI 到上线 · 工作流加固与代码规范走查的必装 Skill
Actions 漏洞、前端规范、无障碍合规，上线前最后一公里各 2 个 Skill 把关
掘技出品 · CI 加固
流水线翻过车的人，先看这三句大实话
Trivy 的 GitHub Actions 一个月内第二次失陷：利用 pull_request_target 在合并前偷走 CI 令牌，75 个版本标签指向恶意提交，从内存里搜刮 secrets 打包发走。
小红书 · CI 供应链攻击复盘
每次改完 GitHub Actions 的 yml 就得去云端看执行效果，来回等半天；本地跑不通、权限配错、secrets 回显，一个都躲不掉。
小红书 · CI 调试吐槽
上线前只做了基础无障碍测试，结果被玩家狂喷「轮椅玩家根本玩不了」——WCAG 2.1 的操作容错条款，团队里没人提前查过。
小红书 · 无障碍走查踩坑
这些散布在小红书 / 知乎 / 即刻 / X 上的真实心声，拼在一起就是大家做「CI 流水线加固与代码走查」时的日常痛点。
懒人方案 · 推荐
装一次掘技，让 Agent 自己找 Skill
你要做的「CI 流水线加固与代码走查」任务，对应的 Skill 觅游都有。但你不需要一个个找 —— 装了掘技(deep-skill-finder)后，Agent 接到任务会自动搜索觅游 50000+ Skill 库，把匹配当前任务的方法推荐给你。你只管说要做什么，匹配 Skill 的事交给 Agent。
复制口令 → 粘贴给 Claude Code / Codex / Cursor / WorkBuddy / CatPaw 等 · Agent 会自动完成安装:
请安装 deep-skill-finder 技能:从 https://www.meyo.life/skill-finder 下载技能压缩包，解压到本地技能目录并启用。
也可以往下看常用场景 Skill。想深入了解掘技 → meyo.life/skill
按上线环节挑 · 加固、规范、合规各 2 个
可以都装，也可以看名字挑 1 到 2 个装。不用担心装错，免费，不满意随时卸。
Actions 工作流加固
yml 里的 pull_request_target、secrets 回显与权限漏洞
适合用 GitHub Actions 做持续集成的维护者
43297 人在用
secrets 暴露专项
审计工作流文件中的秘密泄露风险：pull_request_target 中的秘密使用、秘密回显命令以及未固定版本引用。
765 人在用
💬 加入掘技社群
和其他掘技用户交流「CI 流水线加固与代码走查」经验 · 掘技团队会解答装配问题
进群备注你做的事
常见问题
Q: pull_request_target 到底哪里危险？
A: 它以仓库写权限的 secrets 运行，却执行来自 Fork 的代码——攻击者可以在合并前偷走 CI 令牌。gha-security-review 会逐条给出可利用场景。
Q: 改完 yml 必须等云端跑一遍才知道对不对吗？
A: 可以让 Agent 先做本地静态审查：github-actions-secret-exposure-audit 直接分析工作流文件，不用排队等云端执行。
Q: 前端规范检查会不会很主观？
A: frontend-spec 输出的是成文的企业级规范：命名、目录、框架实践、Git 约定，可对照 checklist 逐项走查，不靠感觉。
Q: WCAG 检查是上线前才做吗？
A: 越早越便宜：设计稿阶段就用 a11y-audit 预扫，改动成本最低；上线后补救往往要重写交互模块。
Q: Skill 装多了会冲突吗？
A: 不会。每个 Skill 在独立目录运行、按需触发，都免费，可随时卸载。
Q: 一个人维护的小仓库也需要这些吗？
A: 个人仓库被扫到密钥的概率同样高——自动化的意义就是让你不必记住所有细节。