GitHub Actions CI/CD 生成器

核心原则

• 先读项目，再生成 workflow。不要凭项目名猜测运行时、包管理器、测试命令或部署目标。
• 默认只生成只读 CI。Release、部署、推送镜像、写回仓库和调用外部 webhook 必须先确认目标、凭据、环境保护与回滚方式。
• 将不可信 PR 代码与 Secrets、写权限、自托管 Runner 隔离。不要为方便而改用 pull_request_target 执行 PR 代码。
• 把所有 Action 固定到核验过的完整 40 位 commit SHA，并在旁边保留版本注释。不要使用 @main、@master、@latest 或可移动的 @vN tag。
• 为每个 job 设置最小 permissions 和 timeout-minutes；不依赖仓库默认权限。
• 生成后运行真实语法与项目命令验证，不把“配置看起来正确”当作通过。

工作流程

1. 盘点项目证据