enterprise-readiness

企业就绪度评估

仅适用于生产/企业级别 — 参见 references/tier-framing.md。

适用场景

• 生产/企业就绪度评估
• 供应链安全：SLSA 来源证明、cosign 签名、SBOM
• CI/CD 加固、工作流权限
• OpenSSF 最佳实践（Passing/Silver/Gold）、OSPS 基线（L1/2/3）
• Scorecard 优化（Token-Permissions、Branch-Protection、Pinned-Deps）
• 代码审查、ADR、变更日志、SECURITY.md

评估工作流

1. 调研：确定平台、语言、现有 CI/CD、dependabot.yml
2. 评分：应用检查清单；检查 Scorecard、徽章标准、覆盖率
3. 差距分析：按严重程度列出缺失的控制措施
4. 实施：应用修复（将操作固定到 SHA、加固权限、添加工作流）
5. 验证：重新评分并进行比较

必需的工作流和徽章

必需的覆盖范围：CI、CodeQL、Scorecard、依赖项审查、composer 审计、SBOM — 作为专用工作流或调用 netresearch 可复用工作流的作业。徽章：CI、Codecov、Scorecard、最佳实践、基线。参见 references/badges-and-workflows.md。

关键加固模式

• 权限：在工作流级别声明 permissions: contents: read；仅在单个作业级别授予写入权限
• SHA 固定：第三方操作固定到 SHA，并附带版本注释（# v4.2.0）。组织内部的可复用工作流使用 @main
• Harden-Runner：在每个作业的第一步使用 step-security/harden-runner；优先选择 egress-policy: block，并配置 allowed-endpoints
• Dependabot：配置包含所有生态系统（composer、npm、github-actions、docker）的 dependabot.yml；为依赖项 PR 设置使用 pull_request_target 的自动合并工作流
• 覆盖率：通过 codecov-action 上传；配置带有补丁覆盖率阈值的 codecov.yml
• 防止重复运行 CI：同时存在 pull_request: 时，将 push: 触发器范围限定为 branches: [main]
• SLSA 来源证明：使用 actions/attest-build-provenance，并授予 id-token: write 和 attestations: write 权限；使用 gh attestation verify 验证
• 安全策略：创建 SECURITY.md，写明漏洞披露流程和响应 SLA（严重：7 天，高：30 天）

关键规则

• 绝不在 run: 块中插入 ${{ github.event.* }} 或 ${{ inputs.* }}（脚本注入）
• 绝不猜测操作版本——从 GitHub API 获取，并根据标签验证 SHA
• 始终在徽章说明中包含 https:// URL
• 始终为使用 Dependabot/Renovate 的仓库配置自动合并

参考资料

参考资料	用途
references/general.md	始终使用
references/scorecard-playbook.md	Scorecard 优化
references/badges-and-workflows.md	徽章 URL、工作流
references/mandatory-requirements.md	检查清单
references/ci-patterns.md	CI/CD、钩子
references/code-review.md	PR 质量
references/slsa-provenance.md	SLSA Level 3
references/signed-releases.md	Cosign/GPG
references/openssf-badge-silver.md	Silver
references/openssf-badge-gold.md	Gold
references/openssf-badge-baseline.md	OSPS 基线
references/harden-runner-guide.md	Harden-Runner
references/solo-maintainer-guide.md	N/A 标准
references/npm-pnpm-supply-chain.md	pnpm

相关技能：go-development、github-project、security-audit、git-workflow。

---

致谢与署名

此技能基于 Netresearch DTT GmbH 的出色工作。

原始仓库：https://github.com/netresearch/enterprise-readiness-skill

版权所有 (c) Netresearch DTT GmbH — 方法论与最佳实践（MIT / CC-BY-SA-4.0）

特别感谢 Netresearch DTT GmbH 为 TYPO3 社区慷慨提供开源贡献，助力塑造了此技能集合。 由 webconsulting.at 为此技能集合改编