enterprise-readiness

企业级就绪度评估

仅适用于生产级／企业级层级 — 参见 references/tier-framing.md。

适用场景

• 生产级／企业级就绪度评估
• 供应链安全：SLSA 来源证明、cosign 签名、SBOM
• CI/CD 加固、工作流权限
• OpenSSF 最佳实践（Passing／Silver／Gold）、OSPS 基线（L1/2/3）
• 优化 Scorecard 评分（Token-Permissions、Branch-Protection、Pinned-Deps）
• 代码审查、ADR、变更日志、SECURITY.md

评估工作流

1. 发现：确定平台、语言、现有 CI/CD 和 dependabot.yml；对于受维护的公开项目，检查必需的根目录 .bestpractices.json（适用范围与验证：references/bestpractices-json.md、ER-74/ER-75）。
2. 评分：应用检查清单；检查 Scorecard、徽章标准和覆盖率
3. 差距分析：按严重程度列出缺失的控制措施
4. 实施：应用修复（固定 Action 的 SHA、强化权限、添加工作流）
5. 验证：重新评分并进行比较

必需的工作流与徽章

必需的覆盖范围：CI、CodeQL、Scorecard、依赖项审查、composer audit、SBOM — 作为独立工作流，或调用 netresearch 可复用工作流的任务。徽章：CI、Codecov、Scorecard、Best Practices、Baseline。参见 references/badges-and-workflows.md。

受维护的公开项目必须在仓库根目录包含有证据支撑的 .bestpractices.json，即使尚未注册徽章也不例外。根据项目自身证据创建或更新该文件；未知项应省略。此文件用于建议答案，不会注册项目、保存问卷或授予徽章。参见 references/bestpractices-json.md。

关键加固模式

• 权限：在工作流级别声明 permissions: contents: read；仅按任务授予写入权限
• SHA 固定：第三方 Action 固定到 SHA，并附带版本注释（# v4.2.0）。组织内部的可复用工作流使用 @main
• Harden-Runner：在每个任务中将 step-security/harden-runner 作为第一步；优先使用 egress-policy: block，并配置允许的端点
• Dependabot：使用所有生态系统（composer、npm、github-actions、docker）配置 dependabot.yml；使用 pull_request_target 为依赖项 PR 设置自动合并工作流
• 覆盖率：通过 codecov-action 上传；配置 codecov.yml 并设置补丁覆盖率阈值
• 避免重复运行 CI：如果同时配置了 pull_request:，则将 push: 触发器限定为 branches: [main]
• SLSA 来源证明：使用 actions/attest-build-provenance，并授予 id-token: write 和 attestations: write 权限；使用 gh attestation verify 验证。这属于项目自身工作流中的 Level 2；Level 3 要求检出、构建和来源证明全部在一个项目无法编辑的组织可复用工作流中完成 — 参见 references/slsa-provenance.md
• 安全策略：创建 SECURITY.md，说明漏洞披露流程和响应 SLA（严重：7 天，高：30 天）

关键规则

• 绝不在 run: 代码块中插入 ${{ github.event.* }} 或 ${{ inputs.* }}（脚本注入）
• 绝不猜测 Action 版本 — 从 GitHub API 获取，并根据标签验证 SHA
• 始终在徽章说明中包含 https:// URL
• 始终为使用 Dependabot/Renovate 的仓库配置自动合并

参考资料

参考资料	用途
references/general.md	始终参考
references/scorecard-playbook.md	优化 Scorecard
references/badges-and-workflows.md	徽章 URL、工作流
references/mandatory-requirements.md	检查清单
references/ci-patterns.md	CI/CD、钩子
references/code-review.md	PR 质量和验证声明
references/slsa-provenance.md	SLSA Level 3
references/signed-releases.md	Cosign/GPG
references/openssf-badge-silver.md	Silver
references/openssf-badge-gold.md	Gold
references/openssf-badge-baseline.md	OSPS Baseline
references/bestpractices-json.md	.bestpractices.json：根据仓库预填徽章答案
references/harden-runner-guide.md	Harden-Runner
references/solo-maintainer-guide.md	单人维护者标准
references/npm-pnpm-supply-chain.md	pnpm、npm ci、npx、lockfile、CI 作业中的 Node 工具（Sonar S8543/S6505、CodeQL 路径注入）
references/python-pip-supply-chain.md	pip

相关技能：go-development、github-project、security-audit、git-workflow。