在 CI 中运行安全审查
分开处理可信执行、审查完整性、报告与合并策略。
准备工作流
使用受控流水线与可信运行器。只给实际审查进程注入模型凭据，不让安装脚本、不可信分支或无关部署作业读取秘密。固定 CLI 和依赖版本，并保留完整 Git 历史。
选择集成方式
其他 CI 同样调用当前 Lime CLI，先核对基准和目标，再保存事件、最终报告与覆盖说明。安装和运行步骤的身份与权限分离。
先只报告
先观察代表性变更的证据质量、误报、覆盖、费用和运行时间，再决定是否阻止合并。AI 结论需被核验，不能直接把模型返回的严重程度当成唯一门禁。
分开判断状态
| 判断 | 必须回答 |
|---|---|
| 执行 | 任务是否正常终止，是否有配置、连接或取消错误？ |
| 覆盖 | 目标版本是否正确，哪些路径没有检查？ |
| 报告 | 结构、位置与证据是否有效，产物是否完整？ |
| 政策 | 已接受问题是否达到团队阻断条件？ |
退出成功、作业跳过和未发现问题具有不同含义。独立门禁应要求预期检查实际完成。
保护报告与后续动作
漏洞报告可能包含源代码与利用条件，使用私密产物和合理保留期。SARIF 需由实际验证的转换流程生成；自动修复与仓库写入另设作业和凭据，经人工批准后执行。