在 GitHub Actions 中审查安全问题

准备仓库与运行器

由仓库维护者配置可信流水线、固定版本的 Lime CLI 和最小读取权限。模型密钥放在 Actions Secret，仅在审查步骤提供。检出代码不持久化仓库写入凭据。

选择触发范围

完整历史与正确头提交是计算差异的前提。来自派生仓库、机器人或未信任分支的作业需要独立策略；被跳过不等于已审查。

运行当前 CLI

lime exec review --base origin/main --json

在流水线中使用已核对的实际基准引用。输出事件和最后报告保存到私密产物位置，凭据不写入命令文本、日志或工件。

限制模型与预算

只使用凭据可用且组织批准的模型。按代表性任务测量用量和时长，使用 CI 超时与提供商限额；不要套用专用扫描 Action 的模型参数或费用阈值。

保存报告

上传前验证文件清单与内容，避免递归上传配置目录、临时凭据或整个工作空间。团队确需 SARIF 时，采用经过测试的转换器并校验格式、路径和 GitHub 权限。

设置独立门禁

执行成功、报告完整和团队风险政策分别判断。需要防止跳过检查时，独立作业必须在前置失败或跳过后仍运行，明确要求预期任务已完成；此规则不会自动检查原本被排除的变更。

排障

• 差异错误：核对基准、头提交和获取深度。
• 权限错误：检查运行器沙盒和 Secret 是否在可信步骤可用。
• 缺少报告：检查任务终态与输出约束，不只看退出码。
• 导入失败：检查规范、源码位置、平台功能与上传权限。