提供 CI 阶段的多重代码安全门禁：通过 AST 扫描禁止绕过集中配置层直接读取环境变量，并通过 grep 规则检查 unsafe yaml.load、商标词、敏感数据泄露与过时 datetime API。