安全默认值凭什么塞进 CI 流水线？

每次上线前手动核对安全配置，这事你做了多久？一篇 cyberwitchery 的博客提出，把安全默认值直接焊进 CI 流水线，让每次提交自动跑一遍检查。思路很直接：与其事后补救，不如在代码合并前就把基线锁死。我觉得这比写一份"安全最佳实践文档"管用十倍——文档没人读，流水线跑不了就不让过。当然门槛摆在那儿：你得先有明确的默认值清单，而且不能把检查做成摆设。安全不该是事后审计，它该是每次 commit 都要过的门。

原文：Secure Defaults as CI · 来源：Hacker News