hol-plugin-scanner.yml

name: HOL Plugin Scanner

# awesome-codex-plugins 收录的硬性条件之一：源仓库必须有一个在 push / PR 上跑
# HOL 扫描器的工作流，且集中扫描分数 ≥ 80、无 critical/high 发现。这里跑的就是
# 提交时目录方会跑的那一个，所以分数线与门限都照着目录的口径写。
#
# 它只做扫描，不替代 check.yml：core 的同步一致、渲染断言、密钥扫描那些还是
# 由 check.yml 负责，两条流水线各管一层。
on:
  push:
    branches: [main]
  pull_request:
  workflow_dispatch:

permissions:
  contents: read
  security-events: write

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      # 与 check.yml 同一个提交，别让两条流水线漂到不同的 checkout 版本上。
      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262  # v4.4.0

      - name: HOL Plugin Scanner
        uses: hashgraph-online/ai-plugin-scanner-action@fa5f8f44b5918878827655c5829d831de5a9292a  # v1.2.696
        with:
          plugin_dir: "."
          mode: scan
          min_score: 80
          fail_on_severity: high
          format: sarif
          upload_sarif: true