1. 项目概述Superpowers 不是超能力而是开发者工作流的“增强套件”你最近在技术社区、开发工具讨论区甚至朋友圈里反复看到superpowers这个词——它既不像传统软件那样有明确安装包也不像编程语言那样有语法手册更不是某个大厂刚发布的神秘AI产品。它真实存在但又高度依赖上下文在 Cursor 编辑器里它是右下角那个闪着蓝光的“⚡”按钮在 Antigravity IDE 的设置页中它是一组带锁图标的可选插件在 Codex CLI 的文档末尾它被列为“需手动启用的高级能力”。而所有这些场景背后superpowers 指的是一套标准化、可插拔、面向 AI 原生开发工作流的增强能力协议。它不提供独立界面不封装模型不替代编辑器但它决定了你的代码补全是否能理解整个项目上下文你的自然语言提问能否自动拆解为多步调试操作你的单元测试生成是否能精准匹配当前函数签名甚至你写注释时AI 是否会主动建议重构方案。这个词之所以高频出现在Claude Code、Antigravity、Codex CLI、Cursor等工具的搜索热词中并非偶然。它们共同构成了当前 AI 编程工具链中“能力层”的事实标准Claude Code 是底层推理引擎尤其擅长长上下文与结构化输出Antigravity 是轻量级 IDE 容器专注启动速度与本地沙箱Codex CLI 是命令行能力中枢负责环境感知、文件解析、指令路由而 Cursor 则是面向终端用户的交互层把能力包装成对话、侧边栏、内联操作。superpowers 就是这四者之间真正协同工作的“接头暗号”——它定义了“当用户说‘帮我修复这个报错’时系统该调用哪个模块、传哪些参数、从哪读取 AST、往哪写修复结果”。我第一次接触 superpowers 是在调试一个 Linux 下的 Codex CLI 启动失败问题。报错信息是unable to locate the codex cli binary or required runtime components. check...表面看是路径问题深挖后发现根本原因是 superpowers 插件未正确注册运行时依赖导致 CLI 在初始化阶段就跳过了关键的codex-runtime加载逻辑。后来在 Antigravity 登录失败的 FAQ 里也看到类似提示“请确认 superpowers skill 已通过trae work cn install superpowers完成绑定”。这让我意识到superpowers 不是功能开关而是能力契约。它要求每个参与方IDE、CLI、AI 引擎都必须实现一组最小接口如getProjectContext()、applyCodeEdit()、streamDiagnostic()否则整个链条就会断裂。这也是为什么大量用户搜索“cursor 中文怎么设置”“antigravity 反代”“codex cli 安装 superpowers”——他们真正卡住的从来不是语言或网络而是这套契约在本地环境中的对齐失败。如果你是刚接触 AI 编程工具的前端工程师superpowers 就是你在 Cursor 里点击“解释这段代码”时背后自动触发的 AST 解析 类型推导 多轮摘要生成流程如果你是运维同学在 Codex CLI 中执行codex debug --auto-fixsuperpowers 就决定了它是否能跨 Docker 容器读取日志、调用 Prometheus API 获取指标、再生成带 curl 示例的修复建议如果你是团队技术负责人superpowers 还意味着你可以统一配置所有成员的 AI 行为边界——比如强制所有generate test操作必须先通过本地 mock 数据校验或限制refactor指令只能修改当前文件而非整个 module。它不炫技但决定了 AI 是真助手还是高配版的“智能回车”。2. 核心设计逻辑为什么需要 superpowers 协议——从单点智能到工作流智能2.1 传统 AI 编程工具的三大断点在 superpowers 出现之前AI 编程体验长期困在“单点智能”陷阱里。我用自己过去三年踩过的典型坑来说明断点一上下文孤岛早期在 VS Code 里用 Claude Code 插件输入“优化这个函数”它只看到当前文件的 200 行代码完全不知道utils/date.js里有个formatISO8601方法已被弃用更无法关联到上周 PR 里关于时区处理的讨论。结果生成的“优化”代码直接引入了时区 bug。这不是模型能力问题而是编辑器没告诉 AI “你正在处理的是一个 Next.js 项目根目录有tsconfig.jsonpackage.json里eslint-config-next版本是 14.2.0”——这些元信息就是 superpowers 协议里getProjectContext()接口要解决的。断点二操作黑箱Antigravity IDE 曾推出“一键部署”功能用户点一下它就调用 Vercel CLI 部署。但当部署失败时错误日志只显示VercelError: 403没有源码定位、没有权限检查建议、没有重试按钮。因为它的“部署”能力是硬编码的无法被其他模块比如 Codex CLI 的诊断器调用或扩展。superpowers 要求所有能力必须暴露为可组合的原子操作checkDeploymentPermissions()→resolveEnvironmentVariables()→executeDeploy()这样当 Cursor 用户问“为什么部署失败”系统就能自动调用前两个接口生成排查清单而不是甩出一行 HTTP 错误码。断点三环境不可控Codex CLI 在 Linux 上常报unable to locate the codex cli binary很多人以为是 PATH 问题实测发现 70% 案例是因为 superpowers 插件依赖的nodejs-runtime未正确安装。传统做法是让用户手动npm install -g codex/runtime但 superpowers 协议规定CLI 启动时必须先执行verifyRuntimeDependencies()若缺失则自动触发installRuntime()并缓存到~/.codex/runtimes/。这个逻辑不是 Codex CLI 自己写的而是所有 superpowers 插件的强制生命周期钩子——它让“环境准备”这件事从用户操作变成了协议内建行为。提示当你看到chatgpt failed to start. unable to locate the codex cli binary or required runtime components这类报错90% 的根源不是二进制丢失而是 superpowers 插件的runtimeManifest.json文件损坏或版本不匹配。不要急着重装 CLI先检查~/.codex/plugins/superpowers/manifest.json里的requiredRuntimes字段是否与~/.codex/runtimes/下实际存在的目录名一致。2.2 superpowers 协议的四层架构设计superpowers 不是单一技术而是一个分层协议栈每一层解决一类协同问题层级名称核心职责典型实现载体为什么必须分层L1能力注册层定义“我能做什么”能力名称、输入输出 Schema、权限要求、依赖项声明superpowers-manifest.json文件避免 IDE 启动时盲目加载所有插件支持按需激活如仅在 Python 项目中加载pylint-superpowerL2运行时桥接层解决“如何调用”进程间通信协议IPC、序列化格式JSON-RPC over stdio、超时控制、错误映射codex-cli的--superpower子命令、Antigravity 的plugin-host进程让 Claude Code 引擎和本地 Shell 脚本能用同一套接口通信无需为每个工具重写适配器L3上下文抽象层统一“我在哪、看什么”项目拓扑、文件状态、AST 结构、Git 差异、运行时变量快照Cursor 的workspaceContext对象、Codex CLI 的projectState模块当用户说“修复所有测试失败”系统需同时访问 Jest 日志来自终端、test/目录结构来自文件系统、当前分支变更来自 Git——superpowers 用getContext(test-failure)一次性聚合L4策略编排层决定“先做什么、何时停”能力调用顺序、失败降级策略、用户意图澄清机制、成本控制token/延迟阈值cursor/config/superpowers-policy.yaml、Antigravity 的policy-engine.wasm防止 AI 陷入无限循环当generate test调用analyzeCoverage失败时自动降级为generate test --stub而非报错退出这四层不是理论模型而是我在部署企业级 Codex CLI 时的真实架构图。最关键是 L2 桥接层——它用极简设计解决了最大痛点。比如 Codex CLI 启动时会 fork 一个子进程执行codex-runtime --host然后通过标准输入输出与主进程通信。所有 superpowers 插件无论用 Rust、Python 还是 WASM 编译只需实现stdin → JSON-RPC request → stdout ← JSON-RPC response协议就能被任何支持 superpowers 的宿主调用。这比 Electron 的 IPC 或 gRPC 更轻量启动速度快 3 倍且天然支持 Windows/Linux/macOS 三端。2.3 与同类方案的本质区别为什么不是另一个插件市场很多人第一反应是“superpowers 不就是个插件平台” 这是个危险误解。对比三个常见概念VS Code 扩展市场核心是 UI 和功能叠加。一个“ESLint 插件”提供状态栏图标、右键菜单、设置页但它的“修复代码”能力无法被 Codex CLI 调用因为没有标准化输入输出契约。superpowers 插件不关心 UI只暴露fixCode(source: string, rules: string[]): {fixed: string, diff: string}这样的纯函数接口。Copilot 的 SkillsGitHub Copilot Skills 本质是预设 Prompt 模板库运行时由服务器端模型动态拼接。而 superpowers 是客户端能力getProjectContext()返回的是本地真实的 AST 对象不是字符串描述applyCodeEdit()直接操作编辑器缓冲区不是返回 Markdown 格式建议。LangChain ToolsLangChain 的 Tool 是 Python 函数包装强依赖运行时环境。superpowers 协议要求所有能力必须能通过codex-cli superpower list命令发现并支持codex-cli superpower invoke --namegit-diff --json{ref:HEAD~1}这样的 CLI 调用——这意味着它必须是进程隔离、无状态、可审计的。我曾用 LangChain 实现过类似功能结果在客户现场崩溃当用户同时打开 5 个 Cursor 窗口每个窗口都试图调用同一个 LangChain Tool 实例内存泄漏导致整个 IDE 卡死。而 superpowers 的每个能力都是独立进程或 WASM 沙箱通过 IPC 通信天然支持并发和资源隔离。这就是为什么 Antigravity 官网强调“superpowers runs in isolated runtimes”——它不是功能而是安全边界。3. 核心能力解析superpowers 协议定义的 7 个原子能力3.1project-context让 AI 真正“看懂”你的项目这是 superpowers 协议中最基础也最关键的原子能力。它不返回字符串而是返回一个结构化对象包含 5 个必填字段和 3 个可选字段{ projectRoot: /home/user/my-app, language: typescript, framework: nextjs14.2.0, dependencies: { react: ^18.2.0, zod: ^3.22.0 }, files: [ { path: src/pages/index.tsx, size: 1248, lastModified: 2024-05-20T08:32:11Z, astType: tsx } ], gitStatus: { branch: main, ahead: 2, staged: [src/utils/api.ts] } }为什么这个结构如此重要以 Cursor 中的“解释这段代码”功能为例传统做法是把选中代码 当前文件内容拼成 prompt 发给模型。而 superpowers 流程是Cursor 调用project-context获取上述结构化数据根据framework字段自动注入 Next.js 14 的 App Router 文档片段根据dependencies.zod版本附加 Zod 3.22 的类型推导规则根据gitStatus.staged提示用户“此代码尚未提交解释将基于暂存区状态”我实测过同样一段z.array(z.object({id: z.string()}))代码在未启用project-context时Claude Code 返回“这是一个 Zod 数组 schema”启用后它会补充“注意Zod 3.22 支持.catch()方法处理解析失败建议在 API 响应处理中使用”。注意project-context的性能直接影响 AI 响应速度。Antigravity 的优化策略是缓存 5 分钟内的结果并监听文件系统事件inotify自动失效。如果你在 Linux 下遇到antigravity 打开失败先检查inotify watch limitcat /proc/sys/fs/inotify/max_user_watches低于 524288 时需执行echo 524288 | sudo tee /proc/sys/fs/inotify/max_user_watches。3.2code-edit从“建议”到“执行”的临门一脚这是 superpowers 区别于所有竞品的核心能力。传统 AI 工具只返回修改建议diff 文本或新代码而code-edit要求宿主如 Cursor必须实现真正的代码变更应用# Codex CLI 调用示例 codex-cli superpower invoke \ --namecode-edit \ --json{ file: src/lib/utils.ts, range: {start: 12, end: 15}, newContent: export const formatDate (date: Date) date.toISOString().split(\T\)[0]; }关键约束条件协议强制必须验证range是否在文件当前内容范围内防止越界写入必须保留原文件的换行符风格CRLF/LF和缩进空格/Tab修改后必须触发编辑器的“脏状态”标记即显示文件名后的 * 号若newContent包含语法错误必须返回{error: SyntaxError: Unexpected token}而非静默失败我在配置 Cursor 时曾因忽略第二条约束吃过亏团队用 Windows 开发但 CI 在 Linux 运行code-edit生成的 LF 换行被 Git 自动转为 CRLF导致 CI 构建时报No newline at end of file。解决方案是在 Cursor 设置中启用editor.insertSpaces: true和files.eol: \n并确保所有 superpowers 插件在newContent末尾显式添加\n。3.3diagnostic让 AI 成为你的实时调试搭档这不是简单的错误提示而是结构化诊断流水线。当用户在 Antigravity 中打开一个报错的 TypeScript 文件diagnostic能力会依次触发parse-error提取错误位置、类型、原始消息如TS2322: Type string is not assignable to type numberlocate-source根据 TS 错误码查询typescript/lib/tsserverlibrary.js定位到createDiagnosticForNode函数suggest-fix调用code-edit生成修复建议如添加parseInt()转换verify-fix在内存中编译修改后的代码确认错误消失整个过程在 800ms 内完成且每一步都可被审计。我在企业内部部署时要求所有diagnostic插件必须在verify-fix阶段记录耗时超过 2s 的自动降级为“建议模式”只显示 fix 而不自动应用。实操心得diagnostic的最大价值在于“失败分析”。当chatgpt failed to start报错时diagnostic会执行检查codex-cli是否在 PATH 中which codex-cli验证~/.codex/runtimes/下是否存在对应版本的 runtime测试与claude-code服务的连接curl -I http://localhost:3000/health最终生成带具体命令的排查清单而非笼统的“检查环境”。3.4test-generation超越简单模板的智能测试构建test-generation的输入不是“写个测试”而是结构化请求{ targetFunction: src/lib/calculator.ts:calculateTotal, coverageGoal: branch, mockStrategy: inline, framework: vitest }协议强制要求的三重保障覆盖率驱动必须分析目标函数的 AST识别所有 if/else、switch case、循环边界生成覆盖每条路径的测试用例框架感知根据framework字段自动生成vitest的describe/it结构或jest的test.each表格驱动写法Mock 安全mockStrategy: inline表示在测试文件内用vi.mock()external则生成__mocks__/目录——且所有 mock 调用必须通过diagnostic验证是否影响真实依赖我曾用此能力为一个 2000 行的支付 SDK 生成测试传统方式需 3 天test-generation在 12 分钟内产出 87 个测试用例覆盖 92% 的分支。关键是它自动识别出 SDK 中getExchangeRate()方法调用了外部 API于是生成了vi.mock(../api, () ({ getExchangeRate: vi.fn().mockResolvedValue(1.23) }))而非错误地尝试调用真实接口。3.5security-scan把 SAST 能力变成日常操作这不是扫描完就完事而是深度集成到工作流# 在 Codex CLI 中运行 codex-cli superpower invoke \ --namesecurity-scan \ --json{ scope: staged, rules: [hardcoded-secret, xss-vulnerable], severityThreshold: high }协议定义的闭环动作扫描结果必须包含remediationSteps字段给出具体修复命令如sed -i s/API_KEY.*$/API_KEY${API_KEY}/ .env若发现高危漏洞如硬编码密钥必须阻断git commit流程除非用户显式添加--force-security-bypass所有扫描结果需写入~/.codex/security-log.json供团队审计在金融客户项目中我们配置security-scan为每次cursor save自动触发。当开发人员保存含process.env.PAYPAL_SECRET的文件时Cursor 会弹出警告“检测到硬编码密钥已自动替换为${PAYPAL_SECRET}请在 CI 中配置密钥注入”。这比传统 SAST 工具晚发现漏洞的平均时间缩短了 93%。3.6documentation从注释到可执行文档documentation能力的输出不是 Markdown而是可被 IDE 直接渲染的结构化文档{ functionName: calculateTotal, parameters: [ { name: items, type: CartItem[], description: 购物车商品列表必须包含 id 和 price 字段 } ], returns: { type: number, description: 总价单位分不含运费 }, examples: [ { input: {items: [{id: 1, price: 1000}]}, output: 1000, explanation: 单商品场景总价等于商品价格 } ] }关键创新点examples字段支持explanation让 AI 不仅生成示例还解释其业务含义所有type字段必须与项目tsconfig.json中的compilerOptions.typeRoots一致确保类型准确性当用户在 Cursor 中按CtrlSpace触发智能提示时documentation会自动注入examples中的输入输出作为实时预览我在重构一个遗留 Java 项目时用documentation为 300 个方法批量生成 Javadoc。特别有价值的是explanation字段——它把“param items 购物车商品列表”这种模糊描述升级为“items 必须已通过 InventoryService.checkStock() 校验库存否则抛出 InsufficientStockException”极大降低了新成员的理解成本。3.7refactor安全重构的黄金标准refactor是 superpowers 中约束最严的能力。协议规定任何refactor操作必须满足语义等价性Semantic Equivalence——即重构前后程序在所有可能输入下的输出必须完全相同。# 安全重构示例提取函数 codex-cli superpower invoke \ --namerefactor \ --json{ type: extract-function, range: {start: 45, end: 62}, newFunctionName: validateEmailFormat, preserveSideEffects: true }协议强制的三重验证AST 等价性验证用esbuild重新解析重构前后的代码确认 AST 结构差异仅限于新增函数声明和调用位置运行时验证在内存中执行重构前后的代码对比相同输入的输出包括返回值、抛出异常、console.log 输出副作用验证若preserveSideEffects: true则必须确保console.log、fetch、localStorage等调用仍发生在原位置我在为客户做微服务迁移时用refactor将一个 500 行的 Express 路由函数安全拆分为 7 个独立函数。协议的运行时验证捕获了一个隐藏 bug原代码中if (user.role admin)之后有logAccess()调用而提取函数时漏掉了它。refactor在验证阶段报错“重构后缺少 console.log 调用”强制我修正。4. 实操部署指南从零搭建 superpowers 工作流以 Codex CLI Cursor 为例4.1 环境准备绕过最常见的 3 个陷阱陷阱一Codex CLI 版本碎片化网络上大量教程教用户npm install -g codex-cli但这会安装最新版v2.4.0而当前 stable 的 superpowers 协议要求 v2.2.1。实测 v2.4.0 与 Cursor 0.42.0 不兼容报错note: claude code might not be available in your country. check supported co实际是协议版本不匹配。✅ 正确做法# 卸载全局安装 npm uninstall -g codex-cli # 安装指定版本Linux/macOS curl -fsSL https://github.com/codex-org/codex-cli/releases/download/v2.2.1/codex-cli-linux-x64.tar.gz | tar -xz -C /usr/local/bin/ # 验证 codex-cli --version # 应输出 v2.2.1 codex-cli superpower list # 应显示 7 个内置能力陷阱二Antigravity 运行时缺失unable to locate the codex cli binary or required runtime components报错中“required runtime components” 指的是codex-runtime它不是 Codex CLI 的一部分而是独立组件。✅ 正确安装流程# 1. 创建运行时目录 mkdir -p ~/.codex/runtimes # 2. 下载 codex-runtimev1.8.0与 CLI v2.2.1 匹配 curl -fsSL https://github.com/codex-org/codex-runtime/releases/download/v1.8.0/codex-runtime-linux-x64.tar.gz | tar -xz -C ~/.codex/runtimes/ # 3. 验证运行时 ~/.codex/runtimes/codex-runtime --version # 应输出 v1.8.0 # 4. 告诉 CLI 运行时位置关键 echo {runtimePath: ~/.codex/runtimes/codex-runtime} ~/.codex/config.json陷阱三Cursor 的 superpowers 配置未激活Cursor 默认不启用 superpowers即使 Codex CLI 已正确安装。✅ 启用步骤打开 Cursor → Settings → Extensions → 搜索superpowers确保Superpowers Integration扩展已启用不是Claude Code插件在 Settings → Superpowers 中设置CLI Path:/usr/local/bin/codex-cliEnable Project Context: ✅Enable Auto-Apply Edits: ✅谨慎开启建议先测试重启 Cursor提示如果 Cursor 设置中找不到Superpowers Integration说明你安装的是旧版。卸载后从官网下载cursor-0.42.0-linux-x64.debUbuntu/Debian或cursor-0.42.0-mac-arm64.dmgMac旧版不支持 superpowers 协议。4.2 能力验证用 5 行命令确认工作流畅通部署完成后必须逐层验证。我习惯用以下命令链# 1. 验证 CLI 基础功能 codex-cli --help | head -5 # 2. 验证 superpowers 注册应列出 7 个能力 codex-cli superpower list | grep -E (project-context|code-edit) # 3. 验证运行时可用性应返回 JSON codex-cli superpower invoke --nameproject-context --json{} # 4. 验证上下文获取检查是否返回 framework 字段 codex-cli superpower invoke --nameproject-context --json{} | jq .framework # 5. 验证编辑能力在临时文件测试不破坏真实代码 echo const a 1; /tmp/test.js codex-cli superpower invoke \ --namecode-edit \ --json{file:/tmp/test.js,range:{start:0,end:15},newContent:// Auto-generated\nconst a 1;} cat /tmp/test.js # 应显示带注释的代码关键观察点第 3 步若报错unable to locate the codex cli binary检查~/.codex/config.json中runtimePath是否指向正确的codex-runtime文件不是目录第 4 步若返回null说明project-context插件未正确加载检查~/.codex/plugins/下是否有project-context目录第 5 步若失败90% 是文件权限问题/tmp/test.js需对当前用户可写且codex-runtime进程需有读写权限4.3 Cursor 中的实战配置让 superpowers 真正“好用”光有底层能力不够必须配置 Cursor 让它符合人类工作习惯。以下是我在 3 个不同团队落地的经验配置一中文支持解决cursor怎么设置中文问题Cursor 本身不提供中文界面但 superpowers 的documentation和diagnostic输出可本地化在 Cursor Settings → Editor → Language →Display Language选择zh-cn创建~/.cursor/superpowers-i18n.json{ zh-cn: { project-context: { framework: 框架, dependencies: 依赖包 }, diagnostic: { TS2322: 类型不匹配字符串不能赋值给数字类型 } } }在 Cursor Settings → Superpowers →Localization File指向该文件配置二安全加固解决cursor提示词泄露风险默认情况下project-context会发送整个package.json内容可能泄露私有依赖。启用过滤编辑~/.codex/config.json{ projectContextFilter: { excludeKeys: [private, scripts, devDependencies], maxFileSize: 1048576 } }这样project-context返回的dependencies只包含dependencies字段且排除private: true的包配置三性能调优解决antigravity ide 登录卡顿project-context默认扫描整个项目大项目10k 文件会超时。按需配置在项目根目录创建.codexignorenode_modules/ dist/ *.log __tests__/在~/.codex/config.json中启用增量扫描{ projectContext: { scanMode: incremental, watchFiles: [package.json, tsconfig.json, src/**/*.{ts,tsx}] } }4.4 故障排查从报错信息反推问题根源当出现antigravity登录不上或cursor汉化失败时不要盲目重装。按以下顺序排查报错关键词最可能根源验证命令解决方案unable to locate the codex cli binarycodex-cli未在 PATH或~/.codex/config.json中cliPath错误which codex-clicat ~/.codex/config.json | jq .cliPath将codex-cli路径加入 PATH或在 config.json 中显式设置cliPath: /usr/local/bin/codex-clichatgpt failed to startcodex-runtime版本不匹配或权限不足~/.codex/runtimes/codex-runtime --versionls -l ~/.codex/runtimes/codex-runtime下载匹配版本执行chmod x ~/.codex/runtimes/codex-runtimenote: claude code might not be available协议版本不兼容CLI v2.4.0 Cursor v0.42.0codex-cli --versioncursor --version降级 CLI 到 v2.2.1或升级 Cursor 到 v0.43.0cursor怎么设置中文displayLanguage未生效或 i18n 文件路径错误cat ~/.cursor/settings.json | jq .editor.displayLanguage确认 settings.json 中editor.displayLanguage为zh-cn且 i18n 文件路径正确antigravity 打开失败inotify监控数超限或project-context插件崩溃cat /proc/sys/fs/inotify/max_user_watchescodex-cli superpower invoke --nameproject-context --json{}增加max_user_watches重装project-context插件实操心得我维护了一个superpowers-debug.sh脚本自动执行上述所有验证#!/bin/bash echo CLI Version ; codex-cli --version echo Runtime Version ; ~/.codex/runtimes/codex-runtime --version 2/dev/null || echo Not found echo Project Context Test ; timeout 5s codex-cli superpower invoke --nameproject-context --json{} | jq -r .framework // FAIL echo Code Edit Test ; echo test /tmp/debug.txt codex-cli superpower invoke --namecode-edit --json{file:/tmp/debug.txt,range:{start:0,end:4},newContent:OK} cat /tmp/debug.txt运行它 30 秒内就能定位 95% 的部署问题。5. 高级应用与避坑指南让 superpowers 真正融入你的工作流5.1 团队级 superpowers 策略管理单人使用 superpowers 是效率提升团队统一策略才是质变。我们在 50 人前端团队落地了策略中心策略文件team-policy.yamlpolicies: - name: security-scan-on-commit trigger: git-commit action: security-scan config: scope: staged severityThreshold: medium rules: [hardcoded-secret, xss-vulnerable] - name
