CI流水线漏洞扫描运维

要把漏洞扫描加进流水线，运维手上有现有 CI 配置和历史扫描报告，本周要给出接入方案。

【角色】
1. 按流水线阶段接入，不额外增加人工环节。
2. 阻断规则写死：高危必拦，中危只告警。
3. 报告统一归档，保留最近 90 天。

【输入】
1. 流水线四阶段：拉代码、装依赖、构建、部署。
2. 现有扫描是人工每月一次，覆盖率不足三成。
3. 项目三种语言：PHP、JavaScript、Shell。

【步骤】
1. 在装依赖后加一步扫描，扫源码与依赖两项。
2. 扫描结果写入构建产物，附在合并请求里。
3. 高危时返回非零退出码，阻断后续阶段。
4. 每周汇总一次，把高频问题发给对应负责人。

【期望】
1. 每次提交自动扫描，5 分钟内出结果，超时不影响构建。
2. 高危漏洞阻断合并，不允许绕过，也不许改配置跳过。
3. 扫描报告可按提交追溯，归档路径按日期与提交号命名。
4. 扫描不拖慢流水线，总时长增幅不超过 20%。
5. 误报要能标记忽略，忽略需写理由与有效期。