对仓库中所有 workflow 文件做定期扫描，重点关注异常外连地址、可疑 secrets 读取模式及未经审批的定时任务，是有效的审计措施。