已按你截图里的 NorPho Git（技术支持部代码云托管平台） 品牌口径，写好了一份可直接挂在注册页的《平台使用规范》V1.0，含 13 章、图标标记（✔ 必须做 / ✘ 严禁 / ⚠ 注意 / ▸ 一般规则），下面是完整正文。

NorPho Git 平台使用规范 · V1.0

技术支持部代码云托管平台｜生效日期 2026-10-26｜适用范围：全体平台用户

⚠ 立约说明：本规范是您与技术支持部平台管理方就使用本平台订立的使用约定。在注册页勾选"我已阅读并同意《平台使用规范》"并完成注册，即视为已完整阅读、理解并同意全部条款；不同意者请勿注册或使用本平台。

👤 一、账号与身份管理

▸ 一人一号：仅可注册一个账号，须使用本人真实姓名（或工号）及企业邮箱（@公司域名）；禁止使用昵称、共享邮箱、临时邮箱。
✘ 禁止共享与转借：账号、密码、SSH 密钥、访问令牌仅限本人使用；禁止以他人身份提交代码或代为审批、发布。
✔ 口令强度：不少于 12 位，含大小写字母、数字与符号；建议每 90 天更换。
✔ 双因子认证（2FA）：管理员、仓库 Owner、拥有生产发布权限的账号必须开启，其余强烈建议开启。
✔ 令牌管理：须注明用途、最小权限、有效期不超过 180 天；人员离岗立即删除。
⚠ 离职交接：转岗/离职前完成 Owner 与密钥交接，离职后账号 30 天内停用，代码资产归部门保留。
⚠ 发现盗用立即改密、吊销令牌并联系平台管理员。

🗂️ 二、仓库创建与命名

▸ 命名格式：{团队/部门}-{项目}-{模块}，全小写、短横线分隔，如 ts-opsportal-api；禁止中文、空格、下划线、无意义缩写。
✘ 禁止创建与工作无关的仓库（私人笔记、影音、破解软件、学习资料等）——平台是研发资产，不是网盘。
✔ 三件套必备：README.md（说明、构建部署方式、负责人）、LICENSE（内部默认私有，版权归公司）、.gitignore。
▸ 默认私有；确需公开须经项目负责人与平台管理员审批并登记。
⚠ 停更超 12 个月的仓库应归档并注明后继负责人；不得擅自删除在役仓库。
▸ 仓库 Owner 对内容、权限与合规负直接管理责任。

🌿 三、代码提交与分支管理

分支模型：main（生产，保护）｜develop（集成，保护）｜feature/*｜release/*｜hotfix/*

✘ 保护分支纪律：main、develop、release/* 禁止直接 push、禁止 force push、禁止删除，一律走 PR。
✘ 已推送的提交禁止 rebase/reset 后强推，确需修正用 revert。
✔ 提交说明：Conventional Commits，如 feat(billing): 新增发票校验规则；type 限 feat/fix/docs/refactor/perf/test/build/ci/chore。
✘ 禁止 update、fix、123、空白等无意义提交信息。
▸ 一次提交一件事，建议不超过 500 行；自动生成文件单独提交并注明来源。
✘ 禁止入库：编译产物（target/、dist/、node_modules/、*.jar）、日志、本地环境变量、IDE 配置、临时数据。
✔ 提交前完成编译、单测、格式化与敏感信息自检。

🤝 四、代码评审与合并

▸ 进入 main/develop/release/* 的变更必须提交 PR，写明变更说明、影响范围、测试结论与回滚方案。
▸ 通过条件：至少 1 名同项目成员评审通过（核心模块、生产发布、鉴权相关建议 2 名）+ CI 全绿。
✘ 禁止自审自合；紧急情况须说明原因并由负责人 1 个工作日内补审。
▸ PR 建议控制在 400 行以内，超限应拆分。
✔ 评审聚焦正确性、可读性、安全性与性能，禁止人身攻击与无理由否决。
⚠ 被请求评审者 2 个工作日内响应；长期挂起的 PR 由负责人裁定。
✔ 优先 Squash 合并保持主干清晰，合入后及时删除 feature/hotfix 分支。

🔐 五、信息安全与保密（红线）

🚫 严禁

将口令、数据库连接串、私钥证书、API Key、云 AK/SK、内部 IP 与拓扑、客户数据、未发布产品资料写入代码、Issue、Wiki、PR 描述、CI 日志或提交历史。
上传涉密文件、工作秘密、个人隐私信息（身份证、手机号、住址、银行卡）及未授权客户数据。
代码中保留后门、绕过鉴权的调试开关、硬编码测试账号、未申报的采集逻辑。
将平台代码、文档、配置外发至公共代码托管站、公开 Gist、网盘或未审批的外部 AI 服务。
通过影子仓库、私建镜像等方式绕过分支保护与审批。

✅ 必须

敏感信息走配置中心/环境变量/密钥管理，仓库只留 xxx.example.yml 与占位符。
提交前用 .gitignore、pre-commit 钩子、CI 密钥扫描自查。
使用独立受限的运行账号连接数据库与中间件，禁止共用高权限账号。
工作代码仅存放于公司设备或受控目录。

🚨 泄露处置：① 立即吊销（rotate）凭据 → ② 清理代码与历史中的敏感内容 → ③ 24 小时内上报平台管理员与安全接口人 → ④ 配合溯源整改并复盘。严禁隐瞒或"静默删除"，未上报的泄露一经发现按严重违规处理。

⚖️ 六、开源与第三方代码合规

▸ 引入开源组件须确认 License 兼容性；禁止未评估即引入 GPL/AGPL 等强传染性协议代码。
▸ 引用外部片段（含网络来源、AI 生成）须注明来源与许可，并确认不携带敏感信息、不侵权。
⚠ 对外开源、发布公共镜像、贡献上游社区须经部门负责人与法务/合规审批并完成脱敏。
✔ 维护依赖清单（SBOM）并定期漏洞扫描，高危漏洞限期修复，无法修复须提交风险豁免说明。
✘ 禁止使用来源不明、无许可证声明或已通报恶意行为的第三方包与镜像。

💾 七、存储、配额与大文件

▸ 单仓库默认 1 GB，LFS 默认 5 GB（可申请调整）；超限后仓库转为只读。
✔ 大于 100 MB 的二进制文件走 Git LFS 或制品库（镜像仓库、NPM/Maven 私服、对象存储）。
✘ 禁止存放影音、安装包备份、私人文件、虚拟机镜像、爬虫数据集。
✘ 禁止利用仓库、流水线或 Runner 搭建私人服务（代理、挖矿、驻留爬虫、个人站点）。
⚠ 超 12 个月无提交且未归档的仓库将被提醒归档/回收，删除前通知负责人并保留备份 30 天。

🛡️ 八、权限与协作

▸ 最小权限：按只读（Read）— 开发者（Write）— 管理员（Admin）分级授予。
▸ 组织与团队须与真实组织结构一致，负责人每季度复核成员清单。
⚠ 外部人员（供应商、外包、实习）账号须注明期限与范围、到期自动回收；外包仅授予指定仓库权限，禁止授予组织管理员。
✔ 删除仓库、强推、修改保护规则、权限变更等操作须留痕，重要操作双人确认。
✘ 禁止为绕开审批创建影子仓库或私自搭建镜像。
✔ Issue/PR 中使用规范客观语言，禁止发布与工作无关、违法违规或攻击性内容。

⚙️ 九、流水线与自动化（CI/CD）

▸ .gitea/workflows/*.yaml 须纳入代码评审，变更视同生产配置。
✘ 禁止在流水线脚本中硬编码凭据；密钥一律用 Secrets 注入并开启日志掩码。
✘ 禁止在构建日志中打印口令、Token、完整连接串、客户数据。
▸ Runner 仅用于构建、测试、打包、扫描；禁止长驻任务或对外服务。
✔ 构建产物推送制品库并设置保留期，禁止长期堆积。
▸ 流水线触发部署/通知须使用受控凭据并限定目标环境，生产操作保留审批记录。

🏛️ 十、知识产权与数据归属

▸ 平台上产生的代码、文档、配置、Issue、Wiki 及流水线数据，权益归公司/部门所有，不因人员变动而改变。
✘ 离职转岗须完整交接，禁止私自拷贝、留存、外带平台资产。
✘ 平台数据仅可用于公司业务目的，禁止用于个人项目、对外服务或商业用途。
⚠ 专利、软著申请按公司知识产权管理制度执行。

📊 十一、服务可用性、备份与免责

▸ 计划内维护安排在非工作时段并提前公告；紧急安全维护可先处置后补公告。
✔ 每日增量备份、每周全量备份，异地保留不少于 30 天；恢复由管理员执行并登记。
⚠ 备份不替代个人责任：仅存本地、未推送的代码丢失，平台不承担赔偿责任。
▸ 因不可抗力、网络与硬件故障导致的短时不可用，在已尽合理运维义务前提下不承担间接损失责任。
▸ 涉嫌安全事件或违规调查时，平台有权临时限制相关账号与仓库并保留证据。

🔍 十二、违规处理与审计

平台保留登录、推送、删除、权限变更等日志，留存不少于 180 天，并配合内部与安全审计。

级别	情形	处理
一级（轻度）	命名不规范、提交说明缺失、README 缺失、长期未归档	提醒纠正，限期整改
二级（较重）	密钥入库、绕开评审强推、超配额、共享账号、未评估引入开源协议	限制写入 7–30 天，通报部门负责人，强制规范培训与整改
三级（严重）	泄露客户数据或涉密信息、外发平台资产、恶意破坏、传播违规内容、利用平台从事违法活动	立即停用账号、封存证据，按信息安全与人事制度追责；涉嫌违法移交法务及司法机关