io.github.SureshKhemka/constraints-registry

请为 AI 编码代理定义一套策略：禁止生成硬编码密钥、禁止创建对外开放的高危安全组、要求新增基础设施代码必须通过 OPA、Conftest、Checkov 和 Semgrep 校验。请输出可落地的约束规则示例与检查说明。

一组可执行的策略约束示例，以及对应的校验流程与拦截说明。

帮我设计一个在 CI 流程中使用 constraints-registry 的方案：当 AI 代理提交 Terraform、Kubernetes 或应用代码时，自动运行 OPA、Conftest、Checkov 和 Semgrep，并在不合规时阻止合并。请给出步骤与配置思路。

包含扫描顺序、触发条件、失败门禁和集成建议的 CI 校验方案。

请基于 constraints-registry 为团队整理一份 AI 辅助开发安全基线，覆盖代码生成、IaC、依赖项扫描和敏感信息检测，并说明每类规则适合由 OPA、Conftest、Checkov 还是 Semgrep 负责。

一份按场景分类的安全基线清单，并标注适用的策略引擎与检测工具。