这是什么？
Clevis 是一个自托管仪表盘，把 GitHub API 转化为面向你的仓库和组织的安全与分析洞察——它通过六项自动检查（强制 MFA、分支保护、密钥扫描、Dependabot 警报、代码扫描警报、默认分支强制推送保护）计算安全评分，并允许管理员运行清理 GitHub Actions 缓存等特权维护任务。
Clevis 是一个自托管仪表盘，把 GitHub API 转化为面向你的仓库和组织的安全与分析洞察——它通过六项自动检查（强制 MFA、分支保护、密钥扫描、Dependabot 警报、代码扫描警报、默认分支强制推送保护）计算安全评分，并允许管理员运行清理 GitHub Actions 缓存等特权维护任务。这是一个应用，还是多个服务？它由三个可独立部署的服务组成，共享同一个检查库：一个 FastAPI REST 后端（认证、分析、RBAC、任务入队）、一个轮询 Postgres 任务队列的 Python worker，以及一个 Next.js/React 仪表盘界面。
它由三个可独立部署的服务组成，共享同一个检查库：一个 FastAPI REST 后端（认证、分析、RBAC、任务入队）、一个轮询 Postgres 任务队列的 Python worker，以及一个 Next.js/React 仪表盘界面。怎么把它跑起来？用 Docker + Docker Compose 运行，然后打开界面；首次访问会落在 /setup 创建初始管理员，之后通过 Settings → Connected GitHub accounts → Install GitHub App 连接 GitHub 组织。
用 Docker + Docker Compose 运行，然后打开界面；首次访问会落在 /setup 创建初始管理员，之后通过 Settings → Connected GitHub accounts → Install GitHub App 连接 GitHub 组织。我需要 GitHub App，还是只用 token 就行？首选 GitHub App 安装，因为 Clevis 能据此铸造短时效的安装令牌；带 read:org 权限的传统个人访问令牌只能作为手动备选，可解锁的功能也更少。
首选 GitHub App 安装，因为 Clevis 能据此铸造短时效的安装令牌；带 read:org 权限的传统个人访问令牌只能作为手动备选，可解锁的功能也更少。如果只用个人访问令牌连接会怎样？传统 PAT 只能支撑概览页的分析端点——仓库、活动、发布、自动化和协作者页面仍然需要 GitHub App 连接（非管理员则需要接受组织邀请），在此之前会显示「尚未连接到 Clevis」的错误。
传统 PAT 只能支撑概览页的分析端点——仓库、活动、发布、自动化和协作者页面仍然需要 GitHub App 连接（非管理员则需要接受组织邀请），在此之前会显示「尚未连接到 Clevis」的错误。GitHub 令牌是怎么存储的？保存的 GitHub 凭据和任务负载在静态存储时用 Fernet 加密，只有 worker 在实际处理任务时才会解密。
保存的 GitHub 凭据和任务负载在静态存储时用 Fernet 加密，只有 worker 在实际处理任务时才会解密。它运行的六项安全检查是什么？强制 MFA、分支保护、密钥扫描、Dependabot 警报、代码扫描警报，以及默认分支强制推送保护——每项都以通过、失败、错误或不适用上报，并附整改建议。
强制 MFA、分支保护、密钥扫描、Dependabot 警报、代码扫描警报，以及默认分支强制推送保护——每项都以通过、失败、错误或不适用上报，并附整改建议。它会记录管理员操作吗？会，每一项特权操作（比如运行 Actions 缓存清理）都会记录在不可篡改的审计日志中，缓存清理任务还支持试运行模式。
会，每一项特权操作（比如运行 Actions 缓存清理）都会记录在不可篡改的审计日志中，缓存清理任务还支持试运行模式。后台 worker 能横向扩展吗？可以——它用 Postgres 的 SELECT ... FOR UPDATE SKIP LOCKED 模式从队列领取任务，因此可以安全地运行多个 worker 副本。
可以——它用 Postgres 的 SELECT ... FOR UPDATE SKIP LOCKED 模式从队列领取任务，因此可以安全地运行多个 worker 副本。在哪里能找到完整的部署和生产加固细节？docs/self-hosting.md 涵盖完整的环境变量参考、GitHub App 注册和生产加固说明；AGENTS.md 介绍不用 Docker 在本地运行的方法。
docs/self-hosting.md 涵盖完整的环境变量参考、GitHub App 注册和生产加固说明；AGENTS.md 介绍不用 Docker 在本地运行的方法。What are similar projects?searchmirror, bisibility, flowsint, NodePilot, casdoor, labtether, claude-relay-service, infisical
searchmirror, bisibility, flowsint, NodePilot, casdoor, labtether, claude-relay-service, infisicalWhich topics is it in?job-queue, security-audit, audit-log, jwt, rbac, fastapi, oauth, github, authentication, nextjs, encryption, postgresql
job-queue, security-audit, audit-log, jwt, rbac, fastapi, oauth, github, authentication, nextjs, encryption, postgresql