refactor(ci): consolidate repository workflows

Author: Aethersailor

.github/workflows/README.md

@@ -9,17 +9,15 @@
 | 文件名 | 描述 | 触发条件 |
 | :--- | :--- | :--- |
 | [`auto-backup-wiki.yml`](auto-backup-wiki.yml) | 校验 Wiki 目录页和页面完整性后，事务式备份到仓库的 `wiki/` 目录并处理链接替换 | 每 2 小时或手动触发 |
-| [`auto-generate-rules.yml`](auto-generate-rules.yml) | 从 `rule/` 顶层和 `rule/game_rule/` 的 `.list` 规则源统一生成 `.yaml` 和 `.mrs` 派生规则，清理失去来源的派生文件，并在精确 SHA 校验成功后调用统一 CDN 发布器 | 对应规则源或生成器变更、源更新工作流同步调用，或手动触发 |
+| [`auto-generate-rules.yml`](auto-generate-rules.yml) | 从 `.list` 规则源统一生成 `.yaml` 和 `.mrs` 派生规则，并由受维护的 Clash 模板同步生成 Mainland 与 Stash 兼容文件；完成精确 SHA 校验后调用统一 CDN 发布器 | 对应规则源、模板或生成器变更，源更新工作流同步调用，或手动触发 |
 | [`auto-update-encrypted-dns.yml`](auto-update-encrypted-dns.yml) | 从 HaGeZi、DNSCrypt 和编译后的 `geosite:category-doh` 自动更新 `Encrypted_DNS.list`；内容变化后同步等待派生规则生成，派生失败会使本工作流失败 | 每日或手动触发 |
 | [`auto-update-game-cdn.yml`](auto-update-game-cdn.yml) | 合并 v2fly 上游与本项目 `Steam_CDN.list`，智能去重后更新 `Game_Download_CDN.list`；内容变化后同步等待派生规则生成 | `Steam_CDN.list` 或生成器变更、每日或手动触发 |
-| [`auto-update-mainland.yml`](auto-update-mainland.yml) | 将 `Custom_Clash.ini` 同步为兼容文件 `Custom_Clash_Mainland.ini`，并在内容变化时发布 | `Custom_Clash.ini` 变更或手动触发 |
 | [`codeql.yml`](codeql.yml) | 使用扩展安全与质量查询分析 GitHub Actions 和 Python | 相关代码推送、Pull Request、每日或手动触发 |
-| [`dependabot-auto-merge.yml`](dependabot-auto-merge.yml) | 等待 Validate、Dependency Review 和 CodeQL 全部成功后，自动压缩合并（squash merge）带有 `automerge` 标签的 Dependabot PR | 上述检查完成 |
-| [`dependency-review.yml`](dependency-review.yml) | 阻止 PR 引入任何已知等级的漏洞依赖，并展示 OpenSSF Scorecard 信息 | Pull Request |
+| [`dependabot-auto-merge.yml`](dependabot-auto-merge.yml) | 等待 Validate（含 Dependency Review）和 CodeQL 全部成功后，自动压缩合并（squash merge）带有 `automerge` 标签的 Dependabot PR | 上述检查完成 |
 | [`pages.yml`](pages.yml) | 构建并部署 MkDocs 文档站点到 GitHub Pages | `wiki/**`、`mkdocs.yml` 变更或手动触发 |
 | [`purge-jsdelivr.yml`](purge-jsdelivr.yml) | 按 [公开发布契约](../jsdelivr-publish.json) 精确刷新 jsDelivr 缓存；生成内容完整、精确 SHA 校验成功且仍为最新 `main` 时，同步部署 Cloudflare Static Assets 热备快照 | `main` 分支推送、规则生成且校验成功，或手动修复范围 |
 | [`sync-openclash-overwrite-submodule.yml`](sync-openclash-overwrite-submodule.yml) | 将 `overwrite/OpenClash_Overwrite` 子模块同步到上游 `main` 分支 | 每 2 小时或手动触发 |
-| [`validate.yml`](validate.yml) | 校验 Shell、Python、Sub-Store、Wiki 备份、规则派生文件、MRS、完整 Mihomo 模板和 Cloudflare 镜像部署包；也可由发布器校验指定提交 | 代码推送、Pull Request、发布器同步调用或手动触发 |
+| [`validate.yml`](validate.yml) | 校验 Shell、Python、Sub-Store、Wiki 备份、规则派生文件、MRS、完整 Mihomo 模板和 Cloudflare 镜像部署包；Pull Request 还会执行 Dependency Review，也可由发布器校验指定提交 | 代码推送、Pull Request、发布器同步调用或手动触发 |
 
 ## Cloudflare 热备发布
 

.github/workflows/auto-generate-rules.yml

@@ -19,7 +19,14 @@ on:
       - 'rule/game_rule/**/*.list'
       - 'py/generate_rules.py'
       - 'py/generate_stash_configs.py'
-      - 'cfg/Custom_Clash*.ini'
+      - 'cfg/Custom_Clash.ini'
+      - 'cfg/Custom_Clash_Fallback.ini'
+      - 'cfg/Custom_Clash_Lite.ini'
+      - 'cfg/Custom_Clash_Lite_Fallback.ini'
+      - 'cfg/Custom_Clash_GFW.ini'
+      - 'cfg/Custom_Clash_GFW_Fallback.ini'
+      - 'cfg/Custom_Clash_Full.ini'
+      - 'cfg/Custom_Clash_Full_Fallback.ini'
   workflow_dispatch:
     inputs:
       source_before_sha:
@@ -102,13 +109,15 @@ jobs:
             ':(glob)rule/*.mrs'
             ':(glob)rule/game_rule/**/*.yaml'
             ':(glob)rule/game_rule/**/*.mrs'
+            'cfg/Custom_Clash_Mainland.ini'
             ':(glob)cfg/Custom_Stash*.ini'
           )
           generated_excludes=(
             ':(exclude,glob)rule/*.yaml'
             ':(exclude,glob)rule/*.mrs'
             ':(exclude,glob)rule/game_rule/**/*.yaml'
             ':(exclude,glob)rule/game_rule/**/*.mrs'
+            ':(exclude)cfg/Custom_Clash_Mainland.ini'
             ':(exclude,glob)cfg/Custom_Stash*.ini'
           )
           remote_main_sha() {

.github/workflows/auto-update-mainland.yml

@@ -4,7 +4,6 @@ on:
   workflow_run:
     workflows:
       - CodeQL Advanced
-      - Dependency Review
       - Validate repository
     types: [completed]
     branches:

.github/workflows/dependabot-auto-merge.yml

@@ -18,6 +18,7 @@ on:
       - 'shell/**/*.sh'
       - 'cfg/*.ini'
       - 'cfg/yaml/**'
+      - 'requirements*.txt'
       - 'workers/repository-mirror/**'
   pull_request:
     branches:
@@ -35,6 +36,7 @@ on:
       - 'shell/**/*.sh'
       - 'cfg/*.ini'
       - 'cfg/yaml/**'
+      - 'requirements*.txt'
       - 'workers/repository-mirror/**'
   workflow_dispatch:
 
@@ -49,6 +51,22 @@ concurrency:
   cancel-in-progress: true
 
 jobs:
+  dependency-review:
+    if: github.event_name == 'pull_request'
+    runs-on: ubuntu-latest
+    timeout-minutes: 10
+    steps:
+      - name: Reject newly introduced vulnerable dependencies
+        uses: actions/dependency-review-action@a1d282b36b6f3519aa1f3fc636f609c47dddb294 # v5.0.0
+        with:
+          fail-on-severity: low
+          fail-on-scopes: development, runtime, unknown
+          retry-on-snapshot-warnings: true
+          retry-on-snapshot-warnings-timeout: 120
+          show-openssf-scorecard: true
+          warn-on-openssf-scorecard-level: 5
+          show-patched-versions: true
+
   validate:
     runs-on: ubuntu-latest
     timeout-minutes: 15

.github/workflows/dependency-review.yml

@@ -50,7 +50,7 @@ OpenClash `dev` 分支的内置列表已收录本仓库全部 8 个模板的远
 | 重度分流版 | [`Custom_Clash_Full.ini`](./Custom_Clash_Full.ini) | 业务、地区和节点用途分组更丰富 |
 | 重度分流故障转移版 | [`Custom_Clash_Full_Fallback.ini`](./Custom_Clash_Full_Fallback.ini) | 重度分流结构与自动故障转移结合 |
 
-[`Custom_Clash_Mainland.ini`](./Custom_Clash_Mainland.ini) 是由工作流从 `Custom_Clash.ini` 自动同步的兼容文件，不是独立配置版本。不要直接修改该文件。
+[`Custom_Clash_Mainland.ini`](./Custom_Clash_Mainland.ini) 是由统一兼容配置生成流程从 `Custom_Clash.ini` 自动同步的文件，不是独立配置版本。不要直接修改该文件。
 
 ## 📊 版本区别
 

.github/workflows/validate.yml

@@ -14,7 +14,7 @@
 
 - **功能：** 将 `cfg/Custom_Clash.ini` 复制为 `cfg/Custom_Clash_Mainland.ini`。
 - **状态：** 已归档。
-- **原因：** 当前由 `auto-update-mainland.yml` 直接完成同步，不再需要独立 Python 脚本。
+- **原因：** 当前由 `py/generate_stash_configs.py` 通过统一兼容配置生成流程完成同步，不再需要独立脚本。
 
 > [!WARNING]
 > 归档脚本仅用于追溯旧实现，不应参与当前生成或发布流程。

cfg/README.md

@@ -1,5 +1,5 @@
 #!/usr/bin/env python3
-"""Generate Stash-specific subconverter templates from maintained Clash policy."""
+"""Generate tracked compatibility templates from maintained Clash policy."""
 
 from __future__ import annotations
 
@@ -395,8 +395,16 @@ def generated_outputs(root: Path) -> dict[Path, str]:
     return outputs
 
 
+def compatibility_outputs(root: Path) -> dict[Path, str]:
+    outputs = generated_outputs(root)
+    outputs[Path("cfg/Custom_Clash_Mainland.ini")] = (
+        root / "cfg" / "Custom_Clash.ini"
+    ).read_text(encoding="utf-8")
+    return outputs
+
+
 def check_outputs(root: Path, outputs: dict[Path, str] | None = None) -> tuple[Path, ...]:
-    expected = outputs if outputs is not None else generated_outputs(root)
+    expected = outputs if outputs is not None else compatibility_outputs(root)
     mismatches = []
     for relative_path, content in expected.items():
         path = root / relative_path
@@ -410,14 +418,14 @@ def main() -> int:
     parser.add_argument("--check", action="store_true", help="check committed outputs")
     args = parser.parse_args()
     root = Path(__file__).resolve().parents[1]
-    outputs = generated_outputs(root)
+    outputs = compatibility_outputs(root)
     if args.check:
         mismatches = check_outputs(root, outputs)
         if mismatches:
             for path in mismatches:
-                print(f"outdated generated Stash template: {path.as_posix()}")
+                print(f"outdated generated compatibility template: {path.as_posix()}")
             return 1
-        print("generated Stash templates are current")
+        print("generated compatibility templates are current")
         return 0
 
     for relative_path, content in outputs.items():

py/archived/README.md

@@ -228,10 +228,17 @@ def test_generates_nine_deterministic_outputs(self) -> None:
 
     def test_committed_outputs_are_current(self) -> None:
         self.assertEqual(
-            generate_stash_configs.check_outputs(self.root, self.outputs),
+            generate_stash_configs.check_outputs(self.root),
             (),
         )
 
+    def test_clash_mainland_compatibility_output_matches_standard(self) -> None:
+        outputs = generate_stash_configs.compatibility_outputs(self.root)
+        self.assertEqual(
+            outputs[Path("cfg/Custom_Clash_Mainland.ini")],
+            (self.root / "cfg/Custom_Clash.ini").read_text(encoding="utf-8"),
+        )
+
     def test_projects_stash_rules_without_silent_unsupported_rules(self) -> None:
         for relative_path, content in self.outputs.items():
             with self.subTest(path=relative_path):