外发隐私泄露预检（一键脱敏）
发帖、发朋友圈、发简历、发聊天截图、把内容丢给 AI 之前，先花 30 秒扫一遍——很多"社死"和诈骗，都始于一条自己发出去的内容。本 Skill 在外发前做一次纯本地逐字扫描，告诉你「哪里在泄露、为什么危险、怎么改」，还能直接给你一份打好码、可以复制的文本。
为什么免费：规则库 + 扫描脚本全部打包在 Skill 里，不联网、不调后端、不要 API Key、不上传你的内容。处理未发布的草稿也零风险。
它查什么：6 大类敏感信息——身份证件 / 手机与银行卡 / 账号凭证与密钥 / 联系方式 / 位置与住址 / 工作与校园信息，共 20+ 条规则。身份证走校验位、银行卡走 Luhn 校验，大幅降低误报，"13800138000 这类手机会被识别，但普通长数字不会乱报"。
何时使用
用户说以下任何一句时：
- "这条内容能发吗" / "发之前看看有没有泄露隐私"
- "会不会暴露我的个人信息" / "帮我看看有没有敏感信息"
- "帮我脱敏 / 打码 / 处理一下再发"
- "简历 / 聊天记录 / 截图 / 商品描述 里有没有不能发的"
使用流程
第 1 步：组装输入
从用户要外发的内容中提取，保存为临时 JSON 文件，不要直接放命令行参数（避免中文与符号转义问题）。key 任意，值会被逐字段扫描，常用 key 如下：
{
"content": "正文 / 帖子 / 商品描述",
"chat": "聊天记录（可选）",
"resume": "简历文本（可选）",
"email_body": "邮件正文（可选）"
}
也可以把整段文字存成 draft.txt 用 --text-file 传入。
第 2 步：本地扫描
node scripts/preflight.mjs scan --input content.json
退出码含义：
| 退出码 | 含义 | 你要做什么 |
|---|---|---|
0 |
✅ 未发现明显泄露 | 告诉用户可以发，附上报告里的自查清单 |
3 |
🟡 无高敏，但有可定位身份的提醒 | 提醒用户，建议按需处理 |
2 |
🚫 命中高敏泄露 | 明确告知先处理再发，逐条说明风险与改法 |
1 |
输入或运行错误 | 检查 JSON 格式与文件路径 |
需要结构化数据时加 --json。想先看规则库覆盖面：node scripts/preflight.mjs list。
第 3 步：一键脱敏（免费增值，别省略）
命中的内容不用用户自己手改，直接跑：
node scripts/preflight.mjs mask --input content.json
会输出「已打好码、可直接复制外发」的文本（保留可读性，只对敏感片段打码，如 138****8000、3301**********1234）。加 --out masked.json 可写入文件。
第 4 步：帮用户兜底
脚本只扫文字，图片、文件属性扫不到。把报告底部的发布前自查清单讲给用户，并参考 references/methodology.md 里的处理建议：
- 高敏项（身份证 / 银行卡 / 密钥 / 验证码）→ 直接删或整体打码；
- 联系方式 → 换成平台内私信或小号；
- 住址 / 车牌 → 只保留到城市 / 商圈；
- 涉及孩子的信息 → 删除具体学校班级，先征得监护人同意。
改完再跑一次扫描确认退出码降下来，再让用户发。
注意
- 纯本地：不联网、不上传内容、不产生任何费用，可放心处理未发布草稿与私密材料。
- 只扫文本：截图里的手机号、地址、二维码、证件小字扫不到，报告里的自查清单会提醒用户人工看一遍配图与附件。
- 降低误报优先：身份证用校验位、银行卡用 Luhn 校验；仍可能有个别误报，报告中的命中项请结合上下文确认后再删。
- 不是合规审计：本预检覆盖常见个人敏感信息，不替代企业的数据分类分级与合规流程。
- 规则库会持续补充，版本号见报告底部
规则库 2026.09-r1。
