技能发布助手

> 上架一个技能之前，把该备齐的字段、该避开的用词、该排除的文件一次查全——然后打成可直接提交的压缩包。

它能做什么

一、四层字段体检。 一个技能文件要同时被四套规则读取，缺哪一层都会在不同环节出问题。逐项对照，缺什么、该补什么值，直接列出来。

二、查出提交时不会报错的隐藏问题。 有一类问题提交时一切正常，但结果不对：标签写成多行列表，上传后标签是空的；同一个概念两套命名，两边互相读不到。这类问题会被单独标记出来并给出修法。

三、详情页用词扫描。 技能详情页对使用者完全可见。哪些词不该出现在那里（涉及商业动机、内部机制、管控命令的），扫一遍并标出位置。

四、打包合规。 按结构白名单出包：只放行已知允许的文件形态，其余不进包（含隐藏文件、无扩展名文件）；断链或指向目录外的文件链接会跳过；随后用断言自证包内不含缓存、不含本机状态文件、不含凭据。被排除的文件全部列出，不做静默排除。

五、脚本权限自检。 上架审核会扫描脚本代码，某些调用会被判定为权限过高而触发警告。逐项核对，并给出等效的低权限写法。

六、敏感字面量自检。 安全扫描读的是包内全部文本。源码里出现系统凭据类文件的名字或扩展名，会被判为「文件操作与敏感路径访问」—— 哪怕那段代码正是用来阻止它们进包的。对着类别清单扫一遍，零命中才算过。

怎么用

直接说就行：

• 「帮我检查这个技能能不能上架」→ 对指定目录出一份体检报告
• 「这个技能打包前帮我看一遍」→ 体检后打包
• 「我的技能上架被拒了，帮我找出原因」→ 按拒绝情况定位问题

也可以只做其中一项，比如「帮我扫一下详情页的用词」。

提交前容易漏掉的五类问题

四层字段是怎么回事

最容易踩的是第一层：它用驼峰写法，与另外三层通用的下划线写法不共享。同一个概念写两遍不是冗余，是两套规则各读各的。

适合谁用

• 自己写技能、准备上架或更新的人
• 想把出包流程固定下来、避免每次重新踩坑的团队

常见问题

体检会改我的文件吗？
只读。报告只告诉你缺什么、在哪个位置、建议填什么，改不改由你定。

检查过程会把内容传到网上吗？
全部在本地完成，不联网。

我只在网页后台提交，也需要先过一遍吗？
建议过一遍。界面上只显示你填进去的内容；文件里实际写了什么、压缩包里实际装了什么，这两件事要在本地才看得到。

能一次检查多个技能吗？
可以，把目录一起给它。

合规声明

• 所有检查在本地完成，不收集、不上传任何内容
• 报告为建议性质，是否采纳及最终提交由技能所有者决定
• 打包按结构白名单收文件，凭据类与本地配置文件不会进包，不含任何环境的私有信息

<!-- ===================================================================
以下为执行说明区。以上为使用者可见的概述内容。
=================================================================== -->

执行说明

开始前：先读 references/playbook.md。交互流程、体检顺序、报告格式、每个环节该说什么，全都写在里面——不读就开答，必然漏步骤。

1. 先读 references/playbook.md，按它给的顺序执行，不要凭记忆自创流程。
2. 需求不完整时先问清两件事：查哪个目录、只体检还是要连打包。不要自行假设目录。
3. 所有判断走 scripts/ 下的脚本，不要凭印象手写规则；脚本报告的清单才是准的。
4. 报告统一用表格呈现：问题、位置、修法三列，按严重程度排序。
5. 只读不改。除非用户明确要求，否则不修改被检查技能的任何文件。
6. 给用户的回复里不出现内部文件路径与脚本名。

内部文件索引