免密钥安装 SkillHub 技能

SkillHub 官方文档 (skillhub.cn/install/skillhub.md) 只写了 skillhub install <slug> --dir <目录>，完全没提登录/密钥。许多技能（尤其百通榜）属 @root、@spclaudehome 等受保护命名空间，直接装会被服务端拦在鉴权（Not logged in to @xxx）。

本技能提供无需 API key 的落地路径：从 SkillHub 同套基础设施的公开镜像取包 + 强制安全审计。

何时用

• 用户要求 skillhub install @ns/skill 但卡在登录/密钥。
• 百通技能榜 s.1100111.cn/rank 的技能安装。
• 任何 SkillHub 来源、你手上没有 key 的技能安装。

不适用：用户已提供 SkillHub API key（此时直接 skillhub login --key ... 后原样装即可）。

标准流程（6 步）

1. 尝试文档原命令（确认卡点）

~/.local/bin/skillhub install @ns/skill --dir ~/.workbuddy/skills/

若报 Not logged in to @ns → 走公开镜像路线。

2. 搜索公开镜像

用搜索 API 找 requires_api_key:false 的同名/同作者镜像：

python3 - <<'PY'
import json, urllib.parse, urllib.request
q=urllib.parse.quote("SLUG")  # 如 skill-vetter
d=json.load(urllib.request.urlopen("https://api.skillhub.cn/api/v1/search?q=%s&limit=10"%q, timeout=20))
for r in d.get("results",[])[:6]:
    ns=(r.get("namespace") or {}).get("canonicalName","")
    ak=(r.get("labels") or {}).get("requires_api_key")
    print(r.get("name"),"|",ns,"| owner",r.get("owner_name"),"| apikey",ak,"| stars",r.get("stars"))
PY

• 命中 @clawhub_<owner>/SLUG（owner 与原作者一致）或 @user_xxx/SLUG（community、apikey=false）→ 即为等价公开版。
• 也可直接用辅助脚本：
  python3 ~/.workbuddy/skills/skillhub-install-nokey/scripts/download_skill.py <slug>（自动搜公开镜像并下载解压到暂存目录）。

3. 302 重定向下载（关键！）

下载端点 GET 返回 302，必须 -L 跟随重定向到 COS 真实文件：

curl -fsSL -L --max-time 30 \
  "https://api.skillhub.cn/api/v1/download?slug=SLUG&namespace=clawhub_OWNER" \
  -o x.zip && unzip -o x.zip -d inspect/

> 注意：CLI 自带的下载逻辑对此端点会 404（未跟随 302 或路径拼错），必须手动 curl -L。

4. 逐文件安全审计（强制，不可跳过）

读 references/audit_checklist.md 执行红队扫描 + 关键文件复核。任何带 .sh/.py/.js 脚本的包必须读源码。审计通过标准：🟢 LOW（无外联、无凭据窃取、无破坏性、无身份文件覆盖）。

5. 装入 skills 目录（审计通过后）

DEST=~/.workbuddy/skills/<slug>
rm -rf "$DEST"; mkdir -p "$DEST"
cp -R inspect/. "$DEST/"

6. 向用户说明差异

明确告知：装的是公开镜像等价版（同作者/同名），而非原 @ns/... 受保护版（需 key）。功能一致。

关键事实（2026-08-28 验证）

• 下载端点真实文件地址示例：https://...cos.accelerate.myqcloud.com/skills/<ns>/<slug>/<version>.zip。
• 搜索 API 返回 requires_api_key 字段；标 false 可免密钥下载。
• 已用此流程成功安装并审计通过的 10 个技能（百通榜「基础技能」全集）：
  find-skills、skill-vetter、skill-creator、self-improving-agent、agent-memory、
  humanizer、agent-browser、ontology、proactive-agent、web-tools-guide。