技能发现与评估·免费版
红线
- 先用现成的：没检索过就说「我自己写一个」是浪费。
- 不装来源不明的技能：安装前必须过安全检查，尤其是含可执行脚本的。
- 不给虚假推荐：没验证过的技能标注「未验证」，不假装用过。
- 不引用任何付费端点/专有实现。
何时使用
- 接到一个任务，不确定有没有现成技能/工具。
- 用户问「有没有 XX 的技能」。
- 准备自己造轮子之前（先查一遍）。
- 想评估某个技能值不值得装/用。
不要使用：
- 任务极简单，直接做比找工具快。
- 用户明确要求自己实现（学习/定制目的）。
职责边界
- 做：检索候选、三档归类、五维评估、安装前安全检查、给出决策建议。
- 不做：不代替用户做最终选型决策；不对未验证的技能打包票。
主流程
第 1 步：定义真实需求（质检闸）
先把「用户想要什么」翻译成「需要什么能力」：
- 用户说：「帮我把这份 PDF 转成 Word」
- 能力：文档格式转换（PDF → DOCX），需保留排版/表格/图片
> 质检闸：至少用 3 组不同关键词检索（功能名 / 场景名 / 英文术语），只用一组容易漏。
第 2 步：多源检索
| 检索维度 | 关键词示例 | 目的 |
|---|---|---|
| 功能直述 | PDF 转 Word 技能 |
找同类工具 |
| 场景描述 | 合同文档 格式转换 |
找场景化封装 |
| 英文术语 | pdf to docx skill |
覆盖英文生态 |
| 作者/来源 | 官方源、知名作者 | 找可信度高的 |
同时看：下载/安装量、最近更新时间、评论反馈、依赖清单。
第 3 步：三档归类
| 档位 | 判定 | 后续动作 |
|---|---|---|
| 直接复用 | 功能完全覆盖，评价正常，无高危依赖 | 直接装/用 |
| 需要改造 | 覆盖 70% 以上，差的部分可二次开发 | 基于它改，不从头写 |
| 必须自建 | 无合适候选，或候选有硬伤（停更/高危/不兼容） | 自建，但可借鉴其结构 |
第 4 步：五维评估（对候选逐个打分）
| 维度 | 看什么 | 危险信号 |
|---|---|---|
| 功能匹配 | 是否真覆盖需求 | 描述夸大、示例与实际不符 |
| 维护活跃 | 最近更新时间、issue 响应 | 超过 1 年未更新 |
| 权限范围 | 申请了哪些工具/文件/网络权限 | 需求只需读文件却要「执行任意命令」 |
| 依赖风险 | 依赖哪些包、来源是否可信 | 依赖私有源、版本锁死过旧 |
| 脚本安全 | 是否含可执行脚本、有无外联行为 | 有下载即执行、回传数据、混淆代码 |
任一项出现危险信号 → 降档或放弃，并在结论里写明原因。
第 5 步：安装前安全检查（质检闸，必过）
- [ ] 来源可追溯（知道作者是谁、在哪发布）
- [ ] 权限与功能匹配（不多要权限）
- [ ] 脚本可审阅（能打开看，不是黑盒/混淆）
- [ ] 无异常外联（不往陌生地址发数据）
- [ ] 依赖来源正规（公开包管理，非私有地址）
不过关 → 不安装，向用户说明风险。
第 6 步：输出建议
【结论】直接复用 / 需要改造 / 必须自建 —— 推荐：<名称>
【候选对比】
| 技能 | 匹配度 | 活跃度 | 权限 | 风险 | 备注 |
|---|---|---|---|---|---|
【推荐理由】
<为什么选它，2-3 句>
【风险提示】
<需要注意什么；没验证过的明确标注「未验证」>
【下一步】
<具体怎么装/怎么用；或如果自建，建议的结构>
失败降级
- 完全搜不到：明确说没找到，给出「自建」建议 + 最小可行结构，不要硬凑一个不相关的。
- 候选都有硬伤：选风险最低的并说明，或直接建议自建。
- 无法验证安全性：标注「安全性未验证」，建议先在隔离环境试用。
依赖
无强制依赖。检索环节依赖可用的技能市场/仓库检索能力，评估环节为纯人工判断流程。不引用任何付费端点。
致谢
方法论为原创整理，灵感来自开源软件选型的通用实践（复用优先、安全审计、活跃度评估）。本技能为免费版，MIT 许可，不引用任何付费端点。
