技能市场发布器
把本地验证过的 Skill 发布到两个公开市场。本技能封装流程与边界，实际"点发布/提交审核"是否需要本人操作，取决于市场是否开放 API（见各节边界）。
发布前自检清单（必做，发布前逐项过）
- SKILL.md frontmatter 完整：
name/version/category/description/triggers/agent_created齐全；display_name中文可读。 - 无硬编码密钥：全局扫描
.md/.sh/.cjs/.json/.py，匹配api_key|secret|password|token|AKID|Bearer，确认只出现${ENV_VAR}/process.env/ "在 xxx 后台获取" 这类占位或说明，无任何明文凭证。 - 依赖声明清晰：若技能需第三方 API Key（如 ima-auto-archive 需 ima OpenAPI、tencent-mcp-config-guide 需 ima/agent-mail 凭证），frontmatter 必须含
requires_api_key: true+api_key_hint写明获取方式。 - 目录干净：技能文件夹只含 SKILL.md + scripts/ + references/ + assets/，无
.git/node_modules/ 大二进制。 - 变更日志：在 SKILL.md 末尾维护版本变更记录。
一、WorkBuddy 技能市场（可自动化，需凭证）
真实可用的发布通道（已探查核实，2026-08-02）
- 通道 A — SkillHub 网页/API（腾讯官方市场，skillhub.tencent.com）：开发者后台可生成 Personal Access Token；若有发布 REST API + token，可用脚本直发（base URL 与端点需用户提供或首次
WebFetch https://skillhub.tencent.com探测）。 - 通道 B — 桌面端内置 CLI：WorkBuddy 桌面应用内置
workbuddy skills publish <dir>（配套workbuddy skills scan安全扫描、workbuddy skills add/list）。前提：本机已安装 WorkBuddy 桌面端（当前环境未安装，仅有C:\QMDownload\SoftMgr\WorkBuddy-win32-x64-user-5.2.6...exe下载缓存包，安装需用户同意）。 - ⚠️ 已排除的误判：npm 包
@workbuddy/cli（@1.0.3，实为工单/CRM CLI）、skillhub（@0.4.1，仅有 install/search/list，无 publish/login）均不是发布工具，切勿误用。
执行步骤（通道 A，凭证就绪后）
- 请用户提供 SkillHub 开发者 API token 与 API base URL（若无 base URL，先用
WebFetch https://skillhub.tencent.com找发布 API 文档）。 - 凭证仅存本机环境变量 / 临时文件，绝不写入技能文件或聊天日志以外的位置。
- 调用发布 API（典型：POST
{base}/api/skills带Authorization: Bearer <token>+ 技能包 zip 或元数据 JSON）。 - 解析返回，确认上架状态；若返回"待审核"，告知用户审核约 1–3 工作日。
执行步骤（通道 B，桌面端就绪后）
- 用 PowerShell 调用桌面端 CLI：
& "<桌面端安装目录>\workbuddy.exe" skills scan <dir>先过安全扫描。 skills publish <dir>提交；按提示确认名称/版本/分类/是否需第三方 Key。- 成功后记录市场上架 URL。
二、ima 技能广场（边界严格）
真实边界（已核实）
- ima OpenAPI（
ima.qq.com/openapi/...）仅有 notes 与 knowledge-base 模块，无任何 Skill 发布接口。即使提供 ima 的 Client ID / API Key，也只能操作知识库/笔记，无法发布 Skill 到广场。 - 官方发布入口仅：ima 客户端 / ima.qq.com → 「我的知识号」→「+ 发布」→ 选 Skill → 填名称/场景/用法 → 勾选原创声明 → 提交（无审核等待，即发即用）。
可执行方案
- 方案 1（推荐，用户手动，5 分钟）：本技能负责把每个技能的"ima 广场填写信息"（名称/场景/使用方法/原创声明提示）整理进发布手册，用户照填即可。
- 方案 2（浏览器自动化，需授权）：用
agent-browser技能模拟「我的知识号→+发布→Skill」表单填写与提交。前置：用户需提供 ima 网页端登录态（通常微信/OAuth 扫码，自动化难以无交互完成）；且表单结构可能变动，脆弱、有账号风险。必须经用户明确授权并承担风险才执行。
三、所需凭证清单（向用户索取）
| 市场 | 凭证 | 用途 | 获取位置 |
|---|---|---|---|
| WorkBuddy/SkillHub | Personal Access Token + API base URL | 脚本直发技能 | SkillHub 开发者后台「设置 → API Keys」 |
| WorkBuddy 桌面端 | （安装桌面端 + 登录态） | CLI 发布 | 桌面端安装包 / WorkBuddy 账号 |
| ima 广场 | 无 API（仅登录态） | 手动或浏览器自动化 | ima.qq.com 我的知识号 |
四、质量红线
- 绝不编造 API 端点：未核实的端点先
WebFetch探测或请用户确认，不臆测。 - 密钥安全：发布包与脚本中不得出现任何明文凭证；token 用完即清。
- 原创声明不可代签：ima 广场勾选原创声明是法律身份动作，必须由用户本人操作或在用户明确授权下由浏览器自动化完成。
- 金融类技能：涉及证券（A股短线/东方财富）的发布需加"不构成投资建议"免责声明，并经用户确认合规责任。
五、完成前检查
- [ ] 发布前自检清单全过
- [ ] 目标市场与通道明确（A/B 或 ima 方案 1/2）
- [ ] 所需凭证已就位（或已明确告知用户需提供什么）
- [ ] 发布手册/填写信息已生成归档（IMA「06 技能与工具」）
- [ ] 未上架的部分已说明原因与待办，未把"待用户操作"误报为"已完成"
