技能介绍

要解决什么问题

在 SkillHub、npm 或仓库里装别人的 Agent Skill 之前，你通常只有一段 SKILL.md 和若干脚本，很难判断：它到底会触发什么、权限是否越界、有没有 curl | bash 或读 .env 再外发。问一句「安不安全」「值不值得装」时，更需要的是可执行的结论，而不是泛泛建议。

skill-vetter 面向「即将安装的第三方技能」做装前审查：先让你真正理解这个技能做什么、怎么用，再给出 INSTALL / REPLACE / DO-NOT-INSTALL 之一，并说明理由。

它如何工作

输出固定为两部分：

📇 技能画像卡 — 从目标包自身的 SKILL.md 与资源提炼「实际做什么」「如何使用」、安全结论，以及与生态里同类技能的对比；不凭空编造能力。
⚖️ 决策 — 一句主结论 + 可选评分表作佐证；决策才是交付物，分数只是支撑。

流程上 安全优先：调用 scripts/validate_skill.py 做机械扫描，P0/P1 或 exfil.P0（敏感路径读取 + 远程发送）会直接 DO-NOT-INSTALL 并短路评分，但仍会在画像卡里展示风险细节。通过后才会读技能正文建卡、用 npx skills find 等做生态对比（成熟替代存在则倾向 REPLACE），再按 references/decision_rubric.md 维度打分。最后可用 scripts/render_card.py 生成可分享的 HTML 报告卡（渲染器不重判，只展示你已得出的结论）。

适用边界

适用：安装/下载他人技能前；用户问「is this safe」「should I install」「这个 skill 是干嘛的」「vet this skill」等。
不适用：用户自己写的技能要改清单、要修规范 — 应使用 skill-linter，本技能会明确引导你去那边。
包为空、无 SKILL.md 或无法读取时不会崩溃，未知项会标清，信息不足以信任时默认偏向 DO-NOT-INSTALL。