区域品牌计划RBP-RPM 版

要解决的问题

区域品牌计划 RBP 的业务入口面向 RPM，但运行入口不在自然语言本身，而在一组受保护的云端指令和本地 Python 脚本。直接让模型凭记忆回答会面临三类问题：Python 命令可能指向 Microsoft Store 别名、凭证状态不明、受保护内容是否真的拿到无从确认。

技能如何工作

这个技能把运行前置条件拆成可验证的步骤。

• 先静默检测 Python：优先得到 PYTHON_CMD；若版本可用，就直接执行后续脚本。版本低或找不到时，再按模板报告。
• 授权状态统一交给 scripts/auth.py 判断，避免手写 JWT 解析、AppKey/AppSecret 拼接或绑定接口调用。
• 首次本地无凭证时，出现 AUTH_REQUIRED / CREDENTIALS_MISSING 不应中断；应主动调用 connect_cloud_service 获取登录 JWT，再执行绑定，最后重新 --ensure。
• 凭证过期或远程校验失败时，用新 JWT 覆盖旧缓存并再次验证。
• 只有重新检查输出 AUTH_OK 后，才执行 scripts/protected.py 拉取云端 protected instructions；拿到内容后才按返回指令继续工作流。

适用边界与注意点

授权门禁与业务输出互斥。绑定流程已执行、但再次 --ensure 或 protected.py 仍失败时，必须停止业务推理，向用户报告实际 stdout 信号和 stderr 关键行，并按步骤给出处理清单。

对凭证过期、HTTP 401/403、签名错误、服务端鉴权拒绝等问题，自动重绑最多 1 次；再次失败即视为服务暂不可用，不得继续产出结果，也不要静默重试或降级绕过。Windows 下建议优先用 py -3，或关闭 python.exe / python3.exe 的执行别名。