偏差调查包生成与证据核对

解决什么问题

偏差调查包的产出有一个常被忽略的前置门槛：运行环境和访问凭证。自动化流程很容易在「环境没测、授权没过」的情况下直接开始拼装报告——要么脚本根本跑不起来，要么拿着过期凭证产出一份本无权访问的内容。这个技能把两个门槛强制前置，并且明确规定：鉴权未通过时禁止产出任何业务结果。

它如何工作

• Python 环境检测：执行任何脚本前先静默检测，成功则直接执行。PYTHON_CMD 有值且版本正常 → 直接运行；版本过低或为空 → 按模板报告。Windows 下 python 命令可能打开 Microsoft Store 而非执行解释器，建议使用 py -3 启动器。用户若提供了全路径，直接使用该路径。
• 授权门禁：所有授权逻辑由 scripts/auth.py 处理，包含本地凭证缓存、WorkBuddy 用户绑定、平台校验和错误信号输出；不要在提示词里手动解析 JWT、拼接 AppKey/AppSecret 或调用绑定接口。
• 信号分类是关键：AUTH_REQUIRED / CREDENTIALS_MISSING 属于首次绑定的正常信号，不是失败，收到后应主动调用 connect_cloud_service 获取 JWT 并继续绑定流程，而不是停下来打扰用户；AUTH_INVALID / CREDENTIALS_INVALID 则尝试用新 JWT 覆盖旧缓存。
• 放行条件：只有重新 --ensure 输出 AUTH_OK，且 scripts/protected.py 成功返回 protected instructions 后，才按返回内容继续执行；未拿到受保护指令必须停止，不得凭本地提示或历史上下文继续生成。

适用边界与注意点

• 鉴权门禁与业务输出是互斥关系：绑定后仍失败时才向用户报告，原样转述 stdout 信号与 stderr 关键行，密钥字段打码，区分网络错误与鉴权错误，并给出明确的操作清单，而不是含糊地说「稍后再试」。
• 授权相关重试最多 1 次，两次失败说明是服务端问题，应告知数据服务暂时不可用并停止重试。
• _meta.json 中的 slug 是平台技能编号（如 BT_1C915C60），不是展示名，不要混淆。
• 不要向用户展示或把 AppKey / AppSecret 明文拼接到业务命令、环境变量或回复中。