医药市场计划全案审计

解决什么问题

这个技能要解决的问题很具体：医药市场计划全案审计是一项受保护能力，工作流不是随包分发的静态文本，而是在鉴权通过后由云端返回的受保护指令。

因此，如何让 Agent 在不手动解析 JWT、不拼接 AppKey/AppSecret、不自行调用绑定接口的前提下，安全地拿到可用凭证并拉取云端指令，就是本技能需要解决的核心工程问题。

技能如何工作

技能按严格顺序执行，每一步都有明确的返回信号和处理策略：

• Python 环境检测：先静默探测 PYTHON_CMD 与版本，成功则直接执行后续脚本，失败才报告。
• 授权检查：统一通过 scripts/auth.py --ensure 判断当前凭证状态。
• 信号分流：AUTH_OK 表示通过；AUTH_REQUIRED、CREDENTIALS_MISSING 属于首次绑定流程，不应停止，而应主动发起 WorkBuddy 的 connect_cloud_service 获取 JWT。
• 绑定与复检：执行 scripts/auth.py --bind-jwt 写入缓存后，必须重新执行 --ensure，只有再次返回 AUTH_OK 才能进入下一步。
• 拉取受保护内容：通过 scripts/protected.py 获取云端指令，拿到后才能按返回内容继续执行。

适用边界与注意点

• 鉴权门禁与业务输出互斥：鉴权未通过时，不得产出任何业务结果。
• 重试上限为 1 次：凭证缺失、失效、远程校验失败、网络异常等触发重新绑定后仍失败，应停止重试并告知用户数据服务暂时不可用。
• 信号与错误必须区分：AUTH_REQUIRED + CREDENTIALS_MISSING 是可自动修复的正常首次绑定；只有绑定流程执行后仍返回 AUTH_INVALID + CREDENTIALS_INVALID 才属于真正失败。
• 错误报告要清晰：需要向用户原样转述 stdout 信号与 stderr 关键行，同时打码密钥类字段，不暴露 AppKey/AppSecret 明文，也不把网络错误简单归因于凭证问题。