找技能 · 风险评估版

痛点：在海量技能中做选择的风险

当用户需要为任务（如“自动写周报”）寻找一个 skill 时，面临的首要问题不是找不到，而是无法评估。SkillHub 等平台上成千上万的工具，其权限范围（会访问什么数据）、隐私去向（数据发往何处）以及潜在安全风险（是否有恶意代码）通常不透明。直接安装一个未经验证的技能，可能引入后门、窃取数据或造成系统不稳定。

核心能力：搜索、评估与决策支持

本技能（@laoxi/zhaojineng）提供了一套完整的工作流，将技能发现与独立安全评估深度结合，其核心是内置的 cli 工具（基于 Python 3 标准库）。它并非一个简单的搜索引擎，而是一个带有风险过滤的决策辅助工具。

关键步骤与能力：

1. 智能意图解析：从用户自然语言中提取任务、领域标签（映射到 category）和多个关键词，进行同义扩展，提升搜索相关性。
2. 安全优先的聚合搜索：CLI 工具会并行查询 SkillHub 的公开 API 和装前查（zhuangqiancha.com）的评估数据，自动去重、交叉验证。最核心的是，它会按安全档位（🟢🟡🟠🔴⚪）进行排序和优先展示，将安全风险前置暴露。
3. 基于上下文的意图匹配：从 CLI 输出的初步列表中，结合 name 和用途描述进一步过滤和排序，挑选出最契合的 3-5 项。支持通过 --safe-only 仅推荐绿/黄档工具，或通过 --free-only 筛选无 API Key 要求的免费工具。
4. 透明的风险决策路径：推荐时强制展示安全档位和关键风险信号。对于 🟠（谨慎）/ 🔴（高风险）工具，会明确提示用户，在安装前必须通过 inspect 命令查看完整证据并获得二次确认。所有评估基于公开代码与声明。

适用边界与注意点

适用场景：

• 需要快速评估一批潜在 skill 的安全性的场景。
• 对安装第三方工具持谨慎态度，希望优先了解权限和隐私风险。
• 需要根据具体任务（如 office-efficiency）和安全偏好（如只要免费的、或只要安全的）进行筛选。

重要注意点：

• 依赖公开数据：搜索与评估完全依赖 SkillHub 公开接口和装前查的独立评估数据库，不涉及私有数据。
• 评估非担保：安全档位（尤其是🟢未见风险）是基于当前公开规则扫描的结论，不是人工审核或绝对安全的担保。术语如“未见风险”应理解为“当前未检测到已知风险信号”。
• 未收录工具（⚪）风险自担：对于装前查未收录的工具，CLI 会明确标注“暂无独立安全评估”，其安全性完全依赖用户自行判断。
• 输出纯文本：技能设计为交互式文本引导，不生成或依赖任何图片、卡片进行结果展示，确保信息直接清晰。
• 证据为本：对于高风险工具，必须展示来自装前查的具体证据依据（如可疑的代码模式或文档声明），无法提供证据时不做过度推测。