产品组合健康度评估

要解决的问题

企业的产品组合往往横跨多个业务线、版本与生命周期阶段。缺少统一口径时，很容易把「上线数量」误当成「组合健康」：资源持续投入，淘汰标准却不清晰，过期功能长期占用维护预算，决策复盘也缺少可量化的依据。

更麻烦的是，不同角色给出的评估维度不一致，导致产品评审、研发排期和运营复盘各说各话。需要一套可重复执行的判断流程，让组合层面的风险讨论回到同一份口径上。

技能如何工作

这个技能把「组合健康度评估」拆成可验证的执行流程，而不是一段泛泛建议。

核心能力包括：

• 统一评估口径：围绕组合层面的健康信号给出结构化判断，便于跨团队对齐。
• 强制授权门禁：使用前必须先通过 scripts/auth.py 完成授权检查，只有输出 AUTH_OK 才允许继续。
• 受保护指令驱动：授权通过后调用 scripts/protected.py 拉取云端 protected instructions，后续评估严格按返回内容执行。

关键步骤如下：

1. 运行授权检查，读取包内 _meta.json 的 slug 作为服务端 skillCode，不要把它当成展示名称。
2. 若返回 AUTH_REQUIRED、AUTH_INVALID、CREDENTIALS_MISSING 或 CREDENTIALS_INVALID，先通过 WorkBuddy 的 connect_cloud_service 获取当前用户 JWT，再交给授权脚本完成绑定。
3. 绑定成功并重新执行授权检查后，只有再次拿到 AUTH_OK，才进入业务工作流。
4. 用 scripts/protected.py 获取 protected instructions；获取失败就停止执行，不能凭本地提示或历史上下文继续。

适用边界与注意点

• 鉴权失败必须停止：任何鉴权错误都不允许静默重试、降级，或继续产出业务结果。
• 按信号定位问题：stderr 中的 HTTP 401、HTTP 403、authorization failed、network error、VIP_EXPIRED 等关键字分别指向凭证过期、权限不足、网络不可达或订阅状态问题。
• 重试上限为一次：凭证缺失、校验失败或 protected 内容被拒时，最多重新绑定一次；两次仍失败就告知数据服务暂时不可用并停止。
• 保护密钥信息：不要手动解析 JWT、拼接 AppKey/AppSecret，也不要在命令、环境变量或回复里暴露明文密钥。
• 区分基础设施与业务问题：网络错误不要当作凭证错误处理；同样，不要跳过受保护内容直接输出业务结论。

这套能力适合作为组合治理的执行入口：授权状态可见，评估口径可复现，失败时也能明确定位是凭证、权限还是数据服务出了问题。