SkillHub 发布实战指南

要解决的问题

把本地技能发布到 skillhub.cn 时，常见失败往往不是单一命令错误：Windows 下 CLI 认证可能持续 401，flag 与 registry 行为不一致，发布包里又混入真实 API Key、本机路径或旧版本。这些内容一旦进入公开仓库，既影响安装，也会带来凭证泄露风险。这个技能把一次面向 Windows 与 WSL 的发布过程，整理成可执行的检查清单。

技能如何工作

它围绕 发布包与运行包分离 展开：发布包只保留 SKILL.md、模板化说明和占位符；运行包才保存真实密钥、真实路径和凭证读取逻辑。关键步骤包括：

• 使用 WSL 中的脚本版 CLI，避免原生 Windows CLI 在认证参数上的差异；
• 运行时从 credential-vault 读取 SkillHub Token，禁止把 Token 写进发布文件；
• 将 D:\ 等本机路径转换为 /mnt/d/... 后再提交；
• 发布前检查代码、SKILL.md 与 README.md 中无密钥片段、无默认凭证、无真实路径；
• 遇到版本冲突时升级 version 再发布，并通过页面或 registry 校验结果。

适用边界

它适合已有本地技能目录、Token 和基础 CLI 环境的工程流程，不负责替使用者编写业务逻辑。注意 Token 通常只显示一次，过期或误传后应重新创建；公开平台上的版本难以彻底撤回，因此“先清洗、再发布”比发布后补救更可靠。