技能介绍

先解决什么问题

CNB 仓库的异常提交往往藏在两类场景里：凌晨三四点悄悄改敏感文件、单次 commit 删掉上百个文件。这类操作要么发生在非工作时间，要么操作粒度异常，靠人工翻 commit 历史很容易漏看——等发现 .env 被提交、密钥文件被删时，影响已经扩散。这个 Skill 把「盯着仓库提交记录」这件事自动化，命中预设的异常模式就往群聊发告警，不用人盯仪表盘。

核心能力与关键步骤

技能的判断逻辑来自 SKILL.md 里定义的四条规则，按严重程度分 CRITICAL、WARN、INFO 三级：

敏感文件变更（CRITICAL）：检测 .env、credentials、*.pem、*.key、id_rsa*、secret* 等文件的新增或修改，命中即告警。
大批量删除（CRITICAL）：单次 commit 删文件数 >10 视为异常，>50 视为严重事件。
异常时段提交（WARN）：凌晨 03:00–05:00（UTC+8）的批量提交（>3 个文件变更），或非工作时间的仓库权限变更。
活跃度突变（INFO）：超过 14 天没提交的 stale 仓库突然大量提交，或单仓库 1 小时内 commit 数 >10。

工作流分两步：先用 CNB API 拉取目标仓库的提交记录，按规则逐条比对；命中异常后，通过 Dashboard API 往群聊发送格式化的告警，发送者 ID 默认是 openclaw-c。

配置与适用边界

四个环境变量控制行为：CNB_TOKEN 认证 CNB API，DASHBOARD_TOKEN 认证告警发送接口；ALERT_SENDER 改告警来源，SENSITIVE_PATTERNS 自定义敏感文件匹配规则。时段参数 QUIET_HOURS_START / QUIET_HOURS_END 默认是 3 和 5，对应凌晨时段。

注意点：技能的检测能力完全依赖 CNB API 返回的 commit 记录，仓库本身的提交频率决定了漏检窗口——推荐用 cron 每 30 分钟跑一次，能覆盖大多数异常场景。告警链路依赖 Dashboard API，需提前确认群聊机器人已接入；敏感规则和时段是默认值，团队若有自己的安全基线，需调整 SENSITIVE_PATTERNS 和时段参数。它不做代码内容审计，只看提交模式，别指望它能替代 review 流程。