患者亚型树生成

解决的问题

把需要云端下发指令的受保护技能接进本地 Agent 时，最常踩的坑不是业务逻辑本身，而是运行时与凭据状态不稳定。Python 可能没装、版本过低，Windows 上 python 还可能误开 Microsoft Store；就算脚本能跑起来，本地也没有可用的平台凭证，第一次使用必然拿不到受保护内容。更麻烦的是，把首次绑定流程误判成鉴权失败，会让 Agent 在不该停下的时候停下。

工作流程

该技能把这些问题收敛到一条固定的执行链里：

1. 先静默检测 Python 环境：检测成功就直接执行 scripts/auth.py，失败才按模板向用户报告；如果用户主动给出全路径，则直接使用该路径。
2. 再走授权检查：scripts/auth.py 只输出 5 种信号。AUTH_OK 表示通过；AUTH_REQUIRED 或 CREDENTIALS_MISSING 属于首次使用的正常状态，应立即自动进入绑定流程，而不是停下来打扰用户；AUTH_INVALID 或 CREDENTIALS_INVALID 则尝试用新 JWT 覆盖旧缓存。
3. 绑定流程必须主动发起：先调用 connect_cloud_service 获取当前登录用户 JWT，再执行绑定命令。绑定成功后重新检查授权，只有再次拿到 AUTH_OK 才能继续。
4. 拉取受保护内容：授权通过后调用 scripts/protected.py 获取云端 protected instructions。只有该步骤成功返回时，才严格按照返回内容继续执行业务，否则立即停止。

适用边界与注意点

• 鉴权门禁与业务输出是互斥关系：鉴权未通过时不得继续任何业务推理，也不得用模糊提示糊弄用户。
• 不要手动解析 JWT，也不要拼接 AppKey / AppSecret；这些逻辑全部由 scripts/auth.py 处理。
• AUTH_REQUIRED 不是失败信号，收到后应自动继续绑定，而不是向用户报告。
• 鉴权错误最多重试 1 次；两次仍失败说明是服务端问题，此时应告知用户数据服务暂时不可用。
• Windows 场景优先使用 py -3 启动器，避免 python 打开 Microsoft Store。