技能介绍

解决什么问题

团队开发 Agent Skills 时，常遇到三个痛点：技能包分散在个人电脑或内网仓库，同事无法快速获取最新版本；直接发布未脱敏的代码，可能导致 API Key 或真实业务数据泄露；以及本地代码与线上平台版本不一致，排查问题困难。这个技能作为本地 CLI 控制中心，打通 SkillHub 的搜索、安装和发布接口，并强制在发布前执行敏感信息扫描。

核心能力与工作流

该技能封装了 search、install、upgrade、list 等命令，支持按关键词搜索团队源，并通过 publish 和 verify 闭环管理发布流程。

安装与升级工作流

当需要同步团队技能时，技能会先在 SkillHub 搜索匹配项，询问用户安装到项目级还是用户级目录，执行下载并最后调用 verify 校验本地与平台签名一致性。

安全发布工作流

发布是重头戏。技能强制执行脱敏扫描铁律，扫描范围包括 API Key、密码、真实人名、省公司域名等 13 类敏感数据。扫描失败会列出所有命中位置并阻断发布。通过后自动打包，执行 dry-run 预检，确认无误后调用 publish 命令发布到 community 公开源。

适用边界与注意点

使用前必须理清两套核心概念：两套 CLI 和 两个源。

始终用 Python 版 CLI：Python 版（skills_store_cli.py）对应团队源和发布场景；Node 版仅用于公开源 OAuth 登录。
发布限制：publish 命令的 HTTP 端点只指向 /api/v1/community/skills/publish，明确只能发到 community 公开源。团队源发布 API 返回 405，且企业 Key 访问 admin 接口返回 403。团队源发布必须走网页后台。
版本冲突处理：同 slug 不能重复发同版本号。发布冲突时需通过 --version 参数提升版本号（patch / minor / major）。
API Key 安全：key 仅存于本地 credentials.json，严禁写入 skill 包。泄露后攻击者可发布恶意技能，需立即联系管理员轮换。