技能市场发布器

发布前的工程问题

把一个 Skill 从本地仓库推到公开市场，表面看只是"上传文件"，实际要处理凭证获取、API 端点核实、密钥安全扫描、审核状态跟踪和渠道差异。手工操作容易漏掉安全检查（比如忘记扫描明文 token），或者误用不相关的 CLI 工具（例如 npm 上的 @workbuddy/cli 实为工单系统，不是发布器）。本技能把这套流程结构化，强制你在点"发布"前先过一遍自检清单。

核心工作流

发布前自检（强制）

技能要求你逐项确认：

• SKILL.md frontmatter 字段齐全（name、version、category、description、triggers、agent_created）
• 密钥扫描：全局匹配 api_key|secret|password|token|AKID|Bearer，确认只出现 ${ENV_VAR} 或 process.env 这类占位符，无明文凭证
• 依赖声明：若技能需第三方 API（如 ima OpenAPI、agent-mail），frontmatter 必须含 requires_api_key: true + api_key_hint
• 目录干净：只保留 SKILL.md、scripts/、references/、assets/，删除 .git、node_modules、大二进制
• 变更日志：在 SKILL.md 末尾记录版本变更

WorkBuddy/SkillHub 发布通道

通道 A（API 直发）：需用户提供 SkillHub 开发者后台生成的 Personal Access Token 和 API base URL（若无 base URL，先用 WebFetch https://skillhub.tencent.com 探测发布端点）。凭证仅存环境变量，调用 POST {base}/api/skills 带 Authorization: Bearer 头提交技能包。若返回"待审核"，告知用户约 1–3 工作日。

通道 B（桌面端 CLI）：需本机已安装 WorkBuddy 桌面应用。用 PowerShell 调用 & "\workbuddy.exe" skills scan 先过安全扫描，再 skills publish 按提示确认名称/版本/分类/是否需第三方 Key。成功后记录市场上架 URL。

⚠️ 已排除的误判：npm 包 @workbuddy/cli（实为工单/CRM CLI）、skillhub（仅 install/search/list，无 publish）均非发布工具，切勿误用。

ima 技能广场（严格边界）

ima OpenAPI 仅有 notes 和 knowledge-base 模块，无 Skill 发布接口。官方发布入口仅 ima 客户端 / ima.qq.com →「我的知识号」→「+ 发布」→ 选 Skill → 填写名称/场景/用法 → 勾选原创声明 → 提交（即发即用，无审核等待）。

方案 1（推荐）：技能把每个技能的"ima 广场填写信息"整理进发布手册，用户手动照填（5 分钟）。

方案 2（浏览器自动化）：用 agent-browser 模拟表单提交，但需用户提供 ima 网页端登录态（微信/OAuth 扫码，自动化难以无交互完成），且表单结构可能变动、有账号风险。必须经用户明确授权并承担风险才执行。

适用边界与质量红线

• 绝不编造 API 端点：未核实的端点先 WebFetch 探测或请用户确认
• 密钥安全：发布包与脚本中不得出现明文凭证，token 用完即清
• 原创声明不可代签：ima 广场勾选原创声明是法律身份动作，必须由用户本人操作或在明确授权下由浏览器自动化完成
• 金融类技能：涉及证券（如 A 股短线/东方财富）的发布需加"不构成投资建议"免责声明，并经用户确认合规责任