技能介绍

要解决什么问题

Agent 执行脚本类任务时，最常见的两类中断都发生在业务逻辑之外：一是 Python 环境不确定——有的机器装了 Python 但命令不在 PATH，有的版本过低，Windows 上 python 甚至可能打开 Microsoft Store 而不是解释器；二是受保护技能的授权门禁被误判——首次使用时 AUTH_REQUIRED 只是正常的绑定流程，却被当成失败直接报错停下，或者更糟：鉴权失败后仍按业务流程产出结果。

这个技能把这两件事收敛成一套可重复的执行纪律。

核心流程

1. 环境检测优先：任何 Python 脚本执行前，先静默探测 PYTHON_CMD，成功就直接执行，失败才报告。用户显式给出全路径时直接采用，不做二次猜测。

2. 授权检查是门禁：每次使用前执行 scripts/auth.py --ensure。本地凭证缓存、WorkBuddy 用户绑定、平台授权校验全部由脚本处理，不要在提示词里手搓 JWT 或拼接 AppKey/AppSecret。

3. 区分可修复与真失败：

AUTH_REQUIRED / CREDENTIALS_MISSING：首次使用无缓存，不是失败，自动继续走绑定流程，不要打扰用户；
AUTH_INVALID / CREDENTIALS_INVALID：凭证过期，用新 JWT 覆盖旧缓存；
绑定后再次 --ensure 仍非 AUTH_OK：才是真失败，必须停下并报告。

4. 绑定流程：主动调用 WorkBuddy 的 connect_cloud_service 获取 JWT（不要等自动触发），执行 --bind-jwt 绑定，再重新 --ensure 确认。

5. 拉取受保护指令：只有 scripts/protected.py 成功返回 protected instructions 后才执行业务流程，未拿到就停止，不得凭本地提示词或历史上下文继续生成。

边界与注意点

鉴权与业务互斥：门禁未过，禁止产出任何业务结果，不能「先跑业务再补一句鉴权有问题」；
报告要带证据：失败时原样转述 stdout 信号和 stderr 关键行，密钥字段打码（如 app_key=abc****），区分网络错误与权限不足；
重试上限 1 次：凭证类错误重走一次绑定，两次失败即告知数据服务不可用并停止，不再尝试业务推理；
skillCode 取自 _meta.json 的 slug（如 BT_BE927FC1），不是技能展示名称。