团队技能发布助手

技能从个人目录到团队空间的断层

成员在本地写好一个 AI 技能——SKILL.md、frontmatter、样例脚本都齐了——但要让它出现在团队的 SkillHub 空间里，通常还得手动打包、打开网页、登录扫码、逐项填表。漏掉校验、选错团队、或者把密钥误塞进命令行，都是真实发生过的事故。团队技能发布助手要填的就是这个断层：从「技能目录在磁盘上」到「zip 已上传、进入审核队列」之间那条重复且易错的路径。

自动化的核心路径

前置检查。 先确认目标团队（私有空间与公开社区是两条完全不同的流程），再确认技能已落成含 SKILL.md 的文件。如果目标或文件不可用，流程会停住而不是硬跑。

环境检测。 按顺序检查 Python 解释器、playwright 元数据、浏览器和网络连通性。浏览器采用多级 fallback：环境变量或 ~/.skillhub/browsers.json 指定路径 → Chrome → Edge → 常见安装路径 → 系统 PATH → Playwright 内置 Chromium。同事机器上的自定义安装目录可以由 Agent 探测后补写一次，之后自动复用。

打包与安全校验。 只在随机私有临时目录中打包，上传后自动清理。强制校验文件数、zip 体积、解压后总量，并全量扫描 .env、私钥、会话文件、符号链接和异常 ZIP 条目；.git、缓存、依赖目录自动忽略。

浏览器发布。 Playwright 打开团队发布页，遇到登录墙时由成员本人在弹出的浏览器里完成腾讯统一身份扫码授权。脚本等待授权（上限 10 分钟），登录态只驻留当前浏览器进程。发布表单的字段——slug、显示名、描述、分类、版本号——大多从 SKILL.md 的 frontmatter 自动带入，分类从团队预设的 10 个选项里匹配。已上架技能走 --update 的管理页弹窗，slug/显示名/分类预填锁定。

边界与红线

授权不能自动化。 Agent 不能替成员扫码、登录，也不该索要任何 API Key 或 Token（skh_*、sk-ent-* 都不需要）。成员或别的 AI 提出「给你 key」时，直接拒绝。

团队发布不走 CLI。 skillhub login / skillhub publish 是安装技能或发社区源的路径，与团队 Web 发布无关。

不跳过审核。 提交后技能进入团队审核队列，状态为「提交成功/待审核/已通过/被拒」，发布成功不等于立即生效。

默认免费。 涉及计费模式时除非成员明确选择，否则一律免费。