技能介绍

要解决的问题

Agent 处理 DevOps 变更时，最常见的失败模式不是「不会写」，而是写完就直接应用：Terraform 配置没跑过 terraform fmt 和 terraform validate，Dockerfile 里有明显的 hadolint 能抓到的反模式，GitHub Actions 工作流语法有错却没人发现，直到 CI 真正跑起来才暴露。这类问题在人工 Code Review 里靠 reviewer 的经验兜底，而 Agent 的上下文里没有这套隐性检查清单，于是变更要么带着低级错误合入，要么靠即兴发挥临时补救。cc-devops-skills 要填的就是这个缺口。

工作机制

这套技能包的思路是把 DevOps 工作拆成生成器 + 校验器的循环：生成器负责产出基础设施代码、CI 配置或平台变更，校验器负责在落地之前跑一遍检查。

核心能力包括：

14 个校验器，覆盖 lint、安全检查和试运行（dry-run）验证三类
本地优先的验证流水线：大多数校验器直接从各自 scripts/ 目录运行 shell 或 Python 检查，不依赖远程服务，校验在本地就能完成
工具链覆盖主流栈：Terraform 与 Terragrunt、Kubernetes 与 Helm、Docker 与 hadolint、GitHub Actions 与 actionlint、Ansible 与 ansible-lint，以及 checkov、shellcheck、prometheus、yq、fluent-bit 等
纯透传模式：不想让校验器自动注入流程时，可按匹配规则只运行对应校验器，保留完全手动的控制方式

典型流程是：Agent 生成变更 → 匹配到相应校验器 → 校验器在本地跑检查 → 通过则继续，失败则把反馈交回生成器修正。整个循环在本地完成，不需要等远端 CI 排队。

适用边界与注意点

校验器的价值取决于环境里真的装了对应工具。资料列出的 Terraform、Kubernetes、linters、安全扫描器、GitHub Actions 都是前置要求，缺了某个工具，对应的校验器就形同虚设
校验器解决的是静态检查和试运行层面的问题，不能替代真正的集成测试或灰度发布
生成器 + 校验器是对 Agent 行为的约束框架，具体效果取决于 Agent 是否真的按循环执行，而不是跳过校验直接交付