技能介绍

要解决的问题

日历写入往往和特定厂商绑定：你要么接入某家的 SDK，要么适应它独有的字段命名和时间格式。一旦换后端，客户端逻辑就要重写。这个技能把日历同步收敛到一个解耦的入口：只要你能按一个规范的 REST 契约提供写入、更新、删除和查询能力，agent 侧的调用代码就不用改。它本身不持有账号，不要求密码，不发起 OAuth 流程，唯一的凭证是一个 JWT access token，由你自己的鉴权后端签发。

核心能力与工作方式

它本质上是一个纯 JavaScript（ESM、零运行时依赖、Node ≥ 18）模块，既可以作为 CLI 被任何 agent 调起，也可以作为库嵌入。默认走 canonical 契约：Authorization 头带 Bearer token，创建走 POST /calendars/{calendarId}/events，更新走 PATCH，删除是软删除，列表用于冲突检测。时间统一用 ISO 格式。如果你的后端字段不同，不用改代码，只改三个服务选项——wireFormat（如 date-hm）、responseIdField（如 _id）和 pathTemplate——就能适配。

它内置了一个已知服务配置表（如 uni-app-calendar）。当 token 的 iss 匹配时，自动选择正确的 baseUrl 和格式，agent 只需要 token。token 里带 sub、cid、scope、exp 等声明，技能会本地解析，签名由后端通过 Bearer 头自行校验。cid 是强制的：即使调用方传了别的 calendarId，scope 里的日历才是唯一可写目标，这堵住了 IDOR 风险。同时，没有 calendar:write scope 的 token 会被拒绝。

它还支持自然语言输入，能解析中文日期、时间范围、地点和提醒，适合语音或文本触发。可靠性方面，它实现了超时重试、遵循 429/503 的 Retry-After、幂等键、写入前冲突检测、离线队列、软删除恢复、审计日志和可选的 AES-256-GCM 字段加密。CLI 每次都输出一行 JSON，即使出错也结构化返回，不会静默失败。

适用边界与注意点

这个技能不是万能适配器。它要求你的后端至少实现它定义的那条 canonical REST 路径；如果你走完全不同的路线，就得靠那三个配置项来桥接，而不是魔法自动适配。Token 必须由你自己的鉴权系统签发，技能不负责发 token。它不做本地签名验证（除非你自己设置 secret），信任链完全依赖后端对 Bearer 头的校验。对于未知 issuer，你得自己保证 token 的可信度。另外，删除永远是软删除，不提供硬删除。如果你需要跨多个日历的复杂调度策略或冲突合并，这个技能只覆盖到单日历范围内。