技能介绍

解决的具体问题

在临床数据分析场景中，患者的亚型树（如基于分子标志物或表型特征的分层结构）是后续精准治疗和科研分析的基础输入。但这类数据往往敏感，且依赖特定服务端能力。

把"取数"和"算树"混在一个脚本里，常见的麻烦有三类：一是执行环境不可预期，Windows 下 python 可能被 Microsoft Store 别名劫持；二是授权逻辑容易写进业务代码，JWT、AppKey/AppSecret 在多个脚本里手工拼接，维护成本高且易泄漏；三是授权失败时业务仍在继续跑，最后给到一份"看起来能用"但来源不合规的结果。

技能如何工作

该技能把前置条件拆成了两层：Python 运行时 和 服务端授权，两者都通过 SKILL.md 描述的固定流程完成。

Python 环境检测：在任何脚本执行前先静默探测可用解释器。PYTHON_CMD 有值且版本满足时直接执行；为空或版本过低时按模板报告。用户显式提供全路径时，直接采用该路径，不再重试探测。
强制授权检查：所有工作流开始前必须先调用 scripts/auth.py 做授权检查。AUTH_OK 才算放行；首次使用时出现 AUTH_REQUIRED / CREDENTIALS_MISSING 属于正常首次绑定流程，需主动通过 WorkBuddy 的 connect_cloud_service 获取 JWT，再调用 --bind-jwt 完成绑定，而不是停下报错。
凭证自动刷新：当 --ensure 返回 CREDENTIALS_INVALID 或 stderr 中出现 HTTP 401、签名类关键字时，说明本地缓存凭证已失效，会尝试用新 JWT 覆盖旧缓存，并重新检查。
受保护内容拉取：授权通过后，由 scripts/protected.py 拉取云端的 protected instructions，只有成功返回时才按其内容继续业务推理。

适用边界与注意点

鉴权门禁与业务输出互斥。绑定流程执行后 --ensure 仍未拿到 AUTH_OK，技能会立即停止，不再产出任何业务结果。不存在"先给一份结果再补一句鉴权有点问题"的路径。
自动修复只尝试一次。凭证缺失或过期时会尝试刷新一次；再次失败即视为服务端不可用，按模板告知用户，不再反复重试或降级。
密钥不进入业务命令与环境变量。AppKey / AppSecret 由 scripts/auth.py 统一处理，业务侧不手动拼接，错误信息中的密钥字段会打码。
Windows 下优先使用 py -3。避免 python 命令打开应用商店；如使用别名，可在系统设置中关闭 python.exe / python3.exe 的执行别名。
禁止绕过 protected.py。未拿到服务端返回的 protected instructions 时，不依赖本地提示或历史上下文继续生成，避免与云端定义产生偏离。