feat(skill): 本地 git 门禁 + 项目级安装 + 覆盖率与第三方扫描

- hooks/git/{pre-commit,pre-push} + scripts/install-git-hooks.sh（Gitea Actions 无 runner，本地兜底）
- install-skills.sh: --scope project --project-dir（装到项目 .agents/skills）
- scripts/scan-installed.sh: 扫第三方已装技能（33 个，0 高危）
- generate-catalog: has_evals/has_docs + coverage；validate --coverage + 路由一致性检查
- SCOPE 覆盖率路线图（3-4 周补齐 40 个技能的 evals 与四段式文档）
- MAINTENANCE/README/CHANGELOG 同步

MAINTENANCE.md

@@ -7,6 +7,8 @@
 
 1. 过 `SCOPE.md` 收录门槛（真实失败 + 组合不出来），新技能默认先 `beta`。
 2. 跑四道门禁：`validate-skills.py --strict`、`scan-skill.sh`、`generate-catalog.py --check`、`tests/install-skills.test.sh`。
+   - 本机已用 `./scripts/install-git-hooks.sh` 装好 pre-commit / pre-push，commit/push 时自动执行；Gitea Actions 暂无 runner，不能依赖 CI。
+   - 跳过单次：`SKILL_GATE_SKIP=1 git commit ...`，提交信息里写原因。
 3. 技能有增删改 → **同步回改** `docs/skill-routing.md` 与 `catalog.json`。
 4. 更新 `plugin.json` 版本号与 `CHANGELOG.md`。
 
@@ -28,13 +30,15 @@
 
 - 两台机器 `--audit` 漂移必须为 0（beta/deprecated 除外）。
 - 审 `catalog.json`：`description` 长度 <80 或 >600 的标黄；含「各种 / 等等 / 相关」这类泛化词的标出。
-- 第三方技能（arkcli 等）有变动时，评估是否影响团队技能。
+- 第三方技能（arkcli 等）有变动时，评估是否影响团队技能；跑一次 `./scripts/scan-installed.sh`。
+- 跑 `python3 scripts/validate-skills.py --coverage`：报告缺 evals / 缺四段式文档的技能，按 `SCOPE.md` 的覆盖率路线图推进。
 
 ## 每季度首月 1 日 10:30 — 治理复核
 
 - 人工过一遍 `docs/skill-routing.md`：删掉不再用的引用、补上新技能。
 - 清理 `deprecated`：满 3 个月且无回滚需求 → 删除插件目录。
 - 复核分桶与调用模式：还有没有命令型技能占着 `model-invoked`。
+- 复核覆盖率：`--coverage` 的两项缺口是否按路线图收敛。
 - 更新本文件与 `CHANGELOG.md`。
 
 ## 责任分工