chore(skill): 安全扫描警告清零 + 加入 skill-gate CI

- scan-skill.sh: loopback 不算风险、命中走允许清单
- 11 个文件的 /Users/<机器名> 绝对路径去环境化（脚本 $HOME、文档 ~）
- 允许清单登记运维环境地址与示例占位符（非凭据），附理由
- scan: 57 warns -> 0 warns / 0 high
- 新增 .gitea/workflows/skill-gate.yml（validate --strict + scan + catalog --check + 测试）

skills-dev/agent-swarm-plugin/skills/SKILL.md

@@ -158,7 +158,7 @@ Agent 之间的控制权转移机制：
 
 ```bash
 /swarm start "优化数据库查询性能" \
-  --context project=/Users/coolbuy-dev/coding/new-ai-proj \
+  --context project=~/coding/new-ai-proj \
   --context stack=Go,PostgreSQL,Redis \
   --context module=backend/services
 ```
@@ -223,7 +223,7 @@ agents:
     max_turns: 5
 
 context_variables:
-  project_root: /Users/coolbuy-dev/coding/new-ai-proj
+  project_root: ~/coding/new-ai-proj
   backend_lang: Go 1.21
   frontend_framework: Vue 3
   database: PostgreSQL 15
@@ -288,7 +288,7 @@ handoff_rules:
 
 ```bash
 # OpenClaw 调用 Melbourne Claude Code
-ssh melbourne "cd /Users/coolbuy-dev/coding/new-ai-proj && \
+ssh melbourne "cd ~/coding/new-ai-proj && \
   /opt/homebrew/bin/claude --dangerously-skip-permissions \
   -p '/swarm start 实现任务批量删除功能'"
 ```

skills-dev/dev-coding-plugin/skills/SKILL.md

@@ -629,8 +629,8 @@ fi
 ### 正确做法（两行 export，别多一步）
 
 ```bash
-export HOME="/Users/johnq"                                              # 必须补：git 等直接读 $HOME
-export PATH="/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin:$PATH"  # node/npm/pnpm
+export HOME="~"                                              # 必须补：git 等直接读 $HOME
+export PATH="~/.local/node-v22.22.3-darwin-arm64/bin:$PATH"  # node/npm/pnpm
 cd <项目> && npm install && npm run build
 ```
 
@@ -643,11 +643,11 @@ cd <项目> && npm install && npm run build
   → **「node 能跑」≠ 环境完整**，别据此跳过 `HOME`。
 
 - **本机 node 必须用这一支**（定义在 `~/.zprofile`，对齐项目 `engines.node`）：
-  `/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin/node` = v22.22.3，npm 10.9.8。
+  `~/.local/node-v22.22.3-darwin-arm64/bin/node` = v22.22.3，npm 10.9.8。
 - `/opt/homebrew/bin/node` 是**另一支 v26**，不要混用；`/usr/local/bin/node` 不存在。
 - 备选①：`/bin/zsh -lic '<命令>'`（登录 zsh 会读 `~/.zprofile`）。
-- 备选②：绝对路径直调 `/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin/node build.mjs`。
-- 路径变了先 `ls -d /Users/johnq/.local/node-v*-darwin-arm64/bin` 重新取**真实版本号**，不要猜。
+- 备选②：绝对路径直调 `~/.local/node-v22.22.3-darwin-arm64/bin/node build.mjs`。
+- 路径变了先 `ls -d ~/.local/node-v*-darwin-arm64/bin` 重新取**真实版本号**，不要猜。
 
 ### 交付纪律（配合「Step 0：验证优先」）
 
@@ -657,6 +657,6 @@ cd <项目> && npm install && npm run build
 - 校验环境的最快方式（输出直接贴进交付）：
 
 ```bash
-export HOME="/Users/johnq"; export PATH="/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin:$PATH"
+export HOME="~"; export PATH="~/.local/node-v22.22.3-darwin-arm64/bin:$PATH"
 node -v && npm -v && git status --short | head -3
 ```

skills-dev/slark-cicd-plugin/skills/SKILL.md

@@ -8,7 +8,7 @@ description: Slark 仓库 staging、生产和 Desktop 安装包的端到端 CI/C
 驱动 Slark 从改代码到上线的端到端流程。权威流程与完整细节见仓库文档
 `docs/cicd-staging-production.md`（本技能命令与之一致）；本文件是可直接照做的分阶段清单。
 
-仓库：`qiudl/qiu-slark`（本机克隆通常在 `/Users/donglinlai/coding/slark`）。所有命令在**仓库根**执行。
+仓库：`qiudl/qiu-slark`（本机克隆通常在 `~/coding/slark`）。所有命令在**仓库根**执行。
 `ai-proj` 相关命令加 `GODEBUG=netdns=go` 前缀。
 
 ## 铁律（先记死）
@@ -192,9 +192,9 @@ REQ-20260819-0005 / Desktop 0.3.1：
 - m5max 原生构建、Developer ID 签名并公证/staple macOS DMG/ZIP；交叉构建 Windows x64 NSIS EXE。
 - Darwin 不能执行 Windows 原生 `smoke:windows`。只有发布负责人明确接手 Windows 原生验收时才能继续交叉打包，交付证据必须标注该边界。
 - 资产不回传开发机；由 m5max 直接上传 `xiaoqu-public-file/slark/desktop/releases/v<version>/`，manifest 最后更新。
-- `xiaoqu-public-file` 的 canonical 凭证源是发布控制机上的 `/Users/donglinlai/coding/param.rxt`（必须为 `0600`）；AK/SK 分别位于 XML 标签 `ossAccessKeyId` / `ossAccessKeySecret`。不得改猜 Bitwarden、Keychain、通用 `credentials.env` 或 m5max 本地配置；只有该文件缺失、权限不符或标签解析为空时才停止并报告。
+- `xiaoqu-public-file` 的 canonical 凭证源是发布控制机上的 `~/coding/param.rxt`（必须为 `0600`）；AK/SK 分别位于 XML 标签 `ossAccessKeyId` / `ossAccessKeySecret`。不得改猜 Bitwarden、Keychain、通用 `credentials.env` 或 m5max 本地配置；只有该文件缺失、权限不符或标签解析为空时才停止并报告。
 - m5max 不持久化 OSS 凭证。发布控制机从 `param.rxt` 提取 AK/SK 后，只用 `printf '%s\n%s\n' ... | ssh m5max ...` 经 SSH stdin 传两行；远端用 `read -r` 接收并仅为当次 shell 导出 `OSS_ACCESS_KEY_ID` / `OSS_ACCESS_KEY_SECRET`，随后运行上传脚本。禁止 `scp` 凭证文件、写远端临时文件或把值打印到日志。
-- m5max 非交互 SSH 必须显式补 `PATH=/opt/homebrew/bin:/usr/local/bin:$HOME/.local/bin:$PATH`；已验证 `ossutil` 位于 `/Users/johnq/.local/bin/ossutil`。执行前检查 Node、三个安装包、精确 main SHA 和干净工作树，避免因交互 shell 环境差异重新猜路径。
+- m5max 非交互 SSH 必须显式补 `PATH=/opt/homebrew/bin:/usr/local/bin:$HOME/.local/bin:$PATH`；已验证 `ossutil` 位于 `~/.local/bin/ossutil`。执行前检查 Node、三个安装包、精确 main SHA 和干净工作树，避免因交互 shell 环境差异重新猜路径。
 - m5max 默认出口若走 `utun`，只为当次 `ossutil` 使用 `--bind-address "$(ipconfig getifaddr en0)"`，不得修改整机 Tailscale/默认路由。
 - 完成前核对三份资产 SHA256/大小、macOS 签名与公证、公开 URL/manifest，并回写 ai-proj 证据。
 

skills-dev/slark-dsh-cicd-plugin/skills/SKILL.md

@@ -53,8 +53,8 @@ gh api repos/<owner>/<repo> --jq '.permissions'  # 关键：{"pull":true,"push":
 ## 阶段 1：发布线 A — DSH 插件（有上游写权限）
 
 ```bash
-export HOME="/Users/johnq"
-export PATH="/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin:/opt/homebrew/bin:$PATH"
+export HOME="~"
+export PATH="~/.local/node-v22.22.3-darwin-arm64/bin:/opt/homebrew/bin:$PATH"
 cd <repo>/<pkg>
 npm run check && npm run test:gate && npm run pack
 shasum -a 256 dist/v<ver>/*.tgz          # 两个文件必须同 sha

skills-dev/slark-dsh-cicd-plugin/skills/references/fork-release-and-post-checks.md

@@ -6,8 +6,8 @@
 ## 0. 变量与前置
 
 ```bash
-export HOME="/Users/johnq"
-export PATH="/Users/johnq/.local/node-v22.22.3-darwin-arm64/bin:/opt/homebrew/bin:$PATH"
+export HOME="~"
+export PATH="~/.local/node-v22.22.3-darwin-arm64/bin:/opt/homebrew/bin:$PATH"
 
 UP=<upstream-owner>/<repo>          # 例如 Aisland-SJL/dsh-worktable（外部作者，无写权限）
 ME=<your-account>                   # 例如 qiudl