feat(skill): 技能治理 v0.2 —— 分桶/调用模式/校验/安全/清单/安装矩阵

- 新增 SCOPE.md 收录门槛 + .out-of-scope/ 拒绝档案
- 生命周期分桶 promoted/beta/deprecated，marketplace 只发布 promoted
- 调用模式 model-invoked/user-invoked（user-invoked 不占模型目录）
- 新增脚本 validate-skills.py / generate-catalog.py / scan-skill.sh(+allowlist)
- 新增 beta 技能 skill-creator、ai-proj-helper-entry、verification-before-completion（各带 evals）
- install-skills.sh: --agent dsh / --link / --audit / --include-beta / --no-validate
- 融合：dev-review 接收评审意见、req-design 依赖边、agent-swarm 并行编排、dev-test TDD
- catalog.json 61 个技能（58 promoted / 3 beta）；validate 0 错误；scan 0 高危；现有测试通过

CLAUDE.md

@@ -52,3 +52,10 @@ skills:
 - `skills-personal/` 不被 Git 跟踪，用于存放个人配置和工具
 - 其余 `skills-*` 目录均由 Git 版本控制
 - 只有受 Git 跟踪的分类目录会被 `generate-marketplace.py` 扫描并加入公开 marketplace；`skills-personal/` 始终排除
+
+## 技能治理规则
+
+- 公开 marketplace 只发布 `status=promoted`；`beta`/`deprecated` 不进 marketplace（`generate-marketplace.py` 已按 status 过滤）。
+- 每个 `plugin.json` 建议带 `status`，每个 `SKILL.md` 在 `metadata.invocation` 标 `model-invoked` / `user-invoked`。
+- 任何技能增删改后，回改 `catalog.json` 与入口技能 `ai-proj-helper-entry`。
+- 提交前依次跑：`python3 scripts/validate-skills.py`、`./scripts/scan-skill.sh`、`python3 scripts/generate-catalog.py`。