johnQ
b390c29af3
skill-gate / gate (pull_request) Waiting to run
- scan-skill.sh: loopback 不算风险、命中走允许清单 - 11 个文件的 /Users/<机器名> 绝对路径去环境化（脚本 $HOME、文档 ~） - 允许清单登记运维环境地址与示例占位符（非凭据），附理由 - scan: 57 warns -> 0 warns / 0 high - 新增 .gitea/workflows/skill-gate.yml（validate --strict + scan + catalog --check + 测试）
2.3 KiB
2.3 KiB
Changelog
Unreleased — 2026-10-31
新增
- 技能治理：
SCOPE.md收录门槛 +.out-of-scope/拒绝档案。 - 生命周期分桶（
promoted/beta/deprecated）与调用模式（model-invoked/user-invoked）。 scripts/validate-skills.py：规范/大小/引用/调用模式/文档校验。scripts/generate-catalog.py：生成可审阅的catalog.json。scripts/scan-skill.sh+scripts/scan-allowlist.txt：入库前安全扫描。- 新技能（beta）：
skill-creator、ai-proj-helper-entry、verification-before-completion。 install-skills.sh：--agent dsh、--link、--audit、--include-beta、--no-validate。
变更
-
18 个命令型技能转
user-invoked（biz/integration/dev-android|ios|pda/publish/发布链），目录预算减少 18 项。 -
dev-review：增加「接收与响应评审意见」。 -
req-design：增加「任务依赖边（blocking edges）」。 -
agent-swarm：增加「并行编排流程」。 -
dev-test：增加「TDD 循环」。 -
generate-marketplace.py：只发布promoted，beta/deprecated 不随 marketplace 分发。 -
按 SCOPE 降级两个无增量技能：
verification-before-completion、ai-proj-helper-entry（规则已在用户级 AGENTS.md），入口路由内容转为docs/skill-routing.md。
清理（2026-10-31）
- 11 个超过 20KB 的
SKILL.md拆分：大章节移入references/details.md，正文全部回到 20KB 预算内。 - 7 处非标准 frontmatter 字段（
arguments、user_invocable）移入metadata。 - 修复
req-dev的 4 条相对链接；校验器改为跳过行内代码，消除误报。 validate-skills.py：23 个警告 → 0 个警告。
清理（2026-10-31 第二批）
scripts/scan-skill.sh：回环地址（localhost/127.0.0.1）不再算风险；命中后走允许清单。- 11 个文件里的
/Users/<机器名>绝对路径去环境化（脚本改$HOME，文档改~）。 - 允许清单登记 6 类运维环境地址与示例占位符（非凭据），附理由。
- 安全扫描：57 个警告 → 0 个警告、0 个高危。
- 新增
.gitea/workflows/skill-gate.yml：PR/main 跑validate --strict+scan+catalog --check+ 安装器测试。