技能配置契约核验工作流

技能配置契约核验工作流

3个实用技能 · 3步完成 · 每一步都能单独使用

把共享技能中的频道、组织名、阈值、路径和密钥需求从隐含文字变成可回读的配置合同：先声明字段和敏感来源，再按明确优先级检查哪些来源存在，最后在运行前拦截缺少必填配置或秘密落盘。套餐只处理脱敏元数据，不读取真实值、不替用户填充、不连接外部系统。

3个可下载技能 · 每个技能可单独运行

3步自动化工作流

🔵 1 技能配置契约整理

技能文件：skill-config-contract-normalizer

解决什么： 技能把频道、组织名、重试次数或 API key 写在 SKILL.md 里，安装者只能手改文本，宿主也无法知道字段类型、必填性和默认值。

What you get: READY/REVIEW、字段类型、必填/可选关系、默认值声明、敏感字段来源、冲突清单和 config_contract_hash。

↓ 本步结果自动进入下一步

🟢 2 技能配置来源审计

技能文件：skill-config-resolution-auditor

解决什么： 配置合同存在但运行时不知道 env、args、project、user 或 defaults 哪个来源可用，容易出现缺失、重复覆盖或秘密误放到项目文件。

What you get: 按 env → args → project → user → defaults 的来源预演、每字段选中来源、缺失/冲突结果和 resolution_hash；只读取 presence 布尔值，不读取真实配置值。

↓ 本步结果自动进入下一步

🟠 3 技能配置运行前门禁

技能文件：skill-config-preflight-gate

解决什么： 运行共享技能前缺少 API key 或必要频道时，智能体可能猜占位值、继续执行或把秘密写进普通配置。

What you get: READY_FOR_HUMAN_CONFIG_REVIEW/BLOCKED、待补充字段、人工决定 PENDING、executes=false、secret_values_consumed=false 和 config_release_hash；这是最终交付。

实际示例

脱敏样例声明一个必填频道、一个带默认值的重试次数和一个必须来自环境的密钥字段。第一步检查合同关系，第二步根据来源存在性选出项目/默认值/环境来源，第三步生成运行前复核结果。样例不携带真实频道、密钥、环境变量内容或项目路径，也不会发消息或调用 API。

适合谁

维护跨组织、跨项目或跨运行时共享技能的开发者；把技能发布给团队使用、又不希望每个买家 fork SKILL.md 改频道和阈值的团队；需要在非交互执行或 CI 前知道必填配置是否齐全的维护者。

买家只需提供

• 脱敏的稳定配置字段定义、类型、必填/可选关系和默认值声明

• 每个字段允许的来源类别与敏感标记

• 仅表示来源是否存在的 presence 摘要，不提供任何真实值

• 运行前是否必须负责人复核的策略

使用方式

1. 使用 Python 3.10 或更高版本，准备相对路径的脱敏 JSON。

2. 先运行配置契约整理，再运行来源审计，最后运行运行前门禁；也可以单独运行任一步。

3. 由宿主或负责人在自己的安全配置系统中补充真实值，再决定是否启动目标技能；本套餐不会代为取值、替换或执行。

交付与验收

• 三个独立技能目录，每个包含元数据、技能说明、执行器、文档和脱敏样例。

• 三步可重复运行：合同整理、来源审计、运行前门禁；每个技能也能单独使用。

• 类型非法、required 与 default 冲突、必填值缺失、秘密来源不安全、多来源覆盖和未完成负责人复核时有明确结果。

• 输出只保留元数据、presence 和 hash，不含真实秘密，不读取环境变量，不连接 API，不写回文件。

服务说明

脚本只处理买家有权使用且已经脱敏的静态合同与来源存在性摘要，不连接 Claude、Codex、MCP、仓库或业务系统，不读取秘密、不生成占位密钥、不代替宿主保存配置。配置核验不保证外部服务可用，也不保证目标技能业务结果。套餐不包含真实密钥托管、平台适配、运行时注入、消息发送或持续监控。