以下摘录自发布者现有说明，不代表平台已完成运行验证。完整交付范围、限制与验收要求请继续阅读原文。
四个独立技能目录，每个包含 _meta.json、SKILL.md、agents/openai.yaml、README、Python 执行器、文档和脱敏样例。 四步可重复运行：元数据整理、来源预期审计、证明校验计划、人工发布交接。 摘要算法不支持、来源不受信任、构建级别非法、主体摘要不一致、证明引用缺失和回滚引用缺失均有明确分支。 输出保留 metadata_hash、expectation_hash、plan_hash、handoff_hash、PENDING 决策和 executed=false，不包含真实签名、token 或发布动作。
脱敏的制品引用、SHA256 摘要、源仓库修订、builder 和工作流引用 可信 builder、仓库、分支、工作流和允许发布范围 attestation、签名材料、SLSA predicate、SBOM 和 verifier 引用 负责人、回滚快照、发布政策和供应链验收规则
使用 Python 3.10 或更高版本，移除 token、私钥、证书原文、仓库私密地址和真实制品内容。 依次运行元数据整理、来源预期审计、证明校验计划和人工发布交接。 用摘要不一致、未知 builder、错误 workflow ref、SBOM 主体不匹配、缺离线 verifier 和正常 provenance 样例验收，再由负责人调用真实工具。
脚本只读买家有权使用且已脱敏的制品元数据，不连接 GitHub、Sigstore、Rekor、注册表或部署平台。来源验收不等于完整安全审计，SLSA 等级、信任根、签名和 SBOM 必须由负责人根据真实组织政策和官方工具验证。套餐不包含密钥管理、签名生成、仓库权限配置、漏洞扫描、SBOM 生成、生产部署、合规认证或结果保证。
以下为套餐组成，实际执行顺序请按上方工作流说明。安装所需环境、账号与外部服务费用请在购买前确认。
