技能配置来源审计

适用场景

配置合同已经声明，但运行前仍需知道环境、项目、用户、参数和默认值中哪些来源存在，以及是否出现冲突或秘密落在普通项目配置中。

输入与输出

• - 输入：脱敏的第一步合同结果和每个字段各来源的 presence 布尔值，不接收来源值
• 输出：每个字段的可用来源、选中优先级、缺失/冲突发现和 resolution_hash

运行

CODEBLOCK0

错误恢复

缺少字段名、类型、来源、required/default 关系或出现真实秘密时输出 REVIEW/BLOCKED；修正脱敏副本后重跑，不把未知值猜成默认值。

隐私边界

只处理买家有权使用且已经脱敏的静态 JSON 与字段 presence 元数据，不读取环境变量、配置文件、密钥存储、仓库或外部服务，不写回输入。

验收

用 examples/input.json 运行，确认输出含 status、findings、缺口和稳定 hash，并验证输出不含秘密、真实值或本机绝对路径。