Skill Auditor

对已存在 Skill 做 8 维度全面体检（结构/安全/触发/有效性/竞争/平台/文档/代码质量）。说 技能审计/审计技能/技能体检 时触发。支持成熟度分级+4确认点+整改+回归审计。绝不自动发布。Do NOT use for creating skills or publishing to platforms.

技能审计师

对已存在 Skill 做 8 维度体检，按成熟度分级执行不同深度审计，4 个用户确认点全程可控。只审计+可选整改，绝不自动发布。

何时触发

触发词：「技能审计」/「审计技能」/「skill审计」/「技能体检」/「原创度审计」/「嫁接清洗」/「清洗嫁接痕迹」

与相似场景区分：

• 「技能创建/技能熔炉」= 从 0 创建新技能；「技能发布」= 推送到外部平台
• 「技能审计」= 8 维度体检 + 成熟度分级 + 整改 + 回归（本技能）
• 「原创度审计」/「嫁接清洗」= 仅执行 D-O 系列检查 + 清洗（本技能的专项子模式）

前置条件：用户给出目标 Skill 路径或名称 + 目录下有 SKILL.md

任务

只做 Skill 的深度审计 + 可选整改 + 回归验证：8 维度扫描 → 标准化报告 → 用户确认 → 可选整改 → 可选回归 → 可选发布交接。不自动发布，发布需用户在确认点4明确授权。

权限声明

本技能的行为范围（用户须知）：

• 读取被审计 Skill 目录的文件（Read/Glob/Grep/LS）
• 可选网络访问：WebFetch 调用 SkillHub API 做 C 维度比对（不可达时跳过）
• 整改模式（用户授权后）：Edit/Write 修改被审计 Skill 文件
• 输出审计报告到被审计 Skill 目录（.audit-report.md）
• 绝不自动发布，不自动执行发布操作（除非用户明确授权后建议手动发布）

输出格式

审计报告（同时输出到对话和 <skill-dir>/.audit-report.md）：

1. 成熟度等级：L1原型 / L2迭代 / L3发布
2. 审计范围：本次执行的维度（按成熟度确定）
3. 综合评分表：各维度 0-10 分 + 加权综合分 + 状态
4. Findings 列表：按严重性分级，每条含位置(file:line) + 问题 + 修复建议 + 优先级(P0-P3)
5. 整改报告（如进入整改模式）：已修复/未修复/验证结果
6. 回归报告（如进入回归）：已修复✅/未修复❌/新增🆕

三级成熟度模型

等级	名称	审计范围	严格度
L1	原型阶段	S(精简) + A(精简) + D1	只报 Critical，Important 以下为"建议"
L2	迭代阶段	S/T/A/E/D/Q（6维度，跳过 C/P）	Critical 必修，Important 建议修
L3	发布阶段	全量 8 维度	Critical/Important 必修，Minor 建议修

识别信号：references/ 目录 + SKILL.md 行数 + version + CHANGELOG + scripts/ + 用户明示

详细判定规则：读取 references/maturity-model.md

8 大审计维度

代号	维度	核心检查
S	结构合规	frontmatter / 4模块 / ≤200行 / 渐进式披露
T	安全合规	凭证/路径/危险命令/YARA/SSD3/MCP
A	触发可靠性	正例/反例/触发词冲突/关键词前置
E	功能有效性	声明一致性/输出格式/增量价值
C	同类竞争	SkillHub API + 腾讯9维度 + 差异化
P	平台合规	TRACE五维度 + SkillSpector9项 + 文件限制
D	文档一致性	引用一致/版本号同步/中英文同步/嫁接痕迹(D-O1~O7)
Q	代码质量	错误处理/资源管理/命名/复杂度

详细检查项：读取 references/audit-dimensions.md

执行流程（5 Phase + 4 确认点）

Phase 0: 入口识别 + 成熟度判定 + 【确认点1】

1. 检测触发词 → 确定入口模式（全量/单维度/批量/回归）
2. 全量审计模式 → 自动识别成熟度（L1/L2/L3）
3. 【确认点1】 展示识别结果 + 建议审计范围，用户确认或调整等级

Phase 1-3: 按成熟度执行审计

• Phase 1 静态扫描（S/T/D/Q）：LS + Grep + 读取文件
• Phase 2 动态测试（A/E）：触发逻辑验证 + 声明一致性
• Phase 3 外部比对（C/P，仅 L3）：SkillHub API + 平台规则

Phase 4: 报告生成 + 【确认点2】

生成报告 → 【确认点2】 用户选择：

• A. 进入整改模式（授权修改被审计 Skill）
• B. 只要报告，自己改
• C. 重新审计（调整成熟度/维度）
• D. 结束

Phase 4.5: 整改模式（仅用户选 A）

用户选 A 后，追加选择整改子模式：

• A1. 标准整改：按 P0→P1→P2 顺序修复所有 Finding（含 D-O 类）
• A2. 原创度优化：仅集中清洗 D-O1~O7 嫁接痕迹（适合已审计过、只想清洗派生痕迹的场景）
• A3. 两者都做：先标准整改，再原创度优化

A2 子模式：扫描 7 类痕迹 → 分类标记 → 【确认点 O】用户选择 → 执行清洗 → 7 项验证 → 回归报告。详细流程见 references/originality-check.md。

约束：最小化改动 / 只改措辞不改语义 / 不自动发布 / 清洗边界（不删功能描述/触发词/规则/references 自引用/CHANGELOG 版本号）

Phase 5: 回归验证 + 【确认点3】

整改后自动回归 / 独立回归触发 → 对比前后报告 → 【确认点3】 用户选择：

• A. 再做一轮回归
• B. 发布（仅 L3 可选）
• C. 结束

Phase 6: 发布建议 + 【确认点4】（仅 L3 + 用户选 B）

【确认点4】 发布确认 → 用户**必须明确选"是，发布"**才建议用户手动发布 发布前置条件：回归分≥7.0 + 无 Critical + 无 Important(L3) + L3 等级

绝不自动发布：即使所有条件满足，也必须用户明确授权后，仅提供发布建议，不自动执行发布。

严重性分级

级别	标签	含义
Critical	🚨	必须修复，阻止发布
Important	⚠️	应该修复，影响质量
Minor	💡	可选优化
FYI	ℹ️	信息参考

评分标准

每维度 0-10 分，综合分加权（T×2.0, P×1.5, S/A/E×1.0, C/D/Q×0.5） T 维度有 Critical → 综合状态 = ❌ FAIL（一票否决）

规则

1. 绝不自动发布：任何阶段都不自动执行发布操作，必须用户在确认点4明确选"是，发布"后才提供发布建议
2. 整改需授权：默认只读审计，用户在确认点2选 A 才授权修改被审计 Skill
3. 成熟度可覆盖：用户可强制指定等级（如"对原型做全量审计"），覆盖自动识别
4. 整改最小化：每个修复只改 Finding 涉及的行，不做"顺便优化"，不重构
5. Pre-Scan 必做：LS 列出所有文件（含 .gitignore 中的），Grep 会跳过 .gitignore 文件
6. 网络降级：SkillHub API 不可达时 C 维度跳过并标注；回归模式需存在上次 .audit-report.md，不存在则降级为首次全量审计
7. L1/L2 不显示发布选项：确认点3 的 B 选项（发布）仅 L3 阶段显示
8. 模糊回答追问：确认点4 的发布确认，模糊回答（如"好吧"）→ 追问"请明确确认"
9. Finding 必含位置：每个 Finding 必须标注 file:line 或具体文件路径

示例

示例1：L2 迭代阶段全量审计 + 整改 + 回归

用户："技能审计 wx-peitu" Phase 0：识别 L2（references/存在 + version 7.1.0 + CHANGELOG 有更新） 【确认点1】："识别为 L2，建议 S/T/A/E/D/Q 6维度。确认？" → 用户选 A Phase 1-3：6 维度审计完成 → 报告 综合分 7.4 ⚠️，1 Critical + 2 Important 【确认点2】："进入整改？" → 用户选 A → 修复 P0(凭证泄露) + P1(行数超标) → 验证通过 Phase 5：回归审计 综合分 7.4→8.5 ↑ 【确认点3】："L2 不显示发布选项。再做回归/结束？" → 用户选 C 结束

示例2：L3 发布阶段 + 发布交接

用户："技能审计 web-to-fim，准备发布" Phase 0：识别 L3（用户明示"准备发布" + version 3.3.0 + references 5文件） 【确认点1】："识别为 L3，全量 8 维度。确认？" → 用户选 A Phase 1-3：8 维度审计完成，综合分 8.0 ✅ 【确认点2】："进入整改？" → 用户选 A（修复 1 个 Minor）→ 验证通过 Phase 5：回归审计 综合分 8.0→8.5 ↑ 【确认点3】："L3 阶段。再做回归/发布/结束？" → 用户选 B 【确认点4】："⚠️ 即将发布 web-to-fim v3.3.0 到三平台。是否发布？" 用户明确选 A "是，发布" → 提供发布建议（建议用户手动发布）

示例3：用户拒绝自动发布

【确认点4】：展示发布确认 → 用户选 B "暂不发布" 输出："建议用户手动发布到三平台。审计报告已保存到 .audit-report.md" 不自动执行发布操作

示例4：原创度审计 + 嫁接清洗（A2 子模式）

用户："原创度审计 skill-xxx"

Phase O-1：扫描 7 类嫁接痕迹，命中 D-O1(继承声明 3处) + D-O4(交接措辞 2处) + D-O6(CHANGELOG 1处) 【确认点 O】："6 处嫁接痕迹，全部清洗？" → 用户选 A Phase O-4：执行清洗（"继承自 skill-yyy" → "定义 X 维度方法论"；"交接 skill-zzz" → "建议用户手动发布"） Phase O-5：7 项验证全部 PASS（零残留/管线完整/功能不退化/引用不断链/CHANGELOG 可追溯/自引用保留/触发词保留） Phase O-6：原创度评分 7.2 → 10.0 ↑

References

• references/maturity-model.md — 三级成熟度详细模型（识别信号 + 判定规则 + 各等级审计范围）
• references/audit-dimensions.md — 8 维度详细检查项（含 D-O1~O7 嫁接痕迹检查项）
• references/security-scan.md — 安全扫描详细模式（5层 + SkillSpector 9项）
• references/benchmarking.md — 同类比对方法论（SkillHub + 腾讯9维度）
• references/report-template.md — 审计报告模板（含整改/回归模板）
• references/regression.md — 回归审计方法论（差异对比规则）
• references/examples.md — 补充示例（单维度/L1/回归/批量/整改独立触发）
• references/originality-check.md — 原创度审计与嫁接清洗（7 类痕迹识别+清洗策略+验证清单+主动触发模式）