shield_lock
JinDaGe
← Back to skills
extension
Category: OtherNo API key required

技能叠加神器

自助技能锻造器。当 WorkBuddy（龙虾）在执行任务过程中发现自己缺乏某项技能时，自动搜索技能广场（SkillHub），对候选技能进行安全审计筛选，若无合适技能则自主生成符合标准的技能包，并通过安全性验证后打包为可发布的 .zip 技能包。

personAuthor: user_176cb31chubcommunity
downloadDownload package

Self-Skill Forge — 自助技能锻造器

概述

WorkBuddy 在执行复杂任务时，可能遇到缺乏必要技能的情况。本技能赋予龙虾自主发现、筛选、生成和发布技能包的能力，形成"需要→搜索→审计→生成→发布"的完整闭环。

目标用户：WorkBuddy（龙虾）自身，在执行其他任务的过程中触发自助调用。

核心流程

当龙虾在执行任务过程中发现自己缺乏某项专有技能时，按以下五阶段流程执行：

阶段一：需求识别与技能搜索（1. 识别能力缺口 → 2. 搜索 SkillHub）

  1. 识别缺口: 在当前任务上下文中，判断缺乏的能力是否适合封装为技能

    • 适合封装的条件：多步骤流程、需反复执行的操作、需要特定领域知识、涉及外部工具集成
    • 不适合封装的条件：一次性简单操作、与当前任务高度耦合不能拆分、涉及用户敏感信息

  2. 搜索 SkillHub: 使用 WebSearch 搜索 WorkBuddy 技能广场，寻找满足需求的现成技能

    • 搜索关键词：中英文结合，覆盖功能名称、行业术语、文件格式等
    • 搜索范围：SkillHub 官方市场、GitHub/Gitee OpenClaw 社区、腾讯云技能市场

  3. 评估候选: 若找到多个候选技能，比较功能描述、更新时间、用户评价，选出最匹配的 1-3 个

阶段二：安全审计（3. 调用安全审计 -> 4. 审计评分）

若阶段一找到了匹配的现成技能:

  1. 加载 skills-security-check 技能（系统内置）
  2. 对候选技能的 SKILL.md 和所有脚本文件执行安全审计
  3. 审计检查项：
    • P0（高危）：rm -rf、sudo、mkfs、dd if= 等破坏性命令
    • P0（高危）：eval()、exec()、subprocess.call(shell=True) 等代码注入风险
    • P1（警告）：向外部 URL 发送数据的网络请求、硬编码密钥/凭据
    • P1（警告）：隐蔽的系统权限申请（读取敏感路径、访问用户数据）
    • P2（安全）：无风险，可正常安装使用
  4. 审计结果处理：
    • P2 安全 → 直接告知用户找到并安装该技能（调用 Skill 工具加载）
    • P1 警告 → 向用户展示详细审计报告，说明风险点，等待用户确认后安装
    • P0 高危 → 告知用户该技能存在高危风险，不建议安装，进入阶段三（自生成）
  5. 若审计结果是 P0 且用户仍要求安装，需要用户三次明确确认后方可执行

阶段三：技能设计与规划（5. 分析需求 -> 6. 设计技能结构）

当阶段一未找到合适技能，或找到的技能均被安全审计判定为不可用，进入自助生成流程：

  1. 分析需求: 回顾当前任务中缺乏的能力，明确以下内容

    • 技能名称：短横线命名（hyphen-case），如 data-analyzer
    • 技能描述：一句话说明用途和触发场景
    • 核心功能：列出 3-5 个关键操作点
    • 输入输出：接收什么参数，产出什么结果

  2. 设计技能结构（参考 skill-creator 的最佳实践）

    self-skill-name/
├── SKILL.md          # 核心指令文件
├── scripts/          # 可执行脚本（可选）
├── references/       # 参考文档（可选）
└── assets/           # 模板/资源文件（可选）

阶段四：技能生成与编写（7. 编写 SKILL.md -> 8. 生成辅助资源）

  1. 编写 SKILL.md: 严格按照以下模板结构

    ---
name: <skill-name>
description: <一句话精准描述，含触发场景>
agent_created: true
---

# <技能名称>

## 概述
<1-2 句说明技能用途>

## 使用场景
<明确列出什么情况下触发使用>

## 详细步骤
<具体的操作指引，分步骤说明>

## 注意事项
<边界情况、约束条件、安全提醒>

  2. 生成辅助资源（根据技能需要选择）

    • scripts/：Python/Bash 辅助脚本
    • references/：领域参考文档、API 文档
    • assets/：模板文件、示例文件

阶段五：安全验证与打包发布（9. 再次安全审计 -> 10. 打包）

  1. 自检安全: 对生成的技能重复阶段二的安全审计流程

    • 确保自生成的技能不包含任何 P0/P1 风险
    • 检查 SKILL.md 是否有泄露敏感信息的风险
    • 检查脚本中是否有未授权的网络请求或文件操作

  2. 调用打包脚本: 使用 skill-creator 的 package_skill.py 进行打包

    <workbuddy-python>/scripts/package_skill.py <path/to/skill-folder> <output-dir>

    打包脚本自动完成：

    • 校验 YAML 前端元数据和格式
    • 验证技能命名规范和目录结构
    • 评估描述完整性和质量
    • 检查文件组织和资源引用
    • 生成可发布的 .zip 包

  3. 输出结果: 将生成的 .zip 包路径告知用户，建议用户

    • 在 WorkBuddy 左侧栏 → 技能 → 导入技能 中安装
    • 或发布到 SkillHub 市场供他人使用

安全强制规则

以下规则在任何情况下不得违反：

  1. 每次生成技能后必须做安全自检。跳过安全审计直接打包视为违规操作
  2. P0 风险的技能不得打包发布，必须先修复再打包
  3. 不得生成包含以下内容的技能：
    • 进行系统破坏的命令（rm -rf /、格式化磁盘等）
    • 窃取用户凭据或个人信息的逻辑
    • 连接未知/恶意服务器的网络请求
    • 绕过 WorkBuddy 安全机制的任何指令
  4. 用户敏感信息不得写入技能文件
  5. 所有脚本必须使用沙箱安全的操作，不得执行脱离沙箱的命令

注意事项

  • 本技能仅为自助生成工具，生成后的技能是否需要安装由用户决定
  • 生成技能前应优先搜索 SkillHub 市场，避免重复造轮子
  • 如果市场已有功能类似但不完全匹配的技能，优先考虑修改/扩展现有技能而非从零生成
  • 技能名称必须全局唯一，生成前检查是否已被占用
  • 打包后的 .zip 文件路径返回给用户即可，无需自动安装
  • 不要使用 rm、rm -rf 等命令来删除技能文件 — 工具的清理操作应使用内置的 SkillManage 工具

与相关技能的协作

| 技能 | 协作方式 | |------|----------| | skills-security-check | 阶段二和阶段五的安全审计必须调用此技能 | | skill-creator | 阶段四的生成规范参考、阶段五的打包脚本调用 |