Self-Skill Forge — 自助技能锻造器
概述
WorkBuddy 在执行复杂任务时，可能遇到缺乏必要技能的情况。本技能赋予龙虾自主发现、筛选、生成和发布技能包的能力，形成"需要→搜索→审计→生成→发布"的完整闭环。
目标用户：WorkBuddy（龙虾）自身，在执行其他任务的过程中触发自助调用。
核心流程
当龙虾在执行任务过程中发现自己缺乏某项专有技能时，按以下五阶段流程执行：
阶段一：需求识别与技能搜索（1. 识别能力缺口 → 2. 搜索 SkillHub）
- 识别缺口: 在当前任务上下文中，判断缺乏的能力是否适合封装为技能
- 适合封装的条件：多步骤流程、需反复执行的操作、需要特定领域知识、涉及外部工具集成
- 不适合封装的条件：一次性简单操作、与当前任务高度耦合不能拆分、涉及用户敏感信息
- 搜索 SkillHub: 使用 WebSearch 搜索 WorkBuddy 技能广场，寻找满足需求的现成技能
- 搜索关键词：中英文结合，覆盖功能名称、行业术语、文件格式等
- 搜索范围：SkillHub 官方市场、GitHub/Gitee OpenClaw 社区、腾讯云技能市场
- 评估候选: 若找到多个候选技能，比较功能描述、更新时间、用户评价，选出最匹配的 1-3 个
阶段二：安全审计（3. 调用安全审计 -> 4. 审计评分）
若阶段一找到了匹配的现成技能:
- 加载
skills-security-check 技能（系统内置） - 对候选技能的 SKILL.md 和所有脚本文件执行安全审计
- 审计检查项：
- P0（高危）：
rm -rf、sudo、mkfs、dd if= 等破坏性命令 - P0（高危）：
eval()、exec()、subprocess.call(shell=True) 等代码注入风险 - P1（警告）：向外部 URL 发送数据的网络请求、硬编码密钥/凭据
- P1（警告）：隐蔽的系统权限申请（读取敏感路径、访问用户数据）
- P2（安全）：无风险，可正常安装使用
- 审计结果处理：
- P2 安全 → 直接告知用户找到并安装该技能（调用 Skill 工具加载）
- P1 警告 → 向用户展示详细审计报告，说明风险点，等待用户确认后安装
- P0 高危 → 告知用户该技能存在高危风险，不建议安装，进入阶段三（自生成）
- 若审计结果是 P0 且用户仍要求安装，需要用户三次明确确认后方可执行
阶段三：技能设计与规划（5. 分析需求 -> 6. 设计技能结构）
当阶段一未找到合适技能，或找到的技能均被安全审计判定为不可用，进入自助生成流程：
- 分析需求: 回顾当前任务中缺乏的能力，明确以下内容
- 技能名称：短横线命名（hyphen-case），如
data-analyzer - 技能描述：一句话说明用途和触发场景
- 核心功能：列出 3-5 个关键操作点
- 输入输出：接收什么参数，产出什么结果
- 设计技能结构（参考 skill-creator 的最佳实践）
```
self-skill-name/
├── SKILL.md # 核心指令文件
├── scripts/ # 可执行脚本（可选）
├── references/ # 参考文档（可选）
└── assets/ # 模板/资源文件（可选）
```
阶段四：技能生成与编写（7. 编写 SKILL.md -> 8. 生成辅助资源）
- 编写 SKILL.md: 严格按照以下模板结构
```markdown
---
name:
description: <一句话精准描述，含触发场景>
agent_created: true
---
# <技能名称>
## 概述
<1-2 句说明技能用途>
## 使用场景
<明确列出什么情况下触发使用>
## 详细步骤
<具体的操作指引，分步骤说明>
## 注意事项
<边界情况、约束条件、安全提醒>
```
- 生成辅助资源（根据技能需要选择）
scripts/：Python/Bash 辅助脚本references/：领域参考文档、API 文档assets/：模板文件、示例文件
阶段五：安全验证与打包发布（9. 再次安全审计 -> 10. 打包）
- 自检安全: 对生成的技能重复阶段二的安全审计流程
- 确保自生成的技能不包含任何 P0/P1 风险
- 检查 SKILL.md 是否有泄露敏感信息的风险
- 检查脚本中是否有未授权的网络请求或文件操作
- 调用打包脚本: 使用 skill-creator 的 package_skill.py 进行打包
```bash
/scripts/package_skill.py
```
打包脚本自动完成：
- 校验 YAML 前端元数据和格式
- 验证技能命名规范和目录结构
- 评估描述完整性和质量
- 检查文件组织和资源引用
- 生成可发布的 .zip 包
- 输出结果: 将生成的 .zip 包路径告知用户，建议用户
- 在 WorkBuddy 左侧栏 → 技能 → 导入技能 中安装
- 或发布到 SkillHub 市场供他人使用
安全强制规则
以下规则在任何情况下不得违反：
- 每次生成技能后必须做安全自检。跳过安全审计直接打包视为违规操作
- P0 风险的技能不得打包发布，必须先修复再打包
- 不得生成包含以下内容的技能：
- 进行系统破坏的命令（rm -rf /、格式化磁盘等）
- 窃取用户凭据或个人信息的逻辑
- 连接未知/恶意服务器的网络请求
- 绕过 WorkBuddy 安全机制的任何指令
- 用户敏感信息不得写入技能文件
- 所有脚本必须使用沙箱安全的操作，不得执行脱离沙箱的命令
注意事项
- 本技能仅为自助生成工具，生成后的技能是否需要安装由用户决定
- 生成技能前应优先搜索 SkillHub 市场，避免重复造轮子
- 如果市场已有功能类似但不完全匹配的技能，优先考虑修改/扩展现有技能而非从零生成
- 技能名称必须全局唯一，生成前检查是否已被占用
- 打包后的 .zip 文件路径返回给用户即可，无需自动安装
- 不要使用
rm、rm -rf 等命令来删除技能文件 — 工具的清理操作应使用内置的 SkillManage 工具
与相关技能的协作
| 技能 | 协作方式 |
|---|
| ------ | ---------- |
| skills-security-check | 阶段二和阶段五的安全审计必须调用此技能 |
| skill-creator | 阶段四的生成规范参考、阶段五的打包脚本调用 |