@geoly-ai/skills-hub 0.1.0

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 geoly-ai
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/README.md

@@ -0,0 +1,98 @@
+# skills-hub
+
+> npm 包名：**`@geoly-ai/skills-hub`**，bin `skills-hub`。
+> （M0 正文写的是 `@geoly/skills-hub`，那是拍板时没核实 org —— 见 [`docs/m0/ERRATA.md`](docs/m0/ERRATA.md) E-7）
+
+`geoly-ai` 的 skill 分发中心：一条命令装单个 skill、装矩阵包，
+并支持外部投稿与过审。
+
+> ⚠️ **M0 规格已封版，M1 实现刚起步** —— 目前只有基础模块和埋点子系统，
+> 装 skill 的主流程还没接通。
+
+## 现在在哪一步
+
+| 阶段 | 状态 |
+|---|---|
+| **M0 · 制品与信任模型** | ✅ **已通过**（v45，2026-08-25） |
+| M1 · 只读分发（单 skill 的 resolve / install / list / check） | 🚧 进行中 —— 信任链与 adapter 已就绪，事务内核在做 |
+| M2 · pack 与受控 catalog | — |
+| M3 · 投稿与审核 | — |
+| M4 · update / remove / 正式发包 | — |
+
+## 从哪读起
+
+- **[`docs/m0/00-decisions.md`](docs/m0/00-decisions.md)** —— 决策台账、术语、
+  以及 🔴 **M1 开工前的两道硬门**（§6）
+- [`docs/m0/01-artifacts.md`](docs/m0/01-artifacts.md) 起是规范正文，共 12 份
+- `docs/m0/CHANGES-v*.md` 是 v2 → v45 的逐轮变更台账
+  （**变更台账不是现行规范**，以正文为准 —— 见
+  [`11-wire-contract.md`](docs/m0/11-wire-contract.md)）
+
+## 已经能跑的
+
+```sh
+node bin/skills-hub.mjs --help
+node bin/skills-hub.mjs stats            # 本地埋点文本报表
+node bin/skills-hub.mjs telemetry status # 埋点/上报开关
+npm test                                 # 60 个测试
+npm run test:matrix                      # 在 Node 22.13 / 24.19 上各跑一遍
+```
+
+基础模块：`canonical-json`、`atomic-fs`、`safe-fs`、`tree-digest`/`tx-digest`、
+`lock`（`node:sqlite` 的 `BEGIN EXCLUSIVE`，内核释放）、故障注入框架、
+信任与制品链（Sigstore 验签 + 受限 tar 解包）、adapter 与 target 预检。
+
+- 两道 M1 前置 gate 的实测记录：[`docs/m1/00-gates.md`](docs/m1/00-gates.md)
+- 🔴 **已知且接受的残余风险**：[`docs/m1/01-residual-risks.md`](docs/m1/01-residual-risks.md)
+- M0 勘误（正文已封版，冲突以勘误为准）：[`docs/m0/ERRATA.md`](docs/m0/ERRATA.md)
+
+**当前可安装的组合**：`claude` / `codex` / `agents` × 全局 / 项目级。
+
+- `agents` 是 **present-only**：只在 `.agents` 已存在时加入，**不会被创建**
+  （它是共享约定路径，读者是 codex，不是独立客户端）
+- ⚠️ `codex` 与 `agents` 同时装时，同一个 skill 会在 codex 的 catalog 里出现两次 ——
+  CLI 会告警但不拦截
+- `cursor` 未启用：本机无运行时证据，且静态读它的加载器**预判会失败**，见 R-8
+
+## 项目级安装：先改 `.gitignore`
+
+装到项目级（`<repo>/.claude/skills` 等）时，状态目录 `.geoly/` 会落在仓库里。
+把下面几条加进 `.gitignore` —— 🔴 注意是 **adapter 派生的实际路径**，
+不是根上的 `/.geoly/`：
+
+```gitignore
+/.claude/skills/.geoly/
+/.codex/skills/.geoly/
+/.cursor/skills/.geoly/
+/.agents/skills/.geoly/
+```
+
+（`skills-hub` 会在项目级安装时提示缺哪几条；`gitignorePatternsFor()` 按启用的
+client 生成，`test/adapters.test.mjs` 用真 git 仓库验证过它确实忽略状态目录、
+且**不误伤 skill 本体**。）
+
+### ⚠️ `git clean -xfd` 会删掉整个 `.geoly/`
+
+不只是「进行中的事务状态」，**还包括本地审计历史**（live `audit` 与 `audit-archive/`）。
+清掉之后 `event_id` 序列会从头开始。这是规范承认的「放弃本地 audit」边界，
+但它**不可恢复** —— 清之前想清楚。
+
+## 埋点与面板
+
+规格：[`docs/telemetry/00-spec.md`](docs/telemetry/00-spec.md)（v2，已过 Codex 评审）。
+
+🔴 **默认不向任何地方发数据** —— 没有内置端点，不配 `GEOLY_TELEMETRY_ENDPOINT`
+就是纯本地。事件只含制品坐标、客户端、操作、结果、耗时，**不含路径、目录清单、
+文件内容、用户名**；这条契约由 `assertValidEvent()` 在落盘/读回/上报/导出四个边界执行。
+
+- 关掉：`GEOLY_TELEMETRY=0`　只留本地：`GEOLY_TELEMETRY_UPLOAD=0`　断网：`--offline`
+- 面板：[`docs/dashboard/`](docs/dashboard/)（零依赖静态页，
+  `skills-hub stats --export` 出的 JSON 拖进去即可）
+
+## M0 定了什么
+
+不可变制品布局与树摘要、签名快照 + timestamp 防回放、pack lock 与 yank 闭包、
+崩溃安全的安装事务（幂等前向恢复 / retirement rename / repair intent）、
+投稿与三阶段发布、威胁模型、CLI 命令面与退出码、JSON wire contract。
+
+平台：**macOS / Linux / WSL**，**Node ≥ 22.13**（锁用内建 `node:sqlite`）。

package/bin/skills-hub.mjs

@@ -0,0 +1,26 @@
+#!/usr/bin/env node
+// 🔴 必须在任何 import 之前抑制 node:sqlite 的 ExperimentalWarning。
+// 依据：04-install.md §5.1「代价」第 2 条 —— 警告在模块导入时发出，
+// 放在适配层里抑制来不及。此处是进程内最早的可执行位置。
+const origEmit = process.emit;
+process.emit = function (name, data, ...rest) {
+  if (
+    name === 'warning' &&
+    data?.name === 'ExperimentalWarning' &&
+    /SQLite/i.test(data?.message ?? '')
+  ) return false;
+  return origEmit.call(this, name, data, ...rest);
+};
+
+// 🔴 生产 CLI 里绝不允许故障注入被环境变量武装起来。
+// 注入器支持 throw / exit / SIGKILL / powerfail —— 用户环境里一个残留的
+// GEOLY_FAULT_ENABLE=1 就能让正经安装在半路被杀。先清环境，再上锁，
+// 两道都在**任何 import 之前**，因为模块求值时就可能读这些变量。
+for (const k of Object.keys(process.env)) {
+  if (k.startsWith('GEOLY_FAULT')) delete process.env[k];
+}
+const { lockdown } = await import('../src/fault-inject.mjs');
+lockdown();
+
+const { main } = await import('../src/cli.mjs');
+process.exitCode = await main(process.argv.slice(2));

package/package.json

@@ -0,0 +1,44 @@
+{
+  "name": "@geoly-ai/skills-hub",
+  "version": "0.1.0",
+  "description": "geoly-ai 的 skill 分发中心 —— 安装、校验、审计",
+  "type": "module",
+  "bin": {
+    "skills-hub": "./bin/skills-hub.mjs"
+  },
+  "engines": {
+    "node": ">=22.13"
+  },
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/geoly-ai/skills-hub.git"
+  },
+  "homepage": "https://github.com/geoly-ai/skills-hub#readme",
+  "bugs": {
+    "url": "https://github.com/geoly-ai/skills-hub/issues"
+  },
+  "license": "MIT",
+  "publishConfig": {
+    "access": "public",
+    "provenance": true
+  },
+  "files": [
+    "bin",
+    "src"
+  ],
+  "scripts": {
+    "test": "node --test test/*.test.mjs",
+    "test:matrix": "bash scripts/test-matrix.sh",
+    "test:fault": "FX_FULL=1 node --test test/fault-matrix.test.mjs",
+    "test:fault:kernel": "FX_FULL=1 node --test test/kernel-fault-matrix.test.mjs",
+    "check:node-matrix": "node scripts/check-node-matrix.mjs",
+    "check:pack": "node scripts/check-pack-contents.mjs",
+    "check:identities": "node --no-warnings scripts/check-signing-identities.mjs",
+    "check:all": "npm run check:node-matrix && npm run check:identities && npm run check:pack",
+    "check:publish": "node scripts/publish-check.mjs",
+    "q12": "node scripts/q12/run.mjs"
+  },
+  "dependencies": {
+    "@sigstore/verify": "4.1.2"
+  }
+}