@yottameta/yotta-skills-plugin 0.19.21 → 0.19.22

package/.agents/plugins/marketplace.json

@@ -12,7 +12,7 @@
         "authentication": "ON_INSTALL"
       },
       "category": "Developer Tools",
-      "version": "0.19.21",
+      "version": "0.19.22",
       "description": "YuanGe (元阁) - orchestration routing, inventory, and one-command installer for the YottaMeta skill family (zero dependencies, Node.js only).",
       "interface": {
         "displayName": "元阁 yotta-skills",

package/.claude-plugin/marketplace.json

@@ -12,7 +12,7 @@
         "authentication": "ON_INSTALL"
       },
       "category": "Developer Tools",
-      "version": "0.19.21",
+      "version": "0.19.22",
       "description": "YuanGe (元阁) - orchestration routing, inventory, and one-command installer for the YottaMeta skill family (zero dependencies, Node.js only).",
       "interface": {
         "displayName": "元阁 yotta-skills",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@yottameta/yotta-skills-plugin",
-  "version": "0.19.21",
+  "version": "0.19.22",
   "description": "YuanGe (元阁) — orchestration and routing for the YottaMeta skill family, packaged as a YottaMeta Agent Plugin.",
   "license": "MIT",
   "keywords": [

package/plugin.json

@@ -1,7 +1,7 @@
 {
   "$schema": "https://agent-plugins.org/schemas/1.0.0/plugin.schema.json",
   "name": "yotta-skills",
-  "version": "0.19.21",
+  "version": "0.19.22",
   "description": "YuanGe (元阁) - orchestration routing, inventory, and one-command installer for the YottaMeta skill family (zero dependencies, Node.js only).",
   "author": {
     "name": "YottaMeta",

package/skills/yotta-skills/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: yotta-skills
-version: 0.19.21
+version: 0.19.22
 description: 元阁 -- 元阁全家技能的总编排策划 + 编排路由 + 一键安装器 + 技能盘点 + 运行时 hook 适配。路由层：--route / route_request 按需求摘要给出候选组合、调用顺序、角色、置信度、依据、已装/缺失状态与安装命令，只建议不自动安装；非元阁家族已装技能按 frontmatter description 机械匹配作并列候选（标注来源与未扫描状态，只读不自动调用）；策划层：按场景给出「该组合哪几个元技能、组合强在哪、怎么组合使用（安装与调用均由用户确认后执行）」；安装层：一条命令把 YottaMeta 已发布的全部 yotta-* 技能装进指定智能体或目录（默认 --pin 锁死清单精确版本）；盘点层：--inventory / --reindex 扫描本机已装技能生成/更新注册表，新装技能自动被发现（install/update 后自动 re-index，会话开工只建议跑本地 --reindex；更新检查走手动 --check 或后台 --check --scheduled）；运行时适配层：hook capabilities / evaluate / bind / unbind 按宿主能力矩阵执行六个统一事件并留证降级，元信 before_install 已接入安装管线；自包含零依赖，不依赖任何元技能；MCP 按需加载且需用户确认后写入配置（可选：list_installed_skills/describe_skill/reindex/route_request，不常驻，未加载降级 CLI）。支持 --list 清单 / --route 路由 / install / update / update --check（只读检查）/ update --check --scheduled（后台周检）/ update --auto（家族自动更新）/ hook 适配 / --inventory / --reindex / --dry-run 预览 / --pin（默认）/ --range。触发：需要批量安装或更新元阁全家技能、按场景组合多个元技能、路由或判断该用哪些技能、盘点或查看本机已装技能、重扫技能注册表、给某个智能体或目录一次性铺齐 yotta-* 技能、评估宿主 hook 能力、预览安装清单、锁版本安装、或用户说 元阁/装全家/一次装齐/yotta-skills/install-all/更新全家/检查更新/自动更新/hook 适配/该用哪个技能/路由技能/盘点技能/查看已装技能 等。边界（Do NOT trigger）：只做「组合策划 + 静态路由建议 + 清单 + 下载 + 落位 + 汇总 + 盘点 + re-index + hook 适配」，不含技能本体、不做技能内容开发、不 -g 污染全局、不自动安装缺失技能、不静默写宿主配置或全局记忆；家族安装先自举或调用元信装前门禁，DO NOT INSTALL 阻断，非元阁家族包不自动安装。
 license: MIT
 metadata:
@@ -45,6 +45,12 @@ metadata:
 - **路由层（该用哪几个）**：`--route "<需求摘要>"` / MCP `route_request` 查本地注册表与静态编排 playbook，输出候选组合、调用顺序、每个技能角色、置信度、依据、已装/缺失状态与安装命令；非元阁家族已装技能按 frontmatter description 机械匹配作并列候选（标注来源与未扫描状态，只读不自动调用）；只建议安装，不自动安装。
 - **策划层（怎么用）**：接到需求，先按「编排策划」定位命中哪个组合——哪些元技能搭配起来最强、适合什么场景、AI 该给出什么安装与调用建议（**安装与调用均由用户确认后执行**）。
 - **安装层（怎么装）**：一条 `npx -y @yottameta/yotta-skills` 把组合/全家装进指定智能体或目录——`--list` 看清单、`install` 装、`update` 增量更新、`doctor` 只读自检、`rollback` 恢复快照、`--dry-run` 预览、`--pin` 锁版本。
+
+> **权限边界**：`install` / `update` 会写入目标技能目录，属于有副作用操作——执行前先用 `--dry-run`
+> 展示将写入的目录与技能清单，由用户确认后再执行；批量安装（多技能 / 多目录 / 装全家）不是一次性授权，
+> 新增目标目录要重新确认。不静默写宿主配置、不自动安装缺失技能、不 `-g` 污染全局；
+> 安装器拒绝对符号链接目标写入，批量安装需显式 `--yes`。
+
 - **盘点层（已装了什么）**：`--inventory` / `--reindex` 扫描本机各智能体技能目录，生成/更新本地注册表；装技能后自动 re-index，新装技能自动被发现——自包含扫描，不依赖任何元技能。
 
 每个技能仍走各自独立的 npm 包（版本源唯一）；本包只做「清单 + 下载 + 落位 + 汇总」，**不内置任何技能本体**。

package/skills/yotta-skills/bin/yotta-skills.js

@@ -38,7 +38,7 @@ const hookAdapterLib = require('../lib/hook-adapter');
 const { createInstaller, isSafeTarEntry } = require('../lib/install-pipeline');
 
 const PKG_ROOT = path.join(__dirname, '..');
-let VERSION = '0.19.21';
+let VERSION = '0.19.22';
 try { VERSION = require(path.join(PKG_ROOT, 'package.json')).version; } catch (_) { /* keep fallback */ }
 
 function loadManifest() {

package/skills/yotta-skills/references/skill-list.md

@@ -5,28 +5,28 @@
 
 | slug | 中文名 | npm 包 | 清单版本 | 说明 |
 |---|---|---|---|---|
-| `yotta-anti-shallow` | 元谨 | `@yottameta/yotta-anti-shallow` | 1.4.0 | 防 AI 敷衍规则引擎（深入分析/根因追溯时激活） |
+| `yotta-anti-shallow` | 元谨 | `@yottameta/yotta-anti-shallow` | 1.4.1 | 防 AI 敷衍规则引擎（深入分析/根因追溯时激活） |
 | `yotta-code-quality` | 元质 | `@yottameta/yotta-code-quality` | 0.4.1 | 结对式代码质量评审（十二类腐化风险 + 0-100 健康分） |
-| `yotta-workflow` | 元序 | `@yottameta/yotta-workflow` | 0.4.1 | 跨会话/跨项目通用工作流协议（状态就近存） |
-| `yotta-memory` | 元忆 | `@yottameta/yotta-memory` | 0.17.1 | 有权限边界的文件式智能体记忆（FACT/PREF/BOUND/COMMIT） |
+| `yotta-workflow` | 元序 | `@yottameta/yotta-workflow` | 0.4.2 | 跨会话/跨项目通用工作流协议（状态就近存） |
+| `yotta-memory` | 元忆 | `@yottameta/yotta-memory` | 0.17.2 | 有权限边界的文件式智能体记忆（FACT/PREF/BOUND/COMMIT） |
 | `yotta-learn` | 元习 | `@yottameta/yotta-learn` | 0.2.1 | 学习沉淀 CLI：错误/纠正/洞见沉淀为 .learnings/ 条目 |
 | `yotta-security-audit` | 元安 | `@yottameta/yotta-security-audit` | 0.2.4 | 安全扫描引擎：13 类检测器 + 系统安全基线 |
-| `yotta-vetter` | 元审 | `@yottameta/yotta-vetter` | 0.2.5 | 安全审查协议：四阶段 review + SAFE TO INSTALL 判定 |
+| `yotta-vetter` | 元审 | `@yottameta/yotta-vetter` | 0.2.6 | 安全审查协议：四阶段 review + SAFE TO INSTALL 判定 |
 | `yotta-recon` | 元析 | `@yottameta/yotta-recon` | 0.1.7 | 跨智能体网络侦察：零依赖端口/服务/版本指纹探测 |
-| `yotta-guardian` | 元盾 | `@yottameta/yotta-guardian` | 0.1.5 | 跨智能体危险调用拦截护栏：确定性规则 + 可插拔意图验证 |
+| `yotta-guardian` | 元盾 | `@yottameta/yotta-guardian` | 0.1.6 | 跨智能体危险调用拦截护栏：确定性规则 + 可插拔意图验证 |
 | `yotta-humanize` | 元真 | `@yottameta/yotta-humanize` | 0.2.1 | 去 AI 味中文写作编辑：检测器引擎 |
-| `yotta-logs` | 元史 | `@yottameta/yotta-logs` | 0.3.1 | 跨智能体历史会话 / 记忆日志检索 |
+| `yotta-logs` | 元史 | `@yottameta/yotta-logs` | 0.3.2 | 跨智能体历史会话 / 记忆日志检索 |
 | `yotta-security-testing` | 元测 | `@yottameta/yotta-security-testing` | 0.3.1 | 有纪律的 AI 安全测试方法论 + Scope Guard 五道防线 |
 | `yotta-agent-hardening` | 元安全 | `@yottameta/yotta-agent-hardening` | 0.2.6 | 防御向 AI 智能体自身安全加固（配置面静态扫描三域） |
-| `yotta-skill-creator` | 元造 | `@yottameta/yotta-skill-creator` | 0.1.2 | 工坊「造」：端到端造技能脚手架 |
+| `yotta-skill-creator` | 元造 | `@yottameta/yotta-skill-creator` | 0.1.3 | 工坊「造」：端到端造技能脚手架 |
 | `yotta-publish-guard` | 元守 | `@yottameta/yotta-publish-guard` | 0.4.2 | 工坊「守」：发布前守门（版本四件对齐 + 三通道查重） |
-| `yotta-logwatch` | 元察 | `@yottameta/yotta-logwatch` | 0.2.9 | 安全日志分析检测引擎（攻击链识别/告警聚合） |
-| `yotta-intel` | 元情 | `@yottameta/yotta-intel` | 0.2.0 | 威胁情报 IOC 提取与规范化引擎（STIX-lite） |
-| `yotta-secret` | 元钥 | `@yottameta/yotta-secret` | 0.2.0 | 密钥 / 凭据泄露源头扫描引擎 |
+| `yotta-logwatch` | 元察 | `@yottameta/yotta-logwatch` | 0.3.0 | 安全日志分析检测引擎（攻击链识别/告警聚合） |
+| `yotta-intel` | 元情 | `@yottameta/yotta-intel` | 0.2.1 | 威胁情报 IOC 提取与规范化引擎（STIX-lite） |
+| `yotta-secret` | 元钥 | `@yottameta/yotta-secret` | 0.2.1 | 密钥 / 凭据泄露源头扫描引擎 |
 | `yotta-chain` | 元链 | `@yottameta/yotta-chain` | 0.1.4 | 供应链依赖校验引擎 |
 | `yotta-triage` | 元鉴 | `@yottameta/yotta-triage` | 0.1.3 | 恶意样本静态初筛引擎（哈希/熵/字符串/PE-ELF） |
-| `yotta-prompt` | 元引 | `@yottameta/yotta-prompt` | 0.2.2 | 意图澄清 + 生态入口（常驻注入，map 串联元阁全家） |
-| `yotta-verify` | 元信 | `@yottameta/yotta-verify` | 0.3.2 | 装前安全扫描器 + audited 徽章（prompt injection + 危险模式） |
+| `yotta-prompt` | 元引 | `@yottameta/yotta-prompt` | 0.2.3 | 意图澄清 + 生态入口（常驻注入，map 串联元阁全家） |
+| `yotta-verify` | 元信 | `@yottameta/yotta-verify` | 0.3.3 | 装前安全扫描器 + audited 徽章（prompt injection + 危险模式） |
 | `yotta-compliance` | 元规 | `@yottameta/yotta-compliance` | 0.1.0 | 本地确定性合规条款审查（PIPL + 数据出境规则包 / 证据锚点 / 框架覆盖分级） |
 | `yotta-mirror` | 元镜 | `@yottameta/yotta-mirror` | 0.1.0 | 本地确定性学情分析（知识点掌握率 / 分层与临界生 / 薄弱点诊断，学生数据不出本机） |
 | `yotta-lesson` | 元案 | `@yottameta/yotta-lesson` | 0.1.0 | 本地确定性教案骨架与覆盖校验（课标映射 / 环节时间精确分配 / 缺口检查） |

package/skills/yotta-skills/scripts/yotta-skills-mcp.py

@@ -26,7 +26,7 @@ import subprocess
 import sys
 from pathlib import Path
 
-VERSION = "0.19.21"
+VERSION = "0.19.22"
 TOOL_NAME = "yotta-skills"
 CN_NAME = "元阁"
 MCP_PROTOCOL_MODERN = "2026-07-28"

package/skills/yotta-skills/skills.json

@@ -7,7 +7,7 @@
       "slug": "yotta-anti-shallow",
       "name": "元谨",
       "pkg": "@yottameta/yotta-anti-shallow",
-      "version": "1.4.0",
+      "version": "1.4.1",
       "desc": "防 AI 敷衍规则引擎（深入分析/根因追溯时激活）"
     },
     {
@@ -21,14 +21,14 @@
       "slug": "yotta-workflow",
       "name": "元序",
       "pkg": "@yottameta/yotta-workflow",
-      "version": "0.4.1",
+      "version": "0.4.2",
       "desc": "跨会话/跨项目通用工作流协议（状态就近存）"
     },
     {
       "slug": "yotta-memory",
       "name": "元忆",
       "pkg": "@yottameta/yotta-memory",
-      "version": "0.17.1",
+      "version": "0.17.2",
       "desc": "有权限边界的文件式智能体记忆（FACT/PREF/BOUND/COMMIT）"
     },
     {
@@ -49,7 +49,7 @@
       "slug": "yotta-vetter",
       "name": "元审",
       "pkg": "@yottameta/yotta-vetter",
-      "version": "0.2.5",
+      "version": "0.2.6",
       "desc": "安全审查协议：四阶段 review + SAFE TO INSTALL 判定"
     },
     {
@@ -63,7 +63,7 @@
       "slug": "yotta-guardian",
       "name": "元盾",
       "pkg": "@yottameta/yotta-guardian",
-      "version": "0.1.5",
+      "version": "0.1.6",
       "desc": "跨智能体危险调用拦截护栏：确定性规则 + 可插拔意图验证"
     },
     {
@@ -77,7 +77,7 @@
       "slug": "yotta-logs",
       "name": "元史",
       "pkg": "@yottameta/yotta-logs",
-      "version": "0.3.1",
+      "version": "0.3.2",
       "desc": "跨智能体历史会话 / 记忆日志检索"
     },
     {
@@ -98,7 +98,7 @@
       "slug": "yotta-skill-creator",
       "name": "元造",
       "pkg": "@yottameta/yotta-skill-creator",
-      "version": "0.1.2",
+      "version": "0.1.3",
       "desc": "工坊「造」：端到端造技能脚手架"
     },
     {
@@ -112,21 +112,21 @@
       "slug": "yotta-logwatch",
       "name": "元察",
       "pkg": "@yottameta/yotta-logwatch",
-      "version": "0.2.9",
+      "version": "0.3.0",
       "desc": "安全日志分析检测引擎（攻击链识别/告警聚合）"
     },
     {
       "slug": "yotta-intel",
       "name": "元情",
       "pkg": "@yottameta/yotta-intel",
-      "version": "0.2.0",
+      "version": "0.2.1",
       "desc": "威胁情报 IOC 提取与规范化引擎（STIX-lite）"
     },
     {
       "slug": "yotta-secret",
       "name": "元钥",
       "pkg": "@yottameta/yotta-secret",
-      "version": "0.2.0",
+      "version": "0.2.1",
       "desc": "密钥 / 凭据泄露源头扫描引擎"
     },
     {
@@ -147,14 +147,14 @@
       "slug": "yotta-prompt",
       "name": "元引",
       "pkg": "@yottameta/yotta-prompt",
-      "version": "0.2.2",
+      "version": "0.2.3",
       "desc": "意图澄清 + 生态入口（常驻注入，map 串联元阁全家）"
     },
     {
       "slug": "yotta-verify",
       "name": "元信",
       "pkg": "@yottameta/yotta-verify",
-      "version": "0.3.2",
+      "version": "0.3.3",
       "desc": "装前安全扫描器 + audited 徽章（prompt injection + 危险模式）"
     },
     {