@yottameta/yotta-skills 0.25.0 → 0.26.0

package/CHANGELOG.md

@@ -1,3 +1,17 @@
+## v0.26.0 (2026-10-02)
+
+- 新增本机技能枢纽面板 `yotta-skills view`（默认 `127.0.0.1:8789`，`--port` 可改，仅本机监听）：六视图（概览 / 宿主矩阵 / 收编向导 / 链接与体检 / 记录与回滚 / 路由与编排）+ 高级 CLI 页；全部包装既有 Hub / 快照 / 证据 / 路由 lib，不建平行状态。
+- 面板动作边界：收编 / 链接 / 解除 / 回滚可执行（预览 → 确认 → 执行 → 证据）；install / update / refresh 只给复制命令；收编逐项运行元信扫描，high / critical 阻断，面板不提供跳过 / 降级（`--skip-scan` / `--allow-unverified` 仍只在 CLI 显式使用）。
+- 安全壳：Host / Origin / Sec-Fetch-Site 校验、严格 CSP / no-store / noindex、写操作会话令牌、256KB 请求体上限、写操作串行、破坏性确认串；零远程资源、零遥测，不读元忆、不改宿主配置。
+- 新增 `lib/hub-view-server.js`（HTTP 服务与 API）与 `lib/hub-scan.js`（CLI / 面板共用元信扫描发现；CLI 同名逻辑改为委托，行为不变）；`assets/view.html` 为前端单一真源，`tools/sync_hub_view_html.py` 嵌入 CLI 并提供 `--check` 漂移门禁（已接入 `preflight-publish.py`）；`tools/check_hub_view.js` 做 1440 / 390 浏览器验收。
+- 快照回读增强（additive）：`validateSnapshot` / `listSnapshots` 输出 `source` / `createdAt`，供面板回滚定位来源目录；CLI 原字段不变。
+- 断链修复：Hub 真源删除后遗留的 junction / symlink 现在会被识别为 `broken`（读取链接值判定是否指向 Hub），`hub unlink` 可 fail-closed 清理；此前面向断链的 `unlink` 会因目标不可解析被误拒。
+- 测试：`test/hub-view-server.test.js` 17/17、`test/hub-view-cli.test.js` 2/2、`test/hub-view-embedding.test.js` 3/3；全量 312/312。
+
+## v0.25.1 (2026-10-02)
+
+- 家族清单同步：元质 `yotta-code-quality` 0.4.3（分发副本 frontmatter `description` 单引号标量修复，严格 YAML 解析器不再跳过）。
+
 ## v0.25.0 (2026-10-02)
 
 - 新增本机技能 Hub（标准 `yotta-skills-hub/v1`）：`hub hosts` 只读发现本机宿主与技能目录（文件系统优先，不读元忆 / 注册表）；`hub install` / `hub update` 把技能装到 `~/.yottaskills/hub` 单点真源；`hub adopt --scan|--apply` 收编各宿主现有技能（默认复制保真 + 原目录保留）；`hub refresh <slug> --from <path>` 手动同步非元阁来源技能；`hub link --all` 用 Windows junction / POSIX symlink 分发到全部已发现宿主；`hub unlink` fail-closed 只删链接；`hub status` 显示来源、版本、链接与异常；`hub doctor` 检查断链 / 目标缺失 / slug 不一致 / 目录权限。

package/README.md

@@ -214,14 +214,14 @@ bash install.sh --list           # list agents -> default directories
 
 - `install.sh` places the **元阁 installer skill** itself so an agent can invoke the family installer. To install the 27 skills, run `node bin/yotta-skills.js install --agent <name>` (or `--dir <path>`).
 
-### Method 5: OpenClaw / QClaw (host-native commands)
+### Method 5: OpenClaw (host-native commands)
 
 ```text
 openclaw skills install @yottameta/yotta-skills   # install (with ClawHub security audit)
 openclaw skills update @yottameta/yotta-skills    # update
 ```
 
-- QClaw is built on OpenClaw; both share the `~/.openclaw/skills` directory, which `--inventory` / `--reindex` now recognize (including `OPENCLAW_STATE_DIR` override).
+- OpenClaw uses the `~/.openclaw/skills` directory, which `--inventory` / `--reindex` recognize (including the `OPENCLAW_STATE_DIR` override).
 - Host-native commands keep ClawHub's security-audit card and update tracking (`openclaw skills update` only covers ClawHub-tracked installs).
 
 > Method 1 uses the npm registry (npmmirror / npmjs) and does not depend on GitHub; Methods 2/3 use GitHub and may fail without a proxy in China.

package/README.zh-CN.md

@@ -219,14 +219,14 @@ bash install.sh --list           # 列出智能体 -> 默认目录
 
 - `install.sh` 把「元阁安装器技能」本身装进智能体 / 目录，让代理能调用元阁；要装齐 27 个技能，再执行 `node bin/yotta-skills.js install --agent <name>`（或 `--dir <path>`）。
 
-### 方式五：OpenClaw / QClaw（宿主官方命令）
+### 方式五：OpenClaw（宿主官方命令）
 
 ```text
 openclaw skills install @yottameta/yotta-skills   # 安装（含 ClawHub 安全审计）
 openclaw skills update @yottameta/yotta-skills    # 更新
 ```
 
-- QClaw 基于 OpenClaw，两者共用 `~/.openclaw/skills` 技能目录；元阁的 `--inventory` / `--reindex` 已能识别该目录（含 `OPENCLAW_STATE_DIR` 覆盖）。
+- OpenClaw 使用 `~/.openclaw/skills` 技能目录；元阁的 `--inventory` / `--reindex` 已能识别该目录（含 `OPENCLAW_STATE_DIR` 覆盖）。
 - 走宿主官方命令可保留 ClawHub 安全审计卡与更新追踪（`openclaw skills update` 只覆盖 ClawHub 追踪安装的技能）。
 
 > 方式一走 npm 源（npmmirror / npmjs），不依赖 GitHub；方式二 / 三走 GitHub，国内无代理可能失败。

package/SKILL.md

@@ -1,7 +1,7 @@
 ---
 name: yotta-skills
-version: 0.25.0
-description: 元阁 -- 元阁全家技能的总编排策划 + 编排路由 + 一键安装器 + 技能盘点 + 本机技能 Hub + 运行时 hook 适配。Hub 层：hub hosts 只读发现本机已装智能体与技能目录（文件系统优先，不读元忆）；hub install / update 把技能装到 ~/.yottaskills/hub 单点真源；hub link --all 用 Windows junction / POSIX symlink 分发到全部已发现宿主；hub unlink 只删链接、fail-closed；hub status 显示来源、版本、链接与异常；兼容 agentskills.io 技能格式、Vercel Labs skills CLI 的 .agents/skills 通用目录与 .skill-lock.json v3（只读）。路由层：--route / route_request 按需求摘要给出候选组合、调用顺序、角色、置信度、依据、已装/缺失状态与安装命令，只建议不自动安装；非元阁家族已装技能按 frontmatter description 机械匹配作并列候选（标注来源与未扫描状态，只读不自动调用）；M1 记忆裁决层：usage enable/mark 本地结构化记录 + decide-memory / MCP decide_memory 输出 promote / hold / demote 只读建议（需授权 provider；只建议不删除、不自动写元忆）；策划层：按场景给出「该组合哪几个元技能、组合强在哪、怎么组合使用（安装与调用均由用户确认后执行）」；安装层：一条命令把 YottaMeta 已发布的全部 yotta-* 技能装进指定智能体或目录（默认 --pin 锁死清单精确版本）；盘点层：--inventory / --reindex 扫描本机已装技能生成/更新注册表，新装技能自动被发现（install/update 后自动 re-index，会话开工只建议跑本地 --reindex；更新检查走手动 --check 或后台 --check --scheduled）；运行时适配层：hook capabilities / evaluate / bind / unbind 按宿主能力矩阵执行六个统一事件并留证降级，元信 before_install 已接入安装管线；自包含零依赖，不依赖任何元技能；MCP 按需加载且需用户确认后写入配置（可选：list_installed_skills/describe_skill/reindex/route_request/decide_memory，不常驻，未加载降级 CLI）。支持 --list 清单 / --route 路由 / usage 使用记录 / decide-memory 记忆裁决 / hub 技能 Hub / install / update / update --check（只读检查）/ update --check --scheduled（后台周检）/ update --auto（家族自动更新）/ hook 适配 / --inventory / --reindex / --dry-run 预览 / --pin（默认）/ --range。触发：需要批量安装或更新元阁全家技能、单点安装并分发到多个智能体、查看本机装了哪些智能体与技能目录、接管非元技能、按场景组合多个元技能、路由或判断该用哪些技能、判断哪些技能值得长期记忆、查看或记录技能使用信号、盘点或查看本机已装技能、重扫技能注册表、给某个智能体或目录一次性铺齐 yotta-* 技能、评估宿主 hook 能力、预览安装清单、锁版本安装、或用户说 元阁/装全家/一次装齐/yotta-skills/install-all/更新全家/检查更新/自动更新/hook 适配/该用哪个技能/路由技能/记忆裁决/技能该不该记住/盘点技能/查看已装技能/技能 Hub/单点安装/链接分发/接管技能 等。边界（Do NOT trigger）：只做「组合策划 + 静态路由建议 + M1 记忆裁决只读建议 + 清单 + 下载 + 落位 + 汇总 + 盘点 + re-index + Hub 本机真源与链接分发 + hook 适配」，不含技能本体、不做技能内容开发、不 -g 污染全局、不自动安装缺失技能、不静默写宿主配置或全局记忆、不自动删除技能或记忆；家族安装先自举或调用元信装前门禁，DO NOT INSTALL 阻断，非元阁家族包不自动安装。
+version: 0.26.0
+description: 元阁 -- 元阁全家技能的总编排策划 + 编排路由 + 一键安装器 + 技能盘点 + 本机技能 Hub + 运行时 hook 适配。Hub 层：hub hosts 只读发现本机已装智能体与技能目录（文件系统优先，不读元忆）；hub install / update 把技能装到 ~/.yottaskills/hub 单点真源；hub link --all 用 Windows junction / POSIX symlink 分发到全部已发现宿主；hub unlink 只删链接、fail-closed；hub status 显示来源、版本、链接与异常；view 启动本机技能枢纽面板（默认 127.0.0.1:8789，六视图 + 高级 CLI 页，写操作需页面令牌与确认）；兼容 agentskills.io 技能格式、Vercel Labs skills CLI 的 .agents/skills 通用目录与 .skill-lock.json v3（只读）。路由层：--route / route_request 按需求摘要给出候选组合、调用顺序、角色、置信度、依据、已装/缺失状态与安装命令，只建议不自动安装；非元阁家族已装技能按 frontmatter description 机械匹配作并列候选（标注来源与未扫描状态，只读不自动调用）；M1 记忆裁决层：usage enable/mark 本地结构化记录 + decide-memory / MCP decide_memory 输出 promote / hold / demote 只读建议（需授权 provider；只建议不删除、不自动写元忆）；策划层：按场景给出「该组合哪几个元技能、组合强在哪、怎么组合使用（安装与调用均由用户确认后执行）」；安装层：一条命令把 YottaMeta 已发布的全部 yotta-* 技能装进指定智能体或目录（默认 --pin 锁死清单精确版本）；盘点层：--inventory / --reindex 扫描本机已装技能生成/更新注册表，新装技能自动被发现（install/update 后自动 re-index，会话开工只建议跑本地 --reindex；更新检查走手动 --check 或后台 --check --scheduled）；运行时适配层：hook capabilities / evaluate / bind / unbind 按宿主能力矩阵执行六个统一事件并留证降级，元信 before_install 已接入安装管线；自包含零依赖，不依赖任何元技能；MCP 按需加载且需用户确认后写入配置（可选：list_installed_skills/describe_skill/reindex/route_request/decide_memory，不常驻，未加载降级 CLI）。支持 --list 清单 / --route 路由 / usage 使用记录 / decide-memory 记忆裁决 / hub 技能 Hub / install / update / update --check（只读检查）/ update --check --scheduled（后台周检）/ update --auto（家族自动更新）/ hook 适配 / --inventory / --reindex / --dry-run 预览 / --pin（默认）/ --range。触发：需要批量安装或更新元阁全家技能、单点安装并分发到多个智能体、查看本机装了哪些智能体与技能目录、接管非元技能、按场景组合多个元技能、路由或判断该用哪些技能、判断哪些技能值得长期记忆、查看或记录技能使用信号、盘点或查看本机已装技能、重扫技能注册表、给某个智能体或目录一次性铺齐 yotta-* 技能、评估宿主 hook 能力、预览安装清单、锁版本安装、或用户说 元阁/装全家/一次装齐/yotta-skills/install-all/更新全家/检查更新/自动更新/hook 适配/该用哪个技能/路由技能/记忆裁决/技能该不该记住/盘点技能/查看已装技能/技能 Hub/单点安装/链接分发/接管技能/技能枢纽面板/图形化面板 等。边界（Do NOT trigger）：只做「组合策划 + 静态路由建议 + M1 记忆裁决只读建议 + 清单 + 下载 + 落位 + 汇总 + 盘点 + re-index + Hub 本机真源与链接分发 + hook 适配」，不含技能本体、不做技能内容开发、不 -g 污染全局、不自动安装缺失技能、不静默写宿主配置或全局记忆、不自动删除技能或记忆；家族安装先自举或调用元信装前门禁，DO NOT INSTALL 阻断，非元阁家族包不自动安装。
 license: MIT
 metadata:
   zh_name: 元阁
@@ -146,12 +146,12 @@ npx -y @yottameta/yotta-skills --inventory
 # 重扫注册表（会话开工 / 新装技能后，增量合并变化）
 npx -y @yottameta/yotta-skills --reindex
 
-# OpenClaw / QClaw（QClaw 基于 OpenClaw）：走宿主官方技能命令，保留安全审计与更新追踪
+# OpenClaw：走宿主官方技能命令，保留安全审计与更新追踪
 openclaw skills install @yottameta/yotta-skills
 openclaw skills update @yottameta/yotta-skills
 ```
 
-> **OpenClaw / QClaw 用户**：技能安装与更新走宿主官方命令 `openclaw skills install|update @yottameta/<slug>`，
+> **OpenClaw 用户**：技能安装与更新走宿主官方命令 `openclaw skills install|update @yottameta/<slug>`，
 > 以保留宿主的 ClawHub 安全审计卡与更新追踪；元阁的 `--inventory` / `--reindex` 已能识别 `~/.openclaw/skills`（含 `OPENCLAW_STATE_DIR` 覆盖）。
 
 ## 技能 Hub（单点安装 + 链接分发）
@@ -177,6 +177,9 @@ npx -y @yottameta/yotta-skills hub link --all
 npx -y @yottameta/yotta-skills hub status
 npx -y @yottameta/yotta-skills hub doctor
 
+# 6) 本地面板：预览、确认、执行、留证（仅 127.0.0.1:8789）
+npx -y @yottameta/yotta-skills view
+
 # 只删链接，不动 Hub 真源（真目录 / 外部链接一律拒绝）
 npx -y @yottameta/yotta-skills hub unlink --all
 ```
@@ -215,6 +218,7 @@ npx -y @yottameta/yotta-skills hub unlink --all
 | `hub unlink --agent <id> \| --dir <dir> \| --all` | 只删除链接；lstat + readlink 校验目标在 Hub 内，fail-closed |
 | `hub status [--json]` | 查看 Hub 技能来源、版本、链接宿主、异常链接与宿主发现摘要 |
 | `hub doctor [--json]` | 检查断链 / Hub 目标缺失 / slug 不一致 / 目录权限；异常时退出码 1 |
+| `view [--port <n>]` | 启动本机技能枢纽面板（默认 `127.0.0.1:8789`，仅本机监听）：六视图（概览 / 宿主矩阵 / 收编向导 / 链接与体检 / 记录与回滚 / 路由与编排）+ 高级 CLI 页；可执行收编 / 链接 / 解除 / 回滚，写操作需页面会话令牌与破坏性确认，install / update / refresh 只给命令 |
 | `--route <需求摘要>` | 编排路由：输出组合、调用顺序、技能角色、置信度、依据、已装/缺失状态与安装建议；可选本地 provider 增补 / 重排并返回 `confidence` / `reasons` / `summary` / `alternatives`；`--json` 输出 JSON、`--project` 附扫项目级目录 |
 | `usage status` | 查看本地使用记录开关与计数；默认关闭，不创建文件 |
 | `usage enable` / `usage disable` | 开启 / 关闭 `--route` 的结构化使用记录；不记录需求原文 |