@yottameta/yotta-vetter 0.1.0

package/CHANGELOG.md

@@ -0,0 +1,14 @@
+# 更新日志
+
+## v0.1.0 (2026-08-26)
+
+YottaMeta 自有实现首版（重写自第三方技术包 skill-vetter v2.0.0，已完全重写，无上游代码）：
+
+- check：四阶段初审（来源/代码/权限/风险）+ 危险模式规则扫描 + SKILL VETTING REPORT 报告。
+- 危险模式规则与 yotta-security-audit（元安）共用（vetter_rules.py 为 audit_rules.py 的同步副本）。
+- 联动元安（V3）：初审发现 high 及以上，输出深度扫描引导命令。
+- source（V4）：GitHub 仓库来源半自动化检查（stars/更新时间/许可证），本地缓存，无网络自动降级。
+- 输出：文本 / --json / --report report.md（SKILL VETTING REPORT 模板，含结论/决策记录/时间戳/审查者）。
+- 零依赖（Python 3.8+ 标准库），Windows + Linux 通用，UTF-8 加固（GBK 控制台不崩）。
+- exit code 语义与元安一致：0=干净/仅 low，1=medium，2=high，3=critical，4=错误。
+- 版权：YottaMeta 纯自有 MIT + NOTICE 品牌声明；README 一行上游致谢。

package/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 YottaMeta
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

package/NOTICE

@@ -0,0 +1,11 @@
+# NOTICE — YottaMeta 品牌声明
+
+「YottaMeta」「元忆」「yotta-memory」「元审」「yotta-vetter」「元安」「元阁」以及本家族各技能名称（yotta-* 前缀）是 YottaMeta 的品牌与标识。
+
+本软件以 MIT 许可证开源，任何人均可自由使用、修改与分发。若你在其基础上制作派生作品：
+
+1. 不得继续使用 YottaMeta 或本家族名称（yotta-*、元忆、元审 等）作为派生作品的名称；
+2. 不得暗示派生作品由 YottaMeta 官方维护、认可或与之存在关联；
+3. 建议在派生作品中明确声明「与 YottaMeta 官方无关联」。
+
+上游来源致谢：本技能为 YottaMeta 全新实现，审查协议参考开源社区的 skill-vetter 类技能思路，无上游代码。

package/README.md

@@ -0,0 +1,64 @@
+<p align="center">
+  <img src="assets/banner.png" alt="yotta-vetter banner" width="100%" />
+</p>
+
+# yotta-vetter（元审）
+
+安装任何技能前的「安全审查协议」：四阶段 checklist（来源→代码→权限→风险）+ 轻量 checker，与元安（yotta-security-audit）联动深度扫描。
+
+- **check**：四阶段初审 + SKILL VETTING REPORT（含结论/决策记录/时间戳/审查者）。
+- **source**：GitHub 仓库来源半自动化检查，本地缓存，无网络自动降级。
+- **规则共用**：危险模式规则与元安同源（vetter_rules.py 为 audit_rules.py 的同步副本）。
+- **零依赖**：Python 3.8+ 标准库，Windows + Linux 通用。
+
+## 安装
+
+本技能为「技能包」：先装到你的智能体技能目录，再由智能体按需调用其中的脚本。
+
+### 方式一：npm（推荐，Windows / Linux / macOS）
+
+```bash
+npx -y @yottameta/yotta-vetter --agent codex      # 装到 Codex
+npx -y @yottameta/yotta-vetter --agent claude    # 装到 Claude Code
+npx -y @yottameta/yotta-vetter --agent cursor    # 装到 Cursor
+npx -y @yottameta/yotta-vetter -g                # 装到全部已知智能体
+npx -y @yottameta/yotta-vetter --list            # 查看智能体 → 默认目录
+```
+
+### 方式二：install.sh（Linux / macOS）
+
+```bash
+git clone https://github.com/YottaMeta/yotta-vetter.git
+cd yotta-vetter
+bash install.sh --agent codex        # 或 --agent claude / --dir <路径> / -g
+```
+
+### 方式三：手动复制
+
+把本仓库内容复制到你的智能体技能目录（Claude Code ~/.claude/skills/、Cursor ~/.cursor/skills/、Codex ~/.codex/skills/ 或 $CODEX_HOME/skills、通用 ~/.agents/skills/）。
+
+## 快速使用
+
+```bash
+python3 scripts/yotta_vetter.py check ./some-skill
+python3 scripts/yotta_vetter.py check ./some-skill --json --report report.md
+python3 scripts/yotta_vetter.py source github:YottaMeta/yotta-memory
+```
+
+## 与元安的关系
+
+- 元审负责「安装前初审 + 来源检查 + 结构化报告」；
+- 元安负责「技能深度扫描（13 类检测器）+ 系统安全基线」；
+- 元审发现 high 及以上会输出命令引导跑元安。
+
+## 测试
+
+```bash
+python3 scripts/test_yotta_vetter.py
+```
+
+## 许可证与品牌
+
+- MIT License（Copyright © 2026 YottaMeta），详见 LICENSE。
+- 品牌声明见 NOTICE：YottaMeta / 元忆 / 元审 / yotta-* 为 YottaMeta 品牌，派生作品须改名并声明无关联。
+- 上游来源致谢：审查协议参考开源社区 skill-vetter 类技能思路，实现为 YottaMeta 自有。

package/SKILL.md

@@ -0,0 +1,76 @@
+---
+name: yotta-vetter
+version: 0.1.0
+description: 元审 —— 安装任何技能前的安全审查协议：四阶段 checklist（来源→代码→权限→风险）+ 轻量 checker，与元安联动深度扫描。触发：安装/评估任何技能前、从市场或 GitHub 获取技能、审查他人分享的技能、任何「要装未知代码」的场景；或用户说 审查/审查技能/vetting/技能安全审查/检查技能 等。边界：checker 只做初审与报告，结论需人工确认；绝不代替最终决策。
+license: MIT
+---
+
+# 元审（yotta-vetter）
+
+安装任何技能前的「安全审查协议」——四阶段 checklist + 轻量检查脚本，与元安（yotta-security-audit）联动：
+
+- **check**：对技能目录做四阶段初审（来源/代码/权限/风险），输出 SKILL VETTING REPORT。
+- **source**：GitHub 仓库来源半自动化检查（stars/更新时间/许可证），本地缓存，无网络自动降级。
+- **联动元安**：初审发现 high 及以上风险时，输出一条命令引导跑 yotta-security-audit 深度扫描。
+
+零依赖（Python 3.8+ 标准库），Windows + Linux 通用。危险模式规则与元安共用（scripts/vetter_rules.py 为同步副本，勿手改）。
+
+## 何时使用
+
+- 从技能市场、GitHub 或任何来源获取技能后、安装前；
+- 评估他人分享的技能是否安全；
+- 需要给「要不要装这个技能」一个结构化决策依据时。
+
+**Do NOT trigger**：本工具只做审查与报告，不执行安装、修复或删除；最终结论必须由人类确认。
+
+## 四阶段审查协议
+
+| 阶段 | 检查点 | 对应命令/参考 |
+|---|---|---|
+| 1. 来源 | 来源平台、作者信誉、stars/更新时间、许可证 | source github:owner/repo；references/checklist.md |
+| 2. 代码 | SKILL.md 完整性、脚本清单、危险模式规则扫描 | check <path> |
+| 3. 权限 | 可执行位、全局可写、符号链接、需读取/写入/联网的范围 | check <path> |
+| 4. 风险 | 风险等级判定 + 结论 + 决策记录 | 报告中的 结论/决策记录 段 |
+
+## 快速使用
+
+```bash
+# 初审一个技能目录
+python3 scripts/yotta_vetter.py check ./some-skill
+
+# 输出 JSON + 生成报告文件
+python3 scripts/yotta_vetter.py check ./some-skill --json --report report.md
+
+# 只报告 high 及以上
+python3 scripts/yotta_vetter.py check ./some-skill --severity high
+
+# 来源半自动化检查（本地缓存，无网络自动降级）
+python3 scripts/yotta_vetter.py source github:YottaMeta/yotta-memory
+```
+
+## 结论判定
+
+| 风险等级 | 结论 | 动作 |
+|---|---|---|
+| critical | DO NOT INSTALL | 拒绝安装并人工复核 |
+| high | INSTALL WITH CAUTION | 人工复核后决定 |
+| medium | REVIEW REQUIRED | 复核后安装 |
+| low/info | SAFE TO INSTALL | 仍建议按协议完整审查 |
+
+exit code 与元安一致：0 = 干净/仅 low；1 = medium；2 = high；3 = critical；4 = 错误。
+
+## 与元安的分工
+
+- 元审 = 初审：快、轻，四阶段 checklist + 规则扫描 + 来源检查。
+- 元安 = 深度扫描：13 类检测器 + 系统安全基线。
+- 元审发现 high 及以上 → 输出命令引导跑元安深度扫描。
+
+## 自扫说明
+
+元审自身含来源检查功能（source 命令使用标准库 urllib 访问 GitHub API）。
+用元审或元安自扫时会命中 urllib 网络调用提示（medium），属预期行为，非风险。
+
+## 参考文档
+
+- references/checklist.md — 四阶段详细清单
+- references/vetting-report-template.md — SKILL VETTING REPORT 模板

package/bin/install.js

@@ -0,0 +1,163 @@
+#!/usr/bin/env node
+/**
+ * yotta-vetter（元审）跨平台安装器（YottaSkills）
+ * 用法:
+ *   npx -y @yottameta/yotta-security-audit --agent <name>  # 按智能体默认用户级目录安装（推荐）
+ *   npx -y @yottameta/yotta-security-audit --dir PATH      # 装到指定目录（用户改了目录的智能体）
+ *   npx -y @yottameta/yotta-security-audit -g              # 安装到全部已知智能体用户级目录
+ *   npx -y @yottameta/yotta-security-audit                 # 安装到检测到的项目级目录
+ *   npx -y @yottameta/yotta-security-audit --list          # 列出智能体 -> 默认目录
+ */
+'use strict';
+const fs = require('fs');
+const path = require('path');
+const os = require('os');
+
+const SKILL_NAME = 'yotta-vetter';
+const PKG_ROOT = path.join(__dirname, '..');
+
+// 智能体 -> 用户级默认技能目录（dirs 按优先级排列；--agent 装到第一个）
+// 依据官方文档：.agents/skills 并非通用目录，被 OpenCode / Cursor / Cline / Amp /
+// Kimi / Gemini CLI / GitHub Copilot 等读取；Claude Code 与 Codex 默认不读 .agents。
+const AGENT_DIRS = {
+  claude:    { label: 'Claude Code',      dirs: ['.claude/skills'] },
+  cursor:    { label: 'Cursor',           dirs: ['.cursor/skills', '.agents/skills'] },
+  codex:     { label: 'Codex',            dirs: ['.codex/skills'] }, // 特判：$CODEX_HOME/skills
+  gemini:    { label: 'Gemini CLI',       dirs: ['.gemini/skills', '.agents/skills'] },
+  goose:     { label: 'Goose',            dirs: ['.config/goose/skills', '.agents/skills'] },
+  amp:       { label: 'Amp',              dirs: ['.config/agents/skills', '.agents/skills'] },
+  opencode:  { label: 'OpenCode',         dirs: ['.config/opencode/skills'] }, // 特判：$XDG_CONFIG_HOME
+  windsurf:  { label: 'Windsurf',         dirs: ['.codeium/windsurf/skills'] },
+  workbuddy: { label: 'WorkBuddy',        dirs: ['.workbuddy/skills'] },
+  kiro:      { label: 'Kiro',             dirs: ['.kiro/skills'] },
+  trae:      { label: 'Trae Code CLI',    dirs: ['.traecli/skills'] },
+  'trae-cn': { label: 'Trae IDE（国内）',  dirs: ['.trae-cn/skills'] },
+  qwen:      { label: 'Qwen Code',        dirs: ['.qwen/skills'] },
+  comate:    { label: 'Comate 文心快码',   dirs: ['.comate/skills'] },
+  codebuddy: { label: 'CodeBuddy Code',   dirs: ['.codebuddy/skills'] },
+  kimi:      { label: 'Kimi Code CLI',    dirs: ['.kimi/skills'] },
+  agents:    { label: '通用 AGENTS.md',    dirs: ['.agents/skills'] },
+};
+
+// Codex 用户级目录特判：优先 $CODEX_HOME/skills，否则 ~/.codex/skills
+function codexUserDir() {
+  const base = process.env.CODEX_HOME || path.join(os.homedir(), '.codex');
+  return path.join(base, 'skills');
+}
+
+// OpenCode 用户级目录特判：优先 $XDG_CONFIG_HOME/opencode/skills，否则 ~/.config/opencode/skills
+function opencodeUserDir() {
+  const base = process.env.XDG_CONFIG_HOME || path.join(os.homedir(), '.config');
+  return path.join(base, 'opencode', 'skills');
+}
+
+function resolveUserDir(rel) {
+  if (rel === '.codex/skills') return codexUserDir();
+  if (rel === '.config/opencode/skills') return opencodeUserDir();
+  return path.join(os.homedir(), rel);
+}
+
+function installTo(dest) {
+  const target = path.join(dest, SKILL_NAME);
+  fs.mkdirSync(target, { recursive: true });
+  copyDir(PKG_ROOT, target, new Set(['package.json', 'bin', 'node_modules', '.git']));
+  console.log('installed -> ' + target);
+}
+
+function copyDir(src, dst, skip) {
+  for (const entry of fs.readdirSync(src, { withFileTypes: true })) {
+    if (skip.has(entry.name)) continue;
+    const s = path.join(src, entry.name);
+    const d = path.join(dst, entry.name);
+    if (entry.isDirectory()) {
+      fs.mkdirSync(d, { recursive: true });
+      copyDir(s, d, skip);
+    } else if (entry.isFile()) {
+      fs.copyFileSync(s, d);
+    }
+  }
+}
+
+function displayDir(rel) {
+  if (process.platform === 'win32') return '%USERPROFILE%\\' + rel.replace(/\//g, '\\');
+  return '~/' + rel;
+}
+
+function main() {
+  const args = process.argv.slice(2);
+  const isGlobal = args.includes('-g') || args.includes('--global');
+  const list = args.includes('--list') || args.includes('-l');
+  let explicitDir = null;
+  const di = args.indexOf('--dir');
+  if (di !== -1 && args[di + 1]) explicitDir = args[di + 1];
+  let agent = null;
+  const ai = args.indexOf('--agent');
+  if (ai !== -1 && args[ai + 1]) agent = String(args[ai + 1]).toLowerCase();
+
+  if (list) {
+    console.log('智能体 -> 默认技能目录（--agent <name> 装到第一个，用户级）:');
+    for (const [key, v] of Object.entries(AGENT_DIRS)) {
+      const resolved = v.dirs.map(displayDir);
+      console.log('  ' + key.padEnd(10) + v.label.padEnd(18) + resolved.join('、'));
+    }
+    console.log('\n说明：Windows 用 %USERPROFILE%，Linux/macOS 用 ~；仅收录有官方默认目录的智能体。');
+    console.log('改了目录的请用 --dir <路径>，不要依赖默认位置；若设置了 CODEX_HOME / XDG_CONFIG_HOME，安装自动以该变量为准。');
+    return;
+  }
+
+  if (explicitDir) { installTo(explicitDir); return; }
+
+  if (agent) {
+    const info = AGENT_DIRS[agent];
+    if (!info) {
+      console.log('未收录智能体: ' + agent + '。请用 --dir <路径> 指定技能目录。');
+      console.log('可用: ' + Object.keys(AGENT_DIRS).join(', '));
+      return;
+    }
+    installTo(resolveUserDir(info.dirs[0]));
+    console.log('完成。');
+    return;
+  }
+
+  if (isGlobal) {
+    const seen = new Set();
+    for (const v of Object.values(AGENT_DIRS)) {
+      for (const d of v.dirs) {
+        if (seen.has(d)) continue;
+        seen.add(d);
+        installTo(resolveUserDir(d));
+      }
+    }
+    console.log('完成。');
+    return;
+  }
+
+  const PROJECT_DIRS = [
+    '.claude/skills',
+    '.cursor/skills',
+    '.codex/skills',
+    '.config/goose/skills',
+    '.config/agents/skills',
+    '.opencode/skills',
+    '.codeium/windsurf/skills',
+    '.workbuddy/skills',
+    '.kiro/skills',
+    '.traecli/skills',
+    '.gemini/skills',
+    '.trae-cn/skills',
+    '.qwen/skills',
+    '.comate/skills',
+    '.codebuddy/skills',
+    '.kimi/skills',
+    '.agents/skills',
+  ];
+  let installedAny = false;
+  for (const d of PROJECT_DIRS) {
+    if (fs.existsSync(d)) { installTo(d); installedAny = true; }
+  }
+  if (!installedAny) {
+    console.log('未检测到项目级智能体目录。可手动复制，或用 --agent <name> / -g 装到用户级。');
+  }
+}
+
+main();

package/install.sh

@@ -0,0 +1,132 @@
+#!/usr/bin/env bash
+# yotta-vetter（元审）多智能体安装脚本（YottaSkills）
+# 用法:
+#   bash install.sh --agent <name>  # 按智能体默认用户级目录安装
+#   bash install.sh --dir <path>    # 装到指定目录（用户改过目录的智能体）
+#   bash install.sh -g              # 装到全部已知智能体用户级目录
+#   bash install.sh                  # 检测并安装到已存在的项目级目录
+#   bash install.sh --list          # 列出智能体 -> 默认目录
+set -euo pipefail
+
+SKILL_NAME="yotta-vetter"
+SOURCE_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+case "$(uname -s)" in
+  MINGW*|MSYS*)
+    SOURCE_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd -W)"
+    ;;
+esac
+
+# 智能体 -> 用户级默认目录（--agent 装到第一个）
+# .agents/skills 并非通用目录：OpenCode / Cursor / Cline / Amp / Kimi / Gemini CLI / GitHub Copilot 读取。
+# 判断当前环境：Windows Git Bash 用 %USERPROFILE%，Unix 用 ~
+_IS_WINDOWS=0
+case "$(uname -s)" in
+  MINGW*|MSYS*|CYGWIN*) _IS_WINDOWS=1 ;;
+esac
+dirs_for() {
+  case "$1" in
+    claude)     echo ".claude/skills" ;;
+    cursor)     echo ".cursor/skills .agents/skills" ;;
+    codex)      echo "__CODEX__" ;;
+    gemini)     echo ".gemini/skills .agents/skills" ;;
+    goose)      echo ".config/goose/skills .agents/skills" ;;
+    amp)        echo ".config/agents/skills .agents/skills" ;;
+    opencode)   echo "__OPENCODE__" ;;
+    windsurf)   echo ".codeium/windsurf/skills" ;;
+    workbuddy)  echo ".workbuddy/skills" ;;
+    kiro)       echo ".kiro/skills" ;;
+    trae)       echo ".traecli/skills" ;;
+    trae-cn)    echo ".trae-cn/skills" ;;
+    qwen)       echo ".qwen/skills" ;;
+    comate)     echo ".comate/skills" ;;
+    codebuddy)  echo ".codebuddy/skills" ;;
+    kimi)       echo ".kimi/skills" ;;
+    agents)     echo ".agents/skills" ;;
+    *)          return 1 ;;
+  esac
+}
+
+codex_dir() {
+  if [ -n "${CODEX_HOME:-}" ]; then printf '%s' "$CODEX_HOME/skills"; else printf '%s' "$HOME/.codex/skills"; fi
+}
+opencode_dir() {
+  if [ -n "${XDG_CONFIG_HOME:-}" ]; then printf '%s' "$XDG_CONFIG_HOME/opencode/skills"; else printf '%s' "$HOME/.config/opencode/skills"; fi
+}
+resolve_user() {
+  case "$1" in
+    __CODEX__)    codex_dir ;;
+    __OPENCODE__) opencode_dir ;;
+    *)            printf '%s' "$HOME/$1" ;;
+  esac
+}
+
+install_to() {
+  mkdir -p "$1/$SKILL_NAME"
+  cp -r "$SOURCE_DIR/." "$1/$SKILL_NAME/"
+  rm -rf "$1/$SKILL_NAME/.git"
+  echo "installed -> $1/$SKILL_NAME"
+}
+
+list() {
+  echo "智能体 -> 默认技能目录（--agent <name> 装到第一个，用户级）:"
+  for a in claude cursor codex gemini goose amp opencode windsurf workbuddy kiro trae trae-cn qwen comate codebuddy kimi agents; do
+    local dirs first
+    dirs="$(dirs_for "$a")"
+    first="${dirs%% *}"
+    case "$first" in
+      __CODEX__)    first=".codex/skills" ;;
+      __OPENCODE__) first=".config/opencode/skills" ;;
+    esac
+    if [ "$_IS_WINDOWS" = "1" ]; then
+      first="%USERPROFILE%\\${first//\//\\}"
+    else
+      first="~/$first"
+    fi
+    printf '  %-10s %s\n' "$a" "$first"
+  done
+  echo '说明：Windows 用 %USERPROFILE%，Linux/macOS 用 ~；仅收录有官方默认目录的智能体。'
+  echo '改了目录的请用 --dir <路径>，不要依赖默认位置；若设置了 CODEX_HOME / XDG_CONFIG_HOME，安装自动以该变量为准。'
+}
+
+main() {
+  local agent="" dir="" global=0 show_list=0
+  while [ $# -gt 0 ]; do
+    case "$1" in
+      --agent) shift; agent="${1:-}" ;;
+      --dir)   shift; dir="${1:-}" ;;
+      -g|--global) global=1 ;;
+      --list|-l) show_list=1 ;;
+      *) echo "未知参数: $1" >&2; exit 2 ;;
+    esac
+    shift
+  done
+
+  if [ "$show_list" = "1" ]; then list; return; fi
+  if [ -n "$dir" ]; then install_to "$dir"; echo "完成。"; return; fi
+  if [ -n "$agent" ]; then
+    local dirs first
+    if ! dirs="$(dirs_for "$agent")"; then
+      echo "未收录智能体: $agent。请用 --dir <路径> 指定技能目录。" >&2; exit 2
+    fi
+    first="${dirs%% *}"
+    install_to "$(resolve_user "$first")"; echo "完成。"; return
+  fi
+  if [ "$global" = "1" ]; then
+    echo "安装到全部已知智能体用户级目录..."
+    local dirs rel
+    for a in claude cursor codex gemini goose amp opencode windsurf workbuddy kiro trae trae-cn qwen comate codebuddy kimi agents; do
+      dirs="$(dirs_for "$a")"
+      for rel in $dirs; do install_to "$(resolve_user "$rel")"; done
+    done
+    echo "完成。"; return
+  fi
+  local installed=0 d
+  for d in .claude/skills .cursor/skills .codex/skills .config/goose/skills .config/agents/skills .opencode/skills .codeium/windsurf/skills .workbuddy/skills .kiro/skills .traecli/skills .gemini/skills .trae-cn/skills .qwen/skills .comate/skills .codebuddy/skills .kimi/skills .agents/skills; do
+    if [ -d "$d" ]; then install_to "$d"; installed=1; fi
+  done
+  if [ "$installed" = "0" ]; then
+    echo "未检测到项目级智能体目录。可用 --agent <name> / -g 装到用户级，或 --dir 指定。"
+  fi
+}
+
+main "$@"

package/package.json

@@ -0,0 +1,35 @@
+{
+  "name": "@yottameta/yotta-vetter",
+  "version": "0.1.0",
+  "description": "元审 —— 安装任何技能前的安全审查协议：四阶段 checklist + 轻量 checker，与元安联动深度扫描。",
+  "license": "MIT",
+  "keywords": [
+    "agent-skills",
+    "yotta-vetter",
+    "skill-vetting",
+    "security",
+    "supply-chain",
+    "yottaskills"
+  ],
+  "files": [
+    "SKILL.md",
+    "LICENSE",
+    "NOTICE",
+    "README.md",
+    "CHANGELOG.md",
+    "install.sh",
+    "references",
+    "scripts",
+    "bin"
+  ],
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/YottaMeta/yotta-vetter.git"
+  },
+  "publishConfig": {
+    "access": "public"
+  },
+  "bin": {
+    "yotta-vetter": "bin/install.js"
+  }
+}

package/references/checklist.md

@@ -0,0 +1,43 @@
+# 技能审查清单（四阶段）
+
+## 第一阶段：来源检查
+
+- [ ] 来源平台：技能市场 / GitHub / 其他
+- [ ] 作者信誉：已知作者 / 新作者 / 匿名
+- [ ] 下载量 / stars：高(>1000) / 中(100-1000) / 低(<100)
+- [ ] 最后更新：最近(30 天内) / 较近(90 天内) / 很久以前
+- [ ] 许可证：MIT / Apache / GPL / 其他 / 无
+- [ ] 是否已归档（不再维护）
+
+## 第二阶段：代码审查
+
+- [ ] SKILL.md 存在，frontmatter name 与目录名一致
+- [ ] 描述清晰、版本号有、目录结构合理
+- [ ] 危险模式扫描：下载后执行 / 动态求值 / 数据外传 / 凭据访问 / 持久化 / 提权 / 混淆
+- [ ] 安装钩子：npm 生命周期脚本、安装自定义命令类
+- [ ] 隐藏字符：零宽字符、双向覆盖字符
+- [ ] 依赖声明与必要性
+
+## 第三阶段：权限评估
+
+- [ ] 需要读取哪些文件（最小化？）
+- [ ] 需要写入哪些文件（最小化？）
+- [ ] 需要联网吗？目标地址可信吗？
+- [ ] 需要执行哪些命令？需要提权吗？
+- [ ] 可执行位 / 全局可写 / 符号链接是否异常
+
+## 第四阶段：风险判定与决策
+
+- [ ] 风险等级：低 / 中 / 高 / 极高
+- [ ] 结论：SAFE TO INSTALL / REVIEW REQUIRED / INSTALL WITH CAUTION / DO NOT INSTALL
+- [ ] 决策理由已记录
+- [ ] 时间戳与审查者已记录
+- [ ] 报告已保存（供后续追溯）
+
+## 注意事项
+
+1. 零信任：默认不信任，先验证再安装。
+2. 最小权限：只授予功能所需的权限。
+3. 持续监控：安装后仍关注行为与更新。
+4. 及时更新：关注安全通告。
+5. 备份恢复：重要系统做好备份。

package/references/vetting-report-template.md

@@ -0,0 +1,41 @@
+# SKILL VETTING REPORT 模板
+
+check --report 生成的报告遵循本结构；人工审查也可直接套用。
+
+```markdown
+# SKILL VETTING REPORT
+
+- 技能: <名称>
+- 路径: <目录>
+- 来源: <平台 / github:owner/repo>
+- 审查时间: <ISO 8601>
+- 审查者: <人名/角色>
+- 文件数: <N>
+
+## 结论
+
+- 风险等级: <LOW / MEDIUM / HIGH / CRITICAL>
+- 结论: <SAFE TO INSTALL / REVIEW REQUIRED / INSTALL WITH CAUTION / DO NOT INSTALL>
+- 决策记录: <一句决策理由>
+
+## 汇总
+
+| 级别 | 数量 |
+|---|---|
+| CRITICAL | N |
+| HIGH | N |
+| MEDIUM | N |
+| LOW | N |
+| INFO | N |
+
+## 发现
+
+逐条：级别 · 规则 · 位置 · 描述
+
+## 决策记录
+
+- [ ] 已人工复核发现项
+- [ ] 已确认来源可信度
+- [ ] 已确认权限范围最小化
+- [ ] 审查结论与理由已记录（时间戳/审查者）
+```