企业官网建设流程全解析

skills4/skills 技能安全合规检查指南：安装前后 3 步自查

【免费下载链接】skillsSkills Catalog for Codex项目地址: https://gitcode.com/GitHub_Trending/skills4/skills

skills4/skills 是 Codex 的 Agent Skills 技能目录，收录了指令、脚本与资源打包成的可复用技能。本篇带你按「装前判断 → 装中动作 → 装后复查」的路线做一次 skills 安全合规检查，把数据和权限风险挡在门外。

1. 装前判断：先看清技能的出身和边界

装技能前先过三道关，顺序不能乱：出身 → 许可证 → 权限边界。

第一关：出身。目录里分三类技能，可信度和稳定性递减：

• skills/.system/下的技能会随最新版 Codex 自动装上，无需操作；
• skills/.curated/下的技能经过人工筛选，是日常使用的首选来源；
• skills/.experimental/下的技能还在试验阶段，行为最少被验证，装之前要加倍谨慎。

第二关：许可证。每个技能目录里都有独立的LICENSE.txt，装前花十秒看一眼，确认它的授权范围覆盖你的使用场景（个人、团队还是商业项目），避免装完才发现不能商用。

第三关：权限边界。翻一下技能的说明文档和脚本：它要读什么数据、调用哪些外部服务、会不会把内容发到仓库之外。说明含糊或权限明显超出功能所需（比如一个排版技能却要求读整个项目目录）的，直接跳过。

2. 装中动作：用标准命令，别手动拷贝

在 Codex 里用$skill-installer安装，而不是自己复制文件夹。curated 技能直接按名称装即可，例如安装处理 PR 评论的技能：

$skill-installer gh-address-comments

experimental 技能则需要额外指定技能所在文件夹，或提供对应的 GitHub 目录 URL，否则安装器默认只查 curated 目录。装完之后记得重启 Codex，新技能才会被加载。走标准安装流程的好处是来源可追溯——你装的是哪个目录、哪个版本，回头看一眼命令就知道。

3. 装后复查：按这份清单过一遍

技能装上后，花十分钟对照下面 4 条自查，任何一条不满足都建议先卸载再排查：

1. 数据不外流：跟踪技能实际处理的数据路径，确认用户数据只用于声明的用途，没有被悄悄上传到第三方服务；传输与存储环节留意是否有加密。
2. 权限不越界：对照 SKILL.md 声明的功能，检查脚本实际申请的操作范围是否一致，最小够用即可，多余的要么不装，要么联系作者优化。
3. 许可证无缺失：技能目录内存在LICENSE.txt，且内容与你的合规要求匹配。
4. 输出可审查：让技能跑几个真实任务，检查生成内容是否可控、有无可疑提示词或指令残留。

收尾：把检查变成习惯

合规不是一次性的动作，而是随技能版本走的例行检查——每次升级或新增技能时重走一遍上面的路线。如果你发现了漏洞或对模型输出有疑虑，参考 contributing.md 中的安全章节，直接发邮件到security@openai.com，团队会及时跟进处理。

【免费下载链接】skillsSkills Catalog for Codex项目地址: https://gitcode.com/GitHub_Trending/skills4/skills