推荐 Skills 与安全安装方法

安装前的统一原则

第三方 Skill 本质上是代码。先查看来源、维护状态、SKILL.md、依赖、权限和是否需要 API Key；用安全扫描和脱敏样本验证。不要一次批量安装所有推荐项，也不要让安装脚本自动获得不必要的系统权限。

常用 Skill 速查

Skill	适合场景	使用前检查
Agent Browser	打开网页、执行交互、采集页面信息	网站授权、操作范围、是否会提交表单
PDF / Word / PPT / Excel	读取、生成和编辑办公文件	原件备份、字体模板、公式与版式验收
Local Whisper	会议、访谈、课程音频转写	本地模型空间、语言、隐私与转写抽查
yt-dlp-downloader	在获得授权时下载视频、音频或字幕	内容版权、站点规则和存储空间
Web Search	查找近期公开资料并整理来源	时间范围、可信来源和引用链接
Obsidian	搜索、整理和写入本地笔记库	Vault 路径、写入范围和版本备份
Skill Scanner	安装前检查脚本、依赖和高风险行为	扫描结果不能替代人工审查
self-improvement	沉淀偏好、错误和更优做法	不记录密码、客户数据和敏感身份信息
Find Skills	根据任务需求查找候选 Skill	比较来源、维护状态和权限要求
Frontend Design	制作落地页、活动页和界面原型	明确品牌方向、响应式和可访问性验收

典型用法

把网页信息整理成带来源的摘要

使用浏览或搜索类 Skill 时，限定站点、时间范围和输出字段；涉及登录后的操作，先说明允许查看和禁止提交的范围。

把音频转成可复核的文字材料

要求输出完整转写、时间戳或说话人区分，再基于转写生成摘要。专有名词、数字和行动项必须回听抽查。

管理本地知识笔记

先限制允许读取和写入的 Vault 目录，按日期生成新文件，不覆盖原笔记；写入后列出新增和修改的文件。

安装前做基础扫描

扫描可疑依赖、硬编码路径、外部命令和高权限操作。发现高风险项时停止安装，记录原因并更换来源。

生成具有明确视觉方向的前端页面

先给出目标用户、品牌性格、内容层级、参考样本和不希望出现的视觉套路，再检查移动端、键盘操作、错误状态和加载性能。

安装完成后的验收

1. 记录 Skill 名称、来源、版本、依赖和配置项。
2. 只启用当前任务需要的 Skill。
3. 用脱敏样本执行最小任务，核对读写文件和网络访问。
4. 不再使用时关闭；需要彻底移除时从 Skills 页面卸载。
5. 更新后重新验证，不把旧版本结论直接套用到新版本。