核心用法
该Skill提供了一套完整的手工赏金狩猎方法论，核心围绕GitHub CLI (gh) 展开。主要功能包括：
1. 系统化赏金搜索：通过多维度标签组合（💎 Bounty、$500、bounty）发现高价值机会，支持按创建时间或更新时间排序以捕捉新鲜或活跃的目标
2. 竞争情报分析：使用gh search prs和gh pr list检查现有PR数量，评估竞争强度（低/中/高/极端），避免陷入bot农场的无效竞争
3. 虚假仓库识别：内置2026年6月验证的虚假仓库黑名单，通过仓库年龄、星标/分叉比例、PR生成速度等启发式规则识别bounty farm
4. 无克隆PR工作流：针对大型仓库提供基于GitHub API的直接PR创建方案（PUT contents或blob/tree/commit），无需完整克隆即可提交修复
Skill特别强调依赖项专项赏金狩猎的子工作流，专注于版本冲突、缺失依赖、模块导入错误等特定类型的问题，配有详细的搜索查询和修复模式参考。
显著优点
- 实战经验沉淀：包含大量经过验证的真实案例（如2026年6月14日的扫描报告），提供可复制的分析框架和决策逻辑
- 风险控制意识强：建立完整的"Bounty Quality Score"评分体系（价值+语言匹配+竞争+新鲜度），帮助理性评估投入产出比
- 安全无隐患：纯Markdown文档型Skill，无可执行代码，不涉及敏感权限操作，仅调用公开GitHub API
- 工作流闭环完整：从搜索、分析、提交到后续的PR状态追踪、防过期提醒、Obsidian笔记管理形成完整链条
- 反欺诈能力突出：维护了超过20个确认虚假仓库的实时黑名单，并总结bot farm的多维检测特征
潜在缺点与局限性
- 依赖GitHub CLI环境：要求用户本地配置
gh认证，且存在GH_TOKEN环境变量冲突等已知陷阱 - 手动操作为主：虽提供Cron友好的扫描命令，但核心的竞争分析、价值评估仍需人工判断，自动化程度有限
- 时效性敏感：虚假仓库名单、高价值机会窗口变化快速，需要持续维护更新（文档建议定期更新confirmed-fake-repos.md）
- 技术门槛较高：要求用户对GitHub工作流、依赖管理、多语言项目结构有较深入理解，新手可能难以快速上手
- 地域/语言局限：主要聚焦Python、TypeScript、JavaScript、Go、PHP等主流语言，对其他语言生态覆盖不足
适合的目标群体
- 有一定开源贡献经验的中高级开发者：熟悉Git工作流，能独立分析依赖冲突和代码问题
- 时间灵活的独立开发者：能够监控48小时新鲜窗口，及时响应高价值机会
- Obsidian用户：Skill深度绑定Obsidian笔记系统用于PR追踪，使用该工具的用户体验更佳
- 追求美元收入的技术赏金猎人：明确以$50+ USD为目标，而非积分、代币或纯兴趣驱动
使用风险
- 认证配置风险：
GH_TOKEN环境变量与keyring认证冲突可能导致401错误，需严格遵循unset GH_TOKEN前置步骤 - TIRITH安全扫描限制：管道到Python解释器的模式（
gh ... | python3 -c）会被安全工具阻止，需改用--jq或临时文件方案 - Cron模式限制：自动化扫描时
execute_code工具不可用，需将处理逻辑内联到shell命令 - API速率限制：频繁搜索可能触发GitHub API限制，建议合理控制扫描频率
- 虚假赏金诈骗：即使使用Skill的检测规则，仍需保持警惕——部分bounty farm会进化规避特征
- PR自动关闭风险：部分仓库（如langchain）要求issue分配后才能提交PR，否则会被自动关闭