Policy Lawyer

核心用法

policy-lawyer 是一个围绕 references/policies.md 构建的命令行工具，旨在为团队提供快速、权威的政策查询能力。用户可通过 Python 脚本执行以下操作：

• --list-topics：列出政策文档中的所有章节标题
• --topic <name>：按名称（不区分大小写）检索特定政策章节
• --keyword <term>：全文搜索关键词，返回所有匹配行
• --policy-file <path>：指定其他工作区的政策文件路径，实现跨团队政策对比

典型场景包括：起草公告前复核社区规范、回应争议时引用权威条款、或对比不同工作区的政策差异。

显著优点

1. 权威性：直接引用 curated policy 原文，避免口头传达的失真
2. 效率：CLI 交互比手动翻阅文档快 10 倍以上
3. 精确检索：支持章节定位和关键词搜索两种模式
4. 跨工作区兼容：可指向外部政策文件，便于多团队协作或并购整合

潜在缺点与局限性

• 依赖本地政策文档的维护质量，若 policies.md 未同步更新，查询结果失效
• 无权限控制，任何能访问文件系统的人均可读取敏感政策
• 不支持政策版本历史追溯，无法对比修订记录
• 纯文本输出，缺乏可视化或结构化导出

适合人群

• 社区经理与运营人员：快速核实发言规范
• 法务/合规专员：起草文件时引用具体条款
• 多工作区管理员：批量比对政策一致性

常规风险

| 风险类型 | 说明 |

|---------|------|

| 数据泄露 | 政策文件可能含敏感规则，需限制文件访问权限 |

| 引用过时 | 未更新本地文档导致引用失效条款 |

| 误读条款 | 关键词搜索结果可能脱离上下文，需核对完整章节 |

核心用法

policy-lawyer 是一款面向团队协作场景的本地策略文档查询工具，专为需要快速查阅组织合规规范的成员设计。该 Skill 以 references/policies.md 为知识库核心，通过命令行界面提供三种核心查询能力：

1. 章节列表：--list-topics 枚举策略文档所有章节标题，便于用户快速了解政策覆盖范围
2. 主题定位：--topic <name> 精确提取特定章节原文，支持大小写不敏感匹配
3. 关键词搜索：--keyword <term> 跨章节全文检索，定位特定概念的政策依据
4. 多空间对比：--policy-file <path> 支持读取其他工作空间的策略副本，便于跨团队合规对比

典型工作流包括：起草公告前查阅 tone 规范确保措辞得体，处理争议时引用权威政策条文，或审计不同项目的协作规则差异。

显著优点

极致轻量安全：仅 133 行代码、7 个文件，纯 Python 标准库实现（argparse/pathlib/typing），零第三方依赖，彻底杜绝供应链攻击风险。

完全离线运行：无网络请求、无 API 调用、无数据外传，策略文档始终驻留本地，满足高保密环境的合规审计要求。

透明可审计：源码逻辑直观，无非安全函数调用，无动态代码执行，无混淆或打包二进制，任何技术背景的用户均可快速审阅实现细节。

灵活适配多场景：通过 --policy-file 参数支持任意 Markdown 策略文档，可无缝迁移至不同团队、项目或合规框架（如 SOC2、ISO 27001 政策库）。

潜在缺点与局限性

功能边界明确：仅支持 Markdown 格式，无富文本渲染、无版本历史追溯、无协作编辑功能，无法替代完整的知识管理系统。

无权限管控：--policy-file 可读取任意本地路径，虽为设计特性，但缺乏对敏感系统文件（如 /etc/passwd）的主动拦截，依赖用户自律。

无语义理解：基于标题层级和字符串匹配的检索，无法处理"语气友好但规则严格"这类隐含语义关联，复杂查询需人工二次筛选。

T3 来源可信度：作者 CrimsonDevil333333 为个人开发者，无企业背书，虽代码透明但长期维护承诺、漏洞响应时效存在不确定性。

适合的目标群体

• 技术团队 TL/PM：快速自查团队沟通规范、代码审查标准、数据分级策略
• 开源社区维护者：建立可版本化的社区行为准则（CoC）查询接口
• 合规专员：跨项目对比安全政策的覆盖完整性与措辞一致性
• 远程协作团队：新成员自助查询"我们如何在 Slack 中 @ 人""客户数据能否进 AI 工具"等日常决策依据

使用风险说明

文件读取风险：--policy-file 功能可访问文件系统任意路径，若脚本被恶意调用（如通过其他 Skill 注入），存在敏感信息泄露隐患。建议仅在可信环境使用，避免将脚本暴露于不可控的自动化流程。

策略文档漂移：Skill 仅反映本地 policies.md 快照，若团队更新策略后未及时同步副本，可能基于过时规则做决策。建议建立文档版本校验机制或定期比对流程。

无审计日志：本地执行无操作记录，无法追溯"谁何时查询了什么政策"，对于有强合规审计需求的场景需额外配套日志系统。

许可证缺失：当前未声明开源协议，存在使用条款模糊风险，建议联系作者明确授权范围后再用于生产环境。