核心用法
该 Skill 用于审计本地任务管理系统（Tasks.md + Flatnotes）与 GitHub 仓库状态的一致性。用户运行 node scripts/audit.mjs 即可生成 Markdown/JSON 双格式报告，自动检测三类关键漂移：Tasks.md 看板规范违规（如优先级标签错位、WIP 超限）、Flatnotes 项目文档缺失（标准 4 件套笔记模板）、以及 GitHub PR 与本地任务卡片的链接断裂。支持通过环境变量覆盖默认路径，默认报告模式安全只读，仅在显式授权后执行有限自动修复。
显著优点
1. 零依赖轻量化：纯 Node.js 标准库实现，无 npm 第三方包，部署和审计面积极小。
2. 安全命令执行：采用 execFile 而非 exec 调用 gh CLI，彻底规避 shell 注入风险。
3. 降级优雅：GitHub 未认证时自动跳过相关检测，不阻断整体审计流程。
4. 结构化输出：同时生成人类可读的 Markdown 报告和机器可解析的 JSON，便于集成 CI/CD。
5. 修复可控：自动修复仅限于创建缺失笔记、调整标签位置、添加指针链接等低风险操作，删除/重命名类操作强制人工确认。
潜在缺点与局限性
- T3 来源信任门槛：维护者为 clawhub.ai 个人开发者账号，无企业背书，需自行代码审查建立信任。
- GitHub 依赖单一：必须以 GitHub PR 为唯一外部真相源，不支持 GitLab、Gitee 等其他平台。
- 启发式匹配局限：PR 与任务卡片的关联依赖 URL/编号/标题子串启发式匹配，非结构化笔记可能漏配。
- 本地路径硬编码倾向：虽有环境变量覆盖机制，但默认值深度耦合
/home/ds/.config/appdata/路径，跨平台迁移需手动配置。 - 无持久化状态：每次审计为全量扫描，大型项目历史 PR 查询可能触发 GitHub API 速率限制（虽通过 gh CLI 间接调用有一定缓冲）。
适合的目标群体
- 采用 Tasks.md + Flatnotes 组合管理个人或小型团队项目的开发者
- 需要定期对齐本地看板与 GitHub 仓库状态的工程负责人
- 追求极简工具链、拒绝重型项目管理 SaaS 的极简主义用户
- 具备 Node.js 基础运维能力、能接受 T3 来源代码审查的技术团队
常规使用风险
| 风险类型 | 说明 | 缓解建议 |
|---------|------|---------|
| 本地文件访问 | 读取用户配置目录下的任务数据 | 确认 `TASKS_ROOT`/`FLATNOTES_ROOT` 指向预期路径 |
| 命令执行 | 依赖本地 gh CLI 及其认证状态 | 使用最小权限 token，避免共享环境高权限凭证 |
| 临时文件泄露 | 审计报告含项目标题和任务信息 | 将 `tmp/` 输出作为内部文档处理，及时清理 |
| 误配置覆盖 | 环境变量误设可能导致访问非预期目录 | 启动前打印确认路径，或在 CI 中固定只读配置 |
| API 速率限制 | 大型仓库近期合并 PR 查询可能超限 | 合理设置 `--since-days` 参数缩小查询窗口 |