核心用法
skill4agent-cn 是一个连接 skill4agent 平台的技能管理工具，为 AI Agent 提供完整的技能发现与安装工作流。该技能支持 CLI 命令行 与 API 直连 两种使用模式：具备 Node.js 环境时优先使用 npx skill4agent 命令；无 Node.js 时可直接调用 HTTPS API 接口。
三大核心功能
| 操作 | CLI 示例 | API 端点 |
|:---|:---|:---|
| **搜索技能** | `npx skill4agent search <关键词> -j` | `GET /api/search?keyword=<关键词>` |
| **查阅详情** | `npx skill4agent read <source> <skill_name> -j` | `GET /api/skills/info?source=<source>&skill_name=<skill_name>` |
| **安装技能** | `npx skill4agent install <source> <skill_name>` | `GET /api/download/<skillId>` |
安装路径默认为 .agents/skills/<skill_name>，支持原版与翻译版双语切换。
显著优点
1. 双模式弹性架构：CLI 提供便捷交互，API 零依赖适配，覆盖全场景环境
2. 原生中文支持：搜索、文档、交互全链路中文化，降低中文用户使用门槛
3. 内置安全审计：自动检测技能脚本中的敏感代码（has_script、script_check_result、script_check_notes），强制要求用户授权后才可安装含风险技能，安装后需人工复检
4. 智能翻译体系：translation 字段清晰标注原版语言、翻译版可用性及目标语言，便于多语言协作
5. 搜索优化策略：提供关键词精简、中英切换等 fallback 机制，提升命中率
潜在局限
- 外部依赖耦合：CLI 模式强制依赖 Node.js ≥16，老旧环境受限
- 安全复检成本：含敏感代码的技能需人工逐行审计，自动化程度不足
- 平台锁定风险：技能源仓库绑定 skill4agent.com，未提及第三方源扩展能力
- 网络可达性：API 调用依赖
skill4agent.com服务可用性，无离线镜像机制
适合人群
- 中文母语开发者或团队
- 需要快速搭建 Agent 能力的非专业程序员
- 对第三方技能安全性敏感、需人工审计的企业用户
- 多语言 Agent 项目的国际化团队
常规风险
| 风险类型 | 说明 | 缓解措施 |
|:---|:---|:---|
| **供应链攻击** | 第三方技能包可能携带恶意脚本 | 强制启用 `script` 字段检查，安装前必须用户显式授权 |
| **敏感信息泄露** | 脚本可能窃取本地环境变量或配置文件 | 安装后对 `script_check_notes` 标注位置进行上下文审计 |
| **系统配置篡改** | 脚本可能修改系统 PATH、注册表或启动项 | 沙箱环境预执行，限制文件系统权限 |
| **服务可用性** | 平台 API 故障导致技能获取中断 | 关键技能本地缓存，建立私有镜像 |
建议生产环境启用只读容器或 VM 快照，确保技能安装可回滚。