subagent-spawn-command-builder

⚙️ Subagent 配置一键生成专家

轻量级配置生成器,将Subagent参数转为标准spawn命令JSON,提升配置复用与开发效率。

收藏
4.7k
安装
2.1k
版本
v0.1.2
CLS 安全性认证2026-05-19
点击查看完整报告 >

使用说明

Subagent Spawn Command Builder 是一款专为 Claude Code 环境设计的配置生成工具,旨在简化子代理(Subagent)的启动流程。该工具通过预定义的 JSON 配置文件,自动生成符合 sessions_spawn 接口标准的命令负载,让用户无需重复编写复杂的参数组合,即可快速构建标准化的子代理调用指令。

核心用法方面,用户首先需基于提供的模板创建配置文件 spawn-profiles.json,定义不同的环境画像(如开发、测试、生产环境的不同模型选择、思考模式、超时设置等)。随后通过 Node.js 脚本 build_spawn_payload.mjs 指定画像名称和任务内容,工具将依据"CLI 参数 > 配置文件值 > 默认值"的优先级规则,合并生成最终的 JSON 负载。生成的 JSON 可直接用于 sessions_spawn 调用,支持灵活覆盖模型类型、超时时间、清理策略等关键参数。

该技能的显著优点体现在其极简的依赖架构与出色的安全性上。工具仅依赖 Node.js 内置模块(fs、path、url),零外部 npm 依赖,彻底避免了供应链攻击风险。同时,它采用纯本地文件操作,无网络通信、无动态代码执行,所有输入均经过白名单验证(如 cleanup 参数严格限定为 keep 或 delete)。这种设计使得工具在离线环境下仍可稳定运行,非常适合对安全性要求严格的开发场景。

然而,该工具也存在一定局限性。首先,作为 T3 来源的个人项目,其长期维护稳定性不如企业级工具,且缺乏明确的许可证声明。其次,工具使用相对路径定位配置文件,要求必须在正确的执行目录下运行,否则可能引发文件读取错误。此外,日志文件采用追加模式长期写入,在高频使用场景下可能产生体积过大的日志文件,需要用户手动清理。

该工具特别适合需要频繁调用 Subagent 的开发者、使用 Claude Code 进行复杂任务编排的技术团队,以及希望标准化 AI 代理配置的管理员。对于需要构建自动化工作流、批量生成测试任务或管理多环境配置的用户而言,该工具能显著提升配置管理效率,减少人为参数错误。

使用风险方面,虽然工具本身不执行敏感操作,但用户需注意配置文件的安全性,避免在 spawn-profiles.json 中硬编码敏感密钥。由于工具仅生成 JSON 而不验证任务内容的合理性,错误的配置可能导致生成的 Subagent 任务无法执行或资源浪费。建议在使用前审查生成的 payload,并定期清理 state/build-log.jsonl 日志文件以防止磁盘空间占用过多。

安全解读

核心用法

subagent-spawn-command-builder 是一个纯 Node.js 工具,用于从 JSON 配置文件生成 sessions_spawn 的标准化 payload。它本身不执行任何子代理创建操作,仅专注于构建可复用的命令参数配置。

使用流程

1. 初始化配置:复制模板文件 spawn-profiles.template.jsonspawn-profiles.json
2. 定义配置集:在 JSON 中预设常用参数组合(model/thinking/timeout/cleanup/agentId/label)

3. 生成 payload:运行 .mjs 脚本,指定 profile 和 task,输出可直接用于 sessions_spawn 的 JSON

参数优先级(从高到低)

  • CLI 选项(如 --model)> Profile 值 > Defaults
  • task 必须始终通过 --task 提供

---

显著优点

| 维度 | 表现 |
|------|------|
| **供应链安全** | 零第三方依赖,仅使用 Node.js 内置模块(`node:fs`/`path`/`url`),无供应链攻击面 |
| **运行隔离** | 完全离线运行,无网络请求,无外部 API 调用 |
| **代码透明** | 370 行/5 文件,结构清晰,无混淆,GitHub 提交历史可追溯 |
| **功能聚焦** | 单一职责:构建 payload,不执行实际 spawn,降低误操作风险 |
| **配置复用** | 通过 profiles 实现参数模板化,支持多场景快速切换 |

---

潜在缺点与局限性

1. 手动管理配置:需手动维护 JSON 文件,无交互式配置向导
2. 无执行能力:仅为 builder,实际 spawn 需额外步骤调用 sessions_spawn

3. 日志累积:持续写入 state/build-log.jsonl,长期使用需手动清理

4. 许可证未明:当前未标注开源许可证,影响合规复用

5. Python 兼容提示:如 task 含 Python 代码,需显式使用 python3 而非 python

---

适合人群

  • 多子代理场景用户:需要为不同任务预设不同模型/思考深度/超时配置
  • CI/CD 集成者:需将 spawn 参数配置化、版本化管理
  • 安全敏感环境:要求零依赖、离线运行的企业环境
  • 自动化工作流开发者:需要将 sessions_spawn 调用抽象为可复用模板

---

常规风险

| 风险项 | 级别 | 说明 |
|--------|------|------|
| 日志文件写入 | 低 | 正常功能所需,仅记录时间戳/profile/payload,无敏感信息 |
| 命令行参数读取 | 低 | 已做合法性验证(cleanup 枚举、timeout 整数),但 `--task` 内容最终传给 sessions_spawn,建议调用方自行校验 |
| 文件系统访问 | 无 | 仅访问 Skill 目录下 `state/` 和 `scripts/`,无越界访问 |

使用建议

  • 定期清理 state/build-log.jsonl 控制磁盘占用
  • --task 参数添加长度/内容检查,防止生成异常大 payload
  • 建议项目添加 LICENSE 文件明确开源许可

subagent-spawn-command-builder 内容

scripts文件夹
state文件夹
手动下载zip · 4.7 kB
build_spawn_payload.mjstext/javascript
请选择文件