合规
验证代理 skill 的来源、版本和许可证
来源与许可证复核，在代理 skill 进入仓库或运行时之前识别来源、作者、版本、完整性、允许用途和分发义务。
流程
按这个顺序做。
- 确定准确的来源 URL 或仓库、修订、标签、获取日期、作者或组织，以及拟议的使用、修改和分发背景。
- 检查许可证文件、SPDX 元数据、通知、附带素材、脚本、模板和依赖，记录准确标识符及任何冲突声明。
- 将许可证权限和条件映射到预期用途，检查署名、通知、copyleft、非商业、特定领域和再分发义务。
- 在可用时验证版本连续性、签名或校验和、仓库历史、维护者身份，以及获取的内容是否与复核修订一致。
- 记录批准、拒绝或条件性使用、必需通知、义务、复核者和未解决的法律或来源问题，不提供法律建议。
- 保留证据包，为来源或许可证变化设置重新复核触发条件，并防止未批准的 skill 进入共享运行时。
- 返回来源与许可证决定、义务、证据、开放问题和未解决风险，在接受条款、发布或分发前暂停。
先准备
猫会向你要的输入。
- skill 来源与准确修订
- 预期用途与分发背景
- 附带文件与依赖清单
- 复核政策与合格负责人
路由器 + 一份 playbook
先路由。只选一份。
Cat Paw 每次任务只加载一份 playbook，不合并多份。先走这个路由器；其余路径是此 workflow 可检查的候选。
- 路由器：
agent-skill-catalog-pack skills/agent-skill-catalog-pack/agent-skill-provenance-license-review/SKILL.md
界限
界限跟着提示一起走。
- 开始前核实实际工具、账号、权限和工作区；绝不声称拥有不可用的工具、账号、来源或能力。
- 私有代码、产物、实时探测或非公开数据使用 Latch/target-workspace；如果无法访问，就在边界停止并报告阻塞，不要用猜测替代。
- 任何有后果的外部行动前先暂停并取得明确批准；返回证据、未解决风险、假设以及仍等待批准的行动。
完成代表
一个可核对的终点。
来源与许可证复核将 skill 的准确修订连接到来源证据、许可证条款、义务、批准状态、重新复核触发条件和未解决风险。
来源
这个流程从哪来。
- github.com/sickn33/agentic-awesome-skills/tree/7b534bc15d833baf3bc98b3ca4fb23eda48342bb/
- docs.github.com/en/repositories/managing-your-repositorys-settings-and-features/customizing-your-repository/licensing-a-repository
- spdx.org/licenses/
来源确立 workflow 的模式。如有 Reddit 或社区帖子，视为实务轶事，不是普遍事实。
