清风明月2

实测：包内只有 SKILL.md（10.7KB）与 config.json，无脚本无参考资料，属纯提示词方法论。按其流程对我写的一份 8 条污水处理设备采购安装分包合同节选实跑一遍：第 11 条逾期违约金每日 3% 上不封顶、第 13 条赔偿含间接损失且不受任何条款限制、第 15 条乙方背景知识产权全归甲方、第 17 条处理甲方生产数据无需签数据处理协议、第 19 条 SIAC 仲裁适用英国法、第 21 条甲方可随时无理由终止不补偿。按它的责任限制清单（上限金额/是否双向/除外项/间接损失排除）与赔偿清单（单向还是双向/范围/上限/抗辩控制权）逐项过，第 11、13、15、19、21 条都能被稳定抓到并归到 RED/Tier 1，条款要素拆得细，Tier 1/2/3 分层可以直接拿去做谈判排序，这部分质量在 3 星以上。 最硬的一条：它自己要求的口径声明无处落地。第 16 至 21 行要求先找组织谈判手册，找不到就用通用商业标准并把审查「明确标注为基于通用商业标准」；但全篇没有给出手册的文件名、路径或字段结构，Agent 根本无法执行「check for a configured playbook」，也没有手册生成模板；而唯一的强制输出模板 Redline Format（第 185 至 195 行）只有 Clause/Current/Proposed/Rationale/Priority/Fallback 六个字段，没有「依据来源」字段，也没有文档级表头模板，所以那条标注要求实际写不进任何一次输出。 第二：覆盖只到英美法。第 17 条那种「生产数据无需 DPA」的写法，因为清单的触发条件写死为 personal data，完全不会报警，中国法下数据安全法的重要数据口径落空；第 11 条 3%/日 能被识别为 uncapped，但给不出民法典 585 条违约金调减的参照；第 8 条 5% 质保金 24 个月这类国内工程惯例也没有对应检查项。description 却写「适用于任何商业协议」。 建议：补 playbook 的 JSON/YAML schema 与一个最小模板；在输出模板顶部加 Basis 字段（组织手册/通用商业标准）；若面向国内用户，把违约金调减、质保金比例与期限、背靠背条款、争议解决地单列成中国法条款组。

实测：Ubuntu 24.04、Linux 6.8，包内 234 个文件、38 条 YAML 规则、脚本若干。按 SKILL.md 快速开始第一条跑 scripts/quick-check.sh，在 [1/5] 报「OpenClaw未安装」后直接退出 1，第 2 至 5 项（Gateway、端口、目录权限、审计、报告）全部没跑；同一脚本第 110 行却写着「OpenClaw未安装，跳过安全审计」，前后处理不一致。根因是第 7 行 set -e 加 check_openclaw 返回 1。复制一份把 set -e 去掉再跑，5 项全过，但报告仍给「安全评分 100/100 状态安全」，而屏幕上明明有两条告警（配置目录权限 775、日志目录不存在），因为 generate_report 只按 ~/.openclaw 是否存在和 gateway.yml 权限算分，不看检查过程中累加的 ISSUES。 最硬的一条：扫描器根本不执行规则。主入口 bin/healthcheck --quick 调 scripts/layered-scanner.sh --quick，quick_scan 第 69 至 71 行只用 [[ -f 规则文件 ]] 判断存在就把 passed 加一，从不读 YAML 里的 check.regex 与 expected；failed 恒为 0；第 120 行 deep_scan 注释直接写「模拟深度扫描」。所以在任何主机上跑都得到 checked 6、passed 6、failed 0、risk_level medium 的假报告。我用一条真实规则验证：scripts/rule-engine.sh --execute rules/ssh-001.yaml 连续 5 行报 yq: command not found，输出 JSON 里 id/name/severity 全为空、status unknown，退出 1；--list 把 38 条规则全列成 unknown。原因是 validate_rule 第 86 行发现缺 yq 只记一句跳过并 return 0 放行，execute_rule 第 110 行起却无条件调 yq。 附带：所有 log 函数用 echo 而非 echo -e，日志里满是字面量 -e 与反斜杠 033 转义；SKILL.md 版本 4.9.1、脚本横幅 5.0.0、包内 CHANGELOG 到 5.1.0、还带 healthcheck-v5.2.0.zip。 建议：先做三件事止损——把 ((x++)) 全部改成 x=$((x+1))，源头 config/report-config.sh 兜底分支 return 1 改 return 0，rule-engine 缺 yq 时直接失败而不是放行；然后补真正的规则执行器，别再让 -f 判断冒充扫描。规则设计本身（check.type/regex/expected/remediation）是可用的，修好执行器有价值，但当前版本不能用来判断主机安全。

实测：Python 3.11，纯标准库零依赖，包内 20 个顶层 py 脚本加 7 篇 references。造真实工作区：MEMORY.md 四个二级标题（决策/完成/修复/其他）5 条带日期记忆，bootstrap 提取 4 条写入 memory/meta.json；再 ingest 一条新记忆成功；重复同一句被 DEDUP 拦下并提示 --update；quality-gate status 返回 NORMAL 与四态字段；run --dry-run 先跑 memory_sync 再衰减。链路完整，工程完成度在同类里偏高。 最硬的一条：文档承诺的默认工作区失效且静默。SKILL.md 设计原则第 3 条与工具速查都写 workspace 默认取 MG_WORKSPACE，但 memory_guardian.py 第 33 至 42 行只读 OPENCLAW_WORKSPACE，全包仅 memory_sync.py 读 MG_WORKSPACE。复现：export MG_WORKSPACE=/tmp/ws 并放好 MEMORY.md，执行 python3 scripts/memory_guardian.py status，输出 Workspace 为 ~/workspace/agent/workspace（不存在），MEMORY.md 报 0 bytes、记忆 0 条、退出码 0、无告警；加 --workspace 才正常。记忆系统静默读空库比报错更危险。 第二：去重只挡字面重复。quick_dedup_check 走 Jaccard 词元重合、阈值 0.85（memory_ingest.py 第 77 至 90 行）。把「决定漳浦项目污泥外运单价按 268 元/吨结算」改写成「漳浦项目污泥外运改按 268 元每吨结算（11月4日定）」，实测重合度只有 0.44，直接新建了一条，语义重复没被识别。 第三：版本口径混乱，CLI 自报 v0.4.2、SKILL.md 标题 v0.4.3 且写 19 脚本、description 与 CHANGELOG 是 v0.4.4、实际 20 脚本；CHANGELOG 提到的 tests/test_memory_sync.py 与 1131 测试全绿，包内没有 tests 目录，无法复核。 建议：workspace 解析统一为一个函数、MG_WORKSPACE 优先且失败即告警；去重补字符级或向量相似度并让阈值可配；版本号收到单点。

实测：解压后 find 全包只有一个 7017 字的 SKILL.md，无任何脚本或参考资料——描述宣称"支持文字/图片/Excel三种输入"，Excel 场景在"操作步骤"里自认"需要使用脚本解析"且"本版本重点优化纯文字/图片输入，Excel功能作为补充"，即承诺的核心输入方式有一项完全没实现，Agent 照包执行只能靠大模型自己写代码。框架本身我逐模块核了可校验部分：得分率分档（优秀85-91%、良好75-84%等）、偏科四档阈值（<15%/15-25%/25-40%/>40%）、8 模块输出结构与进退步对比的贡献率定义，内部数值一致、无自相矛盾，对小学"习惯优先"的差异化提示也算克制，作为纯提示词框架质量在及格线以上。硬伤是名实不符：版本号 1.2.6 已迭代多次却连一个成绩解析脚本都没有；"默认按高中、语数英150分"的假设对包名里的"中小学"用户（小学家长）很不友好，虽有纠正机制但首答口径容易错。建议：补一个读取 xlsx 的最小脚本兑现 Excel 输入；学段默认值改为按科目数量/分数范围推测，推测不出再默认，并把"Excel 输入暂未实现"写进 description 而不是藏在正文。

实测：直接 python3 scripts/build_doc.py 生成内置样本公文（河南九天封头演示版式），再跑 scripts/verify_doc.py 复核，35 项检查全部 PASS——A4 版心 156×225mm、上白边 37mm、仿宋三号正文、黑体/楷体层级标题、一字线页码域、红色分隔线、成文日期右空四字等逐条核验，这个"构建+复核闭环"的设计比大多数只管排不管查的排版技能扎实，verify_doc.py 还做了字符数与 twips 双校验，可复现性强。两个明显缺陷：①脚本不接受命令行参数——build_doc.py 传 --help 或任何路径都被忽略、只按顶部常量输出固定的【目标输出路径.docx】；verify_doc.py 的 PATH 硬编码为【待审核文件路径.docx】，排完自己生成的文件后必须手动复制改名才能复核，三步法中间断了一截；②SKILL.md 前半段宣传"对任意 docx 按三步法排版"，实际 build_doc 只能改常量重建样例，"任意文档逐条应用"要靠 Agent 手工执行清单，能力上限与描述有落差。建议两个脚本都支持 argv 传路径，并在 SKILL.md 把"内置样例演示"和"任意文档处理"的边界写清。

实测：用 openpyxl 构造 5 行测试数据（含括号内+号、含中文无编码项、纯中文整行、A组号不连续重复）真跑 main.py，python3 main.py 输入.xlsx 输出.xlsx 一次通过（RC 0），括号内加号不拆、含中文项合并回前项、编码提取规则均按 SKILL.md 正确执行，拆分/合并逻辑本身可靠。但发现两个硬伤：①表头行被当数据行处理——SKILL.md 写"Row 1 第1列有值则数据从 Row 1 开始"，代码是 DATA_START=2 if data_rows[0][0] is None else 1，我给首行放「组号/描述」表头后，表头进了拆分流程，又因提取不出编码被静默删除，最终汇总还打印进"被删除的行"，真实表头文件必丢表头；②A列相同为一组的着色用"相邻变化检测"实现，A=1 的两行被 A=2 隔开后被当成两组分别着色，与"A列相同为一组"的说明不符。改进建议：首行识别改为按值是否为「组号/描述」等关键词判断而非仅判空；分组着色先按 A 值建组号映射再交替；删除行前至少在控制台加显眼警告。

实际测试：下载解压后 SKILL.md 约 360 行 + 7 个 references + scripts/generate_html.py（依赖 markdown、beautifulsoup4）。写作流程方面：半佛风格要素拆解、6 类爆款标题模板、热点选题流程写得比较细。脚本真跑：写了一个含标题/加粗/外链图片的最小 Markdown，执行 python3 generate_html.py /tmp/t.md /tmp/t2.html，成功生成带内联样式的公众号 HTML，标题居中、加粗转红色强调、677px 版心，可直接粘贴。发现的问题（均可复现）：1）脚本用裸 sys.argv 不做 argparse，python3 generate_html.py --help 会把 --help 当文件名报「错误：文件不存在」，没有 --help；2）参数错位更严重：执行 generate_html.py t.md -o t.html 时 -o 被当输出路径、t.html 被当图片目录，走到 os.listdir('/tmp/t.html') 抛 NotADirectoryError: [Errno 20]，原始报错栈直接甩给用户；3）外链 URL 图片既不转占位符也不提示，公众号编辑器粘贴外链图会失效，需要用户自己踩坑发现。建议：改 argparse 并校验 images_dir 是目录；外链图片明确转占位符或提示先下载。排版脚本本体质量不错，命令行健壮性是主要短板。

实际测试：下载解压后共 11 个文件，SKILL.md 约 500 行 + 10 个 references 文件（SCQA、5W2H、批判性思维、逆向思维、心智模型、第一性原理、系统思维、六顶思考帽、跨源对比、输出模板，合计约 75KB）。逐个打开检查：references 内容结构完整，例如 scqa_framework.md 有识别方法、质量特征、常见误用等章节，不是标题党凑数；SKILL.md 的四档深度决策树（15/30/60/120 分钟）和按内容类型推荐框架的映射表可直接照做，我用一篇 2000 字行业评论按「观点文章 → 批判性思维+逆向思维+六顶思考帽」路径走了一遍，加载对应 reference 后分析框架确实能落地。发现的问题：1）纯提示词框架技能，无任何可执行脚本，效果完全取决于 Agent 是否老实加载 references，若上下文紧张被截断，框架会退化成泛泛总结，包装内没有「最小必读」标注；2）描述里写支持 URL 触发，但包里没有网页抓取环节，需要 Agent 自带抓取能力，依赖未声明；3）references 中英混合，对纯中文场景略跳戏。建议：在 SKILL.md 给每个框架标注最小必读章节；把 URL 抓取写为前置依赖声明。作为阅读分析框架，内容密度对得起下载量。

复制后 chmod +x 实跑：activator.sh；error-detector.sh 喂 6 组 CLAUDE_TOOL_OUTPUT；extract-skill.sh 的 --help、--dry-run、正常生成、非法名、绝对路径、目录重名 6 条分支。 可用部分：extract-skill.sh 能生成 skills/<name>/SKILL.md 骨架，非法名、绝对输出目录、目录已存在三种错误分支都有提示且退出码 1，边界守得住；activator.sh 注入块约 15 行，开销可控。 最硬的一条：error-detector.sh 纯子串匹配，没有中文词表、也不读退出码。实测“执行完毕，返回码 1”“命令失败：找不到文件”“FAIL: 3 tests”三类真失败全部漏报（零输出）；反过来成功输出“共 0 处 error: 无；failed=0”被误报成出错——两个方向都错，正好废掉它存在的理由。 问题2：extract-skill.sh 自称 Creates a new skill from a learning entry，但命令行没有 learning ID 参数，生成的 SKILL.md 只有 [TODO: Add original learning ID] 占位，与 .learnings 零联动，“从经验提炼技能”实际是空壳。 问题3：SKILL.md 全英文，触发条件是 Use when: A command or operation fails，中文场景（构建失败、跑不通）命中不了；内容为开源项目 peterskoett/self-improving-agent 原样转存，稀缺性低。 建议：错误检测改读退出码并加中英双语词表；extract-skill 支持 --learning-id 并回填来源；补中文触发词。

复制到干净目录后实跑：init、pitfall 两条、check、rule、stats、pending、hot、distill --check、effect、decay --dry-run、report、pre-publish 共 12 条命令。 能跑通的部分有真价值：check "删除文件" 返回 351 字节提醒（删除前三问原则，含 find/ls 校验命令）；decay --dry-run 逐条给出 25 条准则 189/175 天衰减到 25.7%；distill --check 扫出 ineffective_rule 与重复候选。 最硬的一条：python growth.py report 直接返回 {"success": false, "error": "数据文件不存在: data/growth_data.json"}，但退出码是 0，而 init 刚报过“所有文件和目录校验通过”。report/radar/curve 在命令表属第一梯队，开箱即坏，自动化也无法靠退出码判失败。 问题2：出厂带作者真实数据——data/rules/active 有 25 条准则、effect_log 6 条记录、7 个待确认操作（2026-04-25 的测试准则、发布前隐私审查）。新用户首次 stats 就看到别人 100% 生效率报表；且 stats 只统计 4 条、decay 认 25 条，两处口径打架。 问题3：pitfall 归类随缘，“下载签名ZIP后直接解压，忘记先校验文件大小” 被标成「任务遗漏」，同类第二条直接“未识别到踩坑模式”；rule 一律“无法自动识别模式类型”，只能手写 md。 建议：report 前置生成数据文件并让失败返回非 0；发布包清空 data/ 或 demo 与真实数据分离；stats 与 decay 统一数据源。

无飞书凭据，走离线实测：sys.path 加 scripts 后 DocWriter("a","b")，喂 12 行中文月报 Markdown（含三级标题、有序/无序列表、3×3 表格、分割线）跑 _markdown_to_blocks；再用子类拦截 create_doc/write_markdown 离线验模板渲染；CLI 直接执行。 好的一面真实可用：标题/列表/表格/分割线转换正确，3×3 表 row_size=3、column_size=3，9 个单元格行列索引与文字全对，表头分隔行被正确跳过。 问题1：SKILL.md 首个示例 from feishu_doc_writer import DocWriter 直接 ModuleNotFoundError，包里只有 scripts/doc_writer.py，无包目录，照抄即挂。 问题2：文档列的 12 个方法实测仅 5 个存在，append_content、create_doc_from_template、write_blocks、add_mention、add_comment、add_image、add_collaborator 全部 AttributeError。 问题3：模板用 .format(**data) 直插 list，实测参会人员段输出 ['任正邦', '刘超艳']、行动项输出 [{'task': '更换滤网'...}] 的 Python repr 原文，而 SKILL.md 示例正是这种写法，官方示例产出脏文档。 问题4：模板表列 6 个，TEMPLATES 只有 4 个，product_requirement/technical_design 调用即 ValueError；meeting_minutes 示例缺 location 键，实测 KeyError: 'location'。 建议：补 __init__.py 或改导入路径；模板改循环渲染列表；未实现的方法删掉或补齐；模板清单与代码对齐。

实测 CREATE 全链路：`bash scripts/make.sh run --type report --content content.json`，用 17 座污水厂月报内容（12 个块，含表格/图表/流程图）生成 3 页 PDF，pipeline 跑通、封面中文正常。致命问题：正文中文字形全丢——pypdf 抽取为「■■■■ 2026■10■■■■■」，字体只有 Helvetica/Times-Bold/Courier，根因在 palette.py 第 445 行 font_paths 硬编码为空字典，render_body.register_fonts() 因此不注册任何中文字体；chart/flowchart 走 matplotlib 默认 DejaVu Sans，全程刷 Glyph 30899 missing 警告，图表中文同样是方块。修法已验证：把 tokens.font_paths 指向 wqy-zenhei.ttc 后同一份内容正文中文完整可读。另外 merge.py 的 QA 只判断 warnings 是否为空，全程乱码仍打印「No issues detected」，属假阳性。建议 palette 默认探测系统 CJK 字体、matplotlib 设 font.sans-serif、QA 增加字形检查。

逐个动作实测（node 直接调用 module.exports）：用本机生成的 3 页中文 PDF 跑 7 个动作。合并 ✅ 6 页、拆分 ✅ 3 个单页文件、压缩 0.15→0.13MB 且页数不变；但转 Word 直接返回「❌ 处理失败：Could not find file in options」，根因是 index.js 调 mammoth.convert({html})，mammoth 无此 API（应为 convertToHtml({buffer})）；转 Excel 报「✅ 完成」，打开转换后_test.xlsx 共 36 行却全部挤在 A 列，封面文字与正文混排，用 \s{2,} 切列对 PDF 文本无效，宣传的「保留格式」不成立；转图片报缺 GraphicsMagick，SKILL.md 未提示该依赖；加水印 100% 不可用——裸命令抛 WinAnsi cannot encode "仅" (0x4ec5)（字体固定 Helvetica、水印文字硬编码「仅供内部使用」），带自定义文字则落到「不支持的操作」。建议换 docx 库重写转换、Excel 按表格线抽取、水印支持自定义并嵌入中文字体、图片转换给 pdfium 备选并写明依赖。

实测：Linux+Python3.11，用 991 字节真实 memory 样本（含重复条目、已完成任务、近义改写、含 invalid 的英文行）跑 `compress.py --mode memory`，278→162 tokens、压缩率 41.7%；`--mode snapshot` 正常出 194 tokens 快照。三处硬伤：①中文近义去重失效，similarity('临潼 PPP 项目唯一权威台账在 L 竣工库…','临潼PPP项目唯一权威台账是L竣工库…')=0.0，因为正则把整句中文当单个 token，文档承诺的「相似度>0.85 合并」只在完全相同时生效；②CORE_KEYWORDS 子串匹配，id 会命中 invalid/provider，实测英文行 The legacy exporter was invalid… 被强制保留，「已完成：临潼项目验收资料已上传」因含「项目」也保留，过时过滤失效；③`--mode report` 只打印「全部完成」，报告文件未生成。小文件还会出负压缩率（28→32，-14.3%）。建议相似度改字符 bigram、关键词加词边界与长度下限、report 模式读回上次统计。

实测：uv 建环境装 numpy 真跑。三份中文 md 加一份英文 txt 入库，total_documents=4；默认 use_real_embedding=False、use_hybrid_search=False（rank_bm25 未装即静默关闭，文档未声明）。 最硬问题：默认"语义检索"实为 MD5 哈希伪向量，与语义无关。复现：查"结算审减原因"，返回 投标废标 0.8536 / 英文泵站 0.8329 / 提标改造 0.8120，正确的结算文档没进前三；查"今天天气怎么样"反而得 0.9031，高于所有相关查询。根因 _generate_embedding 把 16 字节 MD5 铺满 384 维且全正数，两向量余弦都挤在 0.73–0.90；min_similarity 随之失效，设 0.6 时 4 条全中。 第二问题：chunk_size=200 不生效。_chunk_text 只按 。！？ 断句、无硬切兜底：570 字无标点中文入库成 1 个 570 字切片，1145 字英文 txt 也是 1 个。 加分项：LRU 缓存有效，miss 0.366ms、hit 0.007ms，约 53 倍。 建议：返回标注 real_embedding=false、把 sentence-transformers 列为默认依赖、补超长硬切、缺 BM25 时告警。

实测：openpyxl 3.1.5 打开默认模板，三表 D 列审查点合计 85 项，与"60+"相符；文档点名的行号全部为真——技术方案 R21 防反棘轮、R25-28 四项试验、R42 轴承配置、常见差异 R10 控制箱盘柜，行级规则可直接照做。 最硬问题：文档要求"只在 G 列整理结果、H 列引用说明填充"，但模板没有这两列——三表表头只到 F（B 类别、D 审查点、E 招标要求、F 备注），G6/H6、G7/H7 均为 None，列宽只定义 A–F，F 列标题是"备注"。照做等于把两列无表头内容加到模板框外，与"格式一律不动"冲突。 第二：缺信息三种写法并存——【待确认】(L58/L77)、"文件未标注"(L29)、"不需要"；L77 要把 <span style="color:red">【待确认】</span> 写进单元格，L19 又要求用 Font/PatternFill 上色，二选一就会把 HTML 标签当正文。 第三：关键词"搜索 flow/head"是子串匹配。4 行英文规范实测：grep -i flow 命中 overflow pipe，grep -i head 命中 discharge header 与 headroom；改 \bflow\b 才排除。 建议：补 G/H 表头、统一缺失口径、只写纯文本靠样式上色、关键词改词边界。

实测：node 22 + npm 10.9.7 下 npm install -g @coze/cli 通过（175 包 24 秒），--version 得 0.3.11；deploy 的 status/fix、message 的 send/status/cancel 均真实存在。coze auth login 确为前台阻塞，输出含 user_code= 与 https 链接，避坑方案有效。 最硬问题：未登录跑 coze code message status -p fake_project --format json，先打一行纯文本 "No API token found"，再输出 E2001 JSON，退出码却是 0。文档给的轮询脚本用 grep -o '"status":"[^"]*"' 取状态，此时取到空值，不判空也不看退出码，会把 60 次循环空跑完，界面只剩"状态: "。 第二问题：coze auth status --format json 实际是 {"logged_in": false, "_notice": {...}}，文档写的 status/user_id/token_expires_at 都不存在，取 .status 必为 None。 建议：轮询先判空即 break、看退出码；文档按实际字段改写；提示 --format json 可能混纯文本行。

实测能跑质量高：doctor、portability-check、smoke 六项全 PASS。用 4 座污水厂月度 KPI 造样例，generate() 一次出表，派生列为真公式 =IFERROR(C2/B2,0)、占比 =B2/SUM($B$2:$B$5)；create_workbook_from_source() 把千分位 "42,100" 正确转 42100、空值不填 0，自动追加 Analysis 汇总表，预览渲染正常。最硬问题是打包：ZIP 里 32/32 条目全用反斜杠分隔（如 pro-excel-gen\agent_excel.py），Linux/macOS 解压后目录结构消失、文件平铺且名带 "\"，SKILL.md 不在包根，Agent 加载不到，我先手工换成 / 才跑起来。建议统一 posix 分隔符并把 SKILL.md 放根目录。次要：deliver 的 stale_output 门禁在"先生成再 start --job-id"时直接 FAIL，提示却是 generation likely failed，建议提示检查先后顺序。

真实公文实测：自写 T1 请示（title/org/doc_no，正文 11 段、1 张 6 行三线表、21 处数字），python scripts/main.py --md qingshi.md --template T1 一次成功。规格到位：A4、上 3.7 下 3.5 左 2.8 右 2.6 cm，正文三号朱雀仿宋 16pt、行距约 29pt，标题 22pt，发文字号进首页版头，奇偶页页码 —1— 分别右/左对齐，保真报"11 段、24 格、21 处数字零改动"。硬伤一个但影响体面：落款孤页。输出 3 页，第 3 页只有"妥否，请批示/单位/日期"三行。根因可定位：scripts/render_check.py 的 A11 孤立落款检测写死 if _tpl == "T6"，T1 被跳过；且三段落款 keep_with_next 均为空，M4 的落款链未覆盖 T1。建议 A11 放开到 T1/T6 并补 keepNext。另 3.2 节未列 colophon 的 copied_to/printed_by/print_date，照文档填不出公文版记。

实测：docx→pdf 经 LibreOffice 成功，质量自检 94.1 分；pdf-merge 合并两页、pdf-encrypt（needs_pass=1）正常。硬伤两处：①中文水印全变方框。执行 convert.py --tool pdf-watermark --tool-input a.pdf --tool-output wm.pdf --watermark-text "内部资料 临潼博华"，水印渲染成灰色实心方块，PyMuPDF 抽文字层得到一串 IIII；根因在 scripts/pdf_tools.py 约 465 行写死 fontname="helv"，Helvetica 无中文字形，建议注册 Noto/STSong。②单文件模式 -o 被忽略：convert.py a.docx -f pdf -o renamed.pdf 只产出 a.pdf，get_output_path 把 -o 整体当目录名拼 {base}.pdf，建议区分文件名与目录。另 xlsx→pdf 在缺 calc 过滤器环境全失败，报错仅"所有转换策略均失败"，未指明缺 LibreOffice 过滤器还是 fpdf2，建议带上探测结果。

实跑环境 node 22。包里没有 CLI 派发：node index.js stats 与 node index.js 均无输出、退出码 0，连未知 action 都不报错，index.js 只 export default {handle}。按 SKILL.md 示例 handle({action:'search',query:'x'}) 实测一律返回“请提供搜索关键词”——实现是 handle({params={}}) 再解构（index.js 第 743-744 行），文档少写一层 params，8 个 action 全部不可用。补上 params 后功能真实可用：ingest 把 md 与 html 摄入 raw/（html→md 保留 h1/ul）、compile 生成结构化提示词、rebuild-backlinks 建索引、lint 准确报出断链、fix-broken-links 生成 stub、backlinks 正反向链正确。另两处文档与实现冲突：双模式表称原始模式可 grep 已有 md/txt，实测 search 查询只存在于 raw/ 的“叠螺机”返回 total:0，raw 必须先 compile；stats 返回 rawDir 是相对路径 raw，init 却给绝对路径。建议补 bin 入口或明确必须注入 params，并按实现修正双模式表。

实跑：python3 -m scripts.knowledge_sync --destination obsidian --mode once --vault-root /tmp/xp_vault --markdown-path /tmp/xp_draft/draft.md，输入是带 YAML frontmatter 的污水厂验收要点（三个 H1 小节）。命令返回 processed:1，但生成笔记只有标题和一行“Source: (missing)”，正文三节、summary、tags、source_url 全消失——导入即丢内容。根因两处：load_markdown_file 已把全文放进 draft 的 content 字段，而 obsidian_note.py 组装 body（约 180-268 行）只渲染 summary/bullets/evidence，从不读 content；frontmatter 未解析，标题取自 H1，tags 为空。另：自带单测全绿（55 passed），说明没覆盖正文保真。可用部分：mode=sync 去重有效（二次执行 skipped:1）。建议把 content 原样写入正文并剥离 frontmatter，补“输出必须含原文关键句”的端到端断言。

实跑：python3 main.py --pages 1 --details 1 --type gkzb。列表页 https://www.ccgp.gov.cn/cggg/zygg/gkzb/index.htm 返回 HTTP 403，脚本记一条 WARNING 后 break，汇总却打印“暂无命中项目，可尝试更换关键词”——把抓取失败说成没有商机，这在水务招投标场景是最危险的误判。第二处：scraper.py 的间隔写在 status_code==200 之后，失败路径完全不 sleep，实测连续 3 次 403 请求总耗时 0.10 秒，与 config 里“合规铁律 列表页≥5 秒”自相矛盾。第三处评分：用临潼污水厂提标改造招标（3200 万、陕西、标题含“污水处理”）实测仅 49 分，低于 50 分“值得跟进”阈值故不抓详情页；原因是“污水处理”归入 broad_keywords 只计 8 分，地域档位硬编码浙江 20/长三角 15，非浙江用户同类项目被系统性压分；且“排水/管网/排水管网”互为子串、同一标题重复计分到 25 分封顶，导致通用标题（78 分）反而高于真实项目。建议：失败与零命中分开报告并在退出码体现；sleep 移到 finally；地域档位改配置且默认中性；关键词按长词优先去重。真能跑的是列表/详情/存储/导出链路与评分框架，值得修。

实测：Python3.11+python-docx。read_docx.py 读本机真实《南庙村污水处理站点征地补偿情况说明》docx 段落 JSON 正常；create_docx.py --type report 生成公文，量得页边距3.70/3.50/2.80/2.60cm，标题方正小标宋二号，正文仿宋三号。 最硬问题：成品纸张是 Letter 而非 A4。复现：create_docx.py --type report --output 报告.docx 后用 python-docx 读 section，page_width=215.9mm、page_height=279.4mm 正是 Letter，标准要求 210×297mm。根因 set_document_format() 只设页边距，未给 section.page_width/page_height 赋值，默认模板即 Letter，须手改页边距才能归档。 第二问题：read_docx.py 只读 doc.paragraphs 不读 doc.tables，丢表格。复现：造 2 行 3 列表格 docx，read_docx.py 报 total_paragraphs=1，表格 6 个单元格全丢。 建议：显式设 page_width=Cm(21)、page_height=Cm(29.7)；补表格提取。

实测：Linux+.NET8.0.427，手工 dotnet build MiniMaxAIDocx.Cli.csproj 通过，跑通 create/analyze/validate。 最硬问题：--content-json 含分页符条目时 create 抛未捕获异常中断，却留下半成品 docx，且它能通过 validate 判为合格。复现：JSON 写 {"type":"pagebreak"}，运行 CLI 的 create --output 运行报告.docx --content-json content.json，进程报 Unhandled exception KeyNotFoundException，堆栈 CreateCommand.cs:297 element.GetProperty("text")——该行要求每条都有 text，pagebreak 不需要。崩溃后已生成 3093 字节 docx，只含 7 段、丢失「三、下一步工作措施」整节；再 validate --json 得 isValid true、errors 空，残件被判合格。 建议：GetProperty 改 TryGetProperty、pagebreak 分支前置，失败删已落盘文件。附带 env_check.sh 的 dotnet restore 指向目录非解决方案，SDK8 下报 MSB1003。

实测：Python3.11+openpyxl3.1.5，造 3 表运行月报样表（23 个公式），跑通 reader、formula_check、unpack/pack。 最硬问题：formula_check.py 遇绝对 Target 的 xlsx 会静默漏检全部公式，把坏文件判成 PASS。复现：python3 scripts/formula_check.py 运行月报_测试.xlsx 输出「Formulas checked:0、PASS」退出码 0，而该文件实际有 23 个公式；含 '不存在的表'!A1 与 #REF!A1 的坏表同样 PASS 退出码 0，改相对 Target 才报出 2 个错误。根因 get_sheet_files()：Target 以 /xl/ 开头被判非相对路径，拼成 /xl/worksheets/sheet1.xml，与 zip 内名不匹配，校验全跳过。openpyxl 与本机 5 个真实 xlsx 都写绝对 Target。xlsx_add_column.py 同场景报 FileNotFoundError: '/xl/worksheets/sheet1.xml'。 建议：Target 用 normpath 或 lstrip('/') 拼接，两脚本共用解析函数。优点是 OOXML 直改不碰 VBA；但校验等于没跑。

实测：Python 3.11 加 pandas 3.1.0。造三厂（临潼、漳浦、利川）6 个月运营数据 CSV，含月份、厂站、进水流量、出水COD、氨氮、吨水电耗、超标天数、药耗、处理率共 18 行 9 列，另造含脏数据版本，含完全重复行与空值行。--help 正常，两次真跑（mckinsey 与 ft 风格）均退出码 0，产出 14.7KB 单文件 HTML，自动识别出 1 个维度（厂站）、7 个指标、时间线（月份），描述性统计与 5 个 ECharts 图表正常。 最硬的一条问题：文档承诺 15 种以上图表类型、数据分布直方图与箱线图、相关性相关系数矩阵，实际只落地 3 种图表类型（pie、line、bar）。复现：grep scripts/generate_report.py，histogram、boxplot、scatter 出现次数均为 0。直方图数据算出来了存进 distribution 字典，键名形如 {metric}_histogram，但 _generate_charts_section 根本没有读取该键，算完就丢，所以 7 个指标只出 3 个趋势图。相关系数矩阵同理：correlation_analysis 计算并返回了 correlation_matrix，全脚本只有这一处出现该字段，_generate_correlation_section 只取 strong_correlations，矩阵从未渲染。复现：造强相关数据（进水流量与吨水电耗完全线性）跑一遍，报告出现相关性分析章节，但只列 3 条强相关对，没有矩阵表。此外图表数量被硬截断，trends 取前三、维度取前三且指标取第一，最多只出 5 张图，我的吨水电耗、超标天数、药耗、处理率 4 个指标全部没有趋势图；报告唯一外链是 jsdelivr 的 echarts CDN，内网或断网环境图表全空白。 建议：渲染已算好的直方图并补箱线图，把 correlation_matrix 渲染成热力图表格，把截断改成可配置上限，ECharts 内联以支持离线。优点是维度与指标识别准确、11 种风格模板齐全、产出单文件便于转发，作快速带图摘要可用；但图表类型与文档差距较大、离线不可用，这两点修好前不宜当正式交付物。

实测：Python 3.11 加 openpyxl 3.1.5 加 pandas 3.1.0。造两份污水厂设备对账单，英文客户方为 Model/Part No./Qty/Amount(EXW)，中文对账方为 型号/数量/金额(含税)，埋型号规范不同（DIN472-280-钢丝 对 A-280）、合计行、运费行、数量差 30 件、单边缺失（WS-160 中文方有英文方无）、非数值单元格（待定、约100）六个坑。--help 正常；不带 --map 跑，两边共有型号 0 种、13 个型号全被判成单边独有，与文档警告一致；带 --map 后 5 种正确配对，定位到 b200 数量差 +30、ws160 单边缺失、运费单列。合计行剔除有效，我把合计故意写成明细两倍的 141400，脚本报总金额仍为 70700，说明剔除生效。脏数据告警也生效，待定与约100 被识别并提示人工核对。输出文件在原表数据区末尾新增差异标注列并标红黄底。 最硬的一条问题：文档阶段2 写明「单价口径陷阱……统一用含税单价等于含税金额除以数量后再比」，但脚本没有实现。复现：英文方单价 12.50 金额 15000，中文方单价 13.75 金额 16500，同一批货未税对含税，跑完报「金额不一致 5 个」，a280 差 -1500.00，五个型号全部被标成金额差异，正是该坑要防的情况。根因是脚本只有 AMT_KEYS 和 PRICE_KEYS 这类按表头挑列的关键字，没有任何金额除数量的口径归一。第二个问题是阶段4 承诺的拆单合并同样未实现：同一样例的 SO-2024-0001 与 SO-2024-0001-1 被当成两个独立单号并列示为不一致，无同前缀归并。此外 --key "Part No." 时文件1 改用 Part No. 列，映射表里的中文型号键失效，两边共有型号仅 1 种，--key 与 --map 的组合语义未定义。 建议：补含税口径归一与拆单合并，或从文档中删除这两条承诺；写清 --key 与 --map 组合语义；附官方样例便于先跑通。基础比对、合计行剔除、运费分列、脏数据告警这四项做得扎实，可作对账初筛，但两个关键坑补齐前不宜用于正式对账。

实测：Python 3.11 纯标准库。先跑 selftest，54/54 通过、退出码 0。再造污水厂运营平台配置做真实体检：.env 含真实 DATABASE_URL、重复键 WWTP_PLANT_CODE、DEBUG=true、VERIFY_SSL=false、API_SECRET=changeme，.env.example 含占位符，app.py 用 os.environ/os.getenv 引用，无 .gitignore。跑 check 后退出码 1，检出严重 4 中危 10：ENV003 精确指出「第 8 行 LINTONG 被第 9 行 LT01 静默覆盖」并附两行原文，ENV007 命中 DEBUG 与 VERIFY_SSL，ENV010 提示 .env 未进 .gitignore，ENV008 命中 DATABASE_URL 与 DATABSE_URL 拼写近似。另测 --json（键完整）、--fail-on none（退出码 0）、空输入（退出码 2）、同输入两次输出逐字节一致，均符合文档描述。 最硬的一条问题：ENV004 对 .env.example 误报。示例文件里的 your-password-here 本就是规范占位写法，仍报「值仍是占位符，未替换为真实值」。复现：建空目录，写 .env.example 为 DB_HOST=localhost 加 DB_PASSWORD=your-password-here，写 app.py 引用这两个变量，加 .gitignore 写入 .env，跑 check 退出码 1，报 ENV004 两条加 ENV001 一条。根因在 scripts/env_drift.py 第 348 至 357 行，ENV004 遍历全部配置文件，未像 ENV010 第 285 行那样把 example 文件排除，导致样例与真实 .env 套用同一判定。附带问题：自带 selftest 的 clean/.env.example 只填真实值，没覆盖「example 含占位符」这一主流写法，所以 54 项断言全绿却漏掉该误报。 建议：ENV004 对 example 文件降级为提示不计入退出码，或按文件类型分流；selftest 增补一条 example 含占位符用例。诊断定位准确、行号证据齐全，作为 CI 门禁可用，但需先改这一处规则再用于交付。

实测：造一份 7 列 5 行工程量清单 xlsx（含两行完全重复的 010101002 挖一般土方、一行空编码行、空数量），运行 python3 main.py 输入文件 输出目录，退出码 0，JSON 报告识别类型「清单类」置信度 0.655，产物表头填充 004472C4、微软雅黑加粗、冻结 A2、自动筛选 A1:G6、列宽自适应，识别与格式化链路是通的。最硬的问题：多 Sheet 工作簿只读第一张表，输出只剩一张，第二个 Sheet 数据整表丢失。复现：造 two_sheet.xlsx（sheet1 工程量清单＋sheet2 计量支付表），跑同一命令，产物读出 sheets=['Sheet']，sheet2 全部行不见了。根因 read_xlsx_basic 硬编码读 xl/worksheets/sheet1.xml，写盘端也是 Workbook()＋wb.active 单表，SKILL.md 称支持 7 类工程表型识别却没提多表限制；工程里计量支付表、施工日报常是多表工作簿，静默丢表等于数据事故。第二处：编码列被强转数字丢前导零并套千分位，010101001 写出后变成 10101001、number_format=#,##0。第三处：我特意放两行完全重复数据，SKILL.md 承诺「编码唯一性、计算逻辑」校验，实际 review_excel_data 只有 4 项检查，重复行一条没报，结论仍是「通过」pass_rate 75.0。另外 SKILL.md 完全没写命令行用法，输出目录参数是读 main.py 猜出来的。建议：改用 openpyxl 读全部 sheet 并逐表输出、编码列按文本写出并关千分位、补齐重复行与合价=量×价校验、补命令行示例。

实测：造 6 行厂站水质 CSV（含整行重复、空值、2026/1/5 与 2026-01-05 混排日期），跑 python scripts/main.py clean --normalize all --auto-detect-dates --auto-encode --dedup-columns 厂站,处理量 --fill "处理量(万吨)=median"，报告输出「去重 6→4 行、填充 1 个、日期标准化 3 处」，产物日期全规整为 2026-01-05、填充取中位数 10.2，逻辑正确。infer、report(html)、find-dups、outliers、correlate、detect-dates、quality-score 逐个实跑均 exit 0，quality-score 给出 92.5 分及列级完整/唯一/格式/范围四项评分，能力密度是同类里最实在的。最硬的问题：GBK 输入自动嗅探后，输出仍以 GBK 写出，下游按 UTF-8 读直接炸。复现：用 GBK 写一份 CSV（首字节 b3a7d5be），跑 clean --auto-encode --force，退出码 0、报告打印「检测编码: gb18030」，但产物字节仍是 b3a7d5be…，按 UTF-8 解码报 UnicodeDecodeError: 'utf-8' codec can't decode byte 0xb3 in position 0。根因是 dedup.py/fill.py/normalize.py 里 open(output_path,"w",encoding=encoding) 沿用输入编码，SKILL.md 未声明输出编码、也无 --output-encoding 参数。另两处：profile 未装 duckdb 时抛 ModuleNotFoundError 栈回溯；版本号三处打架——frontmatter v3.3.0、正文标题 v3.2.0、--version 输出 3.2.0，实际下载版 3.3.1。建议：输出编码独立成参数并默认 utf-8-sig、缺 duckdb 降级 pandas、统一版本号。

实测：造含标题、主送机关、一二三级标题、附件说明、署名、成文日期的请示 docx，跑 python3 main.py format --input in.docx --output out.docx，退出码 0。核对：页边距 3.70/3.50/2.80/2.60cm、A4 210×297mm 全对，12 段行距均 355600 EMU（固定28磅），标题小标宋二号居中、正文仿宋三号首行缩进2字符、一级标题黑体、二级楷体，日期「二〇二六年十月二十五日」正确转成「2026年10月25日」，基本盘扎实。最硬的问题：落款识别用单字关键词匹配（org_keywords 含「处」「会」「室」「组」「办」「院」）。实测报告类文档时，正文末句「持续推进深度处理改造。」因含「处」字被误判为落款并右对齐，真署名「西安绿荫环境工程有限公司」反被当正文排成缩进2字符；analyze_document 返回 issuer=持续推进深度处理改造。、issuer_index=4。复现：段落按[标题][一、xxx][含「处/会/室/办/院」且以句号结尾的正文句][署名][日期]排列即触发。另：署名与日期仅右对齐，无 GB/T 9704 的署名右空四字、日期右空二字，会贴死版心右边界。建议：落款改为「日期上方紧邻段＋无句末标点＋含完整机构名」联合判定，句号结尾正文句直接排除；右空字数做成参数。

用 node 实测：index.js 是 ESM 默认导出，package.json 声明了 bin，但直接 `node index.js` 无任何输出，也没有参数解析，必须 `import('./index.js')` 后调用 createTeam()。传 {template:'minimal', dryRun:true} 能正常返回 pm、coding 两个 agent 的预览与 nextSteps，逻辑是通的。问题有三：1) 路径写死 /home/<user>/.openclaw/workspace-*，非 OpenClaw 环境会到处建目录；2) 模型默认写死 minimax/MiniMax-M2.5，模板里没暴露可改项；3) 没有 CLI 入口却声明 bin，文档写的 `openclaw agents list` 在当前环境不存在。建议补 CLI 与 --base-dir、--model 参数。

按 SKILL.md 走了一遍：templates/todos.json 是合法 JSON（{todos: []}），project-scaffold/PROJECT.md 模板齐全，安装步骤 1-4 可直接照做，把 Context Relay 四段（session 启动读文件、cron 前写 todos、子 agent 交接、压缩后回填）加进 AGENTS.md 即可，不需要额外依赖。思路是「文件是唯一真相源」，对 cron 和子 agent 场景确实有效。短板：纯文档型技能，没有任何可执行校验脚本，装完对不对只能靠自己观察；建议附一个 selfcheck 脚本检查 AGENTS.md 是否已含四个段落。另外 284 行 SKILL.md 里重复表述较多，可压缩到 150 行。

在空目录实测 bootstrap：SESSION-STATE.md、working-buffer.md、memory-capture.md 三个文件一次生成，随后 report 正确列出 Supported files / Directories / Latest daily note / Warnings 四节，并对缺失的 MEMORY.md 与 memory/、attachments/ 目录给出明确告警，exit 0 行为与文档一致。文档把 report 只读、apply 幂等（candidate_document_id 去重）讲得很清楚，这一点比多数记忆类技能靠谱。不足：SKILL.md 400 多行偏长，快速上手和完整流程混在一起；distill/apply 生成的 suggested_memory 缺少示例输出，第一次用不知道长什么样。建议加一段真实输入→输出的样例。

按 requirements.txt 装好 requests+beautifulsoup4 后实测：fetch_news.py 能跑通，wallstreetcn 与 weibo 两个源正常返回带 source/title/url/time 的 JSON，中文标题完整。但 hackernews 与 github 两个源在本机返回空数组 [] 且 exit 0，脚本没有把「抓取失败」和「确实没新闻」区分开，按 SKILL.md 的 all 模式做全量扫描时很容易误判成当天没热点。建议：1) 每个源返回空时在 stderr 打印 HTTP 状态或解析条数；2) 在 SKILL.md 里标注哪些源依赖境外网络；3) 加 --verbose 便于排查。整体结构清晰，28 源覆盖思路不错，修掉静默失败可以到 4 星。

实测：ZIP 内只有 1 个 SKILL.md，无脚本、无示例数据、无方法实现。造了一份 GBK 编码的厂站月度水量 CSV（临潼/漳浦/利川 × 两个月），按 L2 写的“pandas.read_csv() 自动检测编码(utf-8/gbk)”直读 → UnicodeDecodeError: 'utf-8' codec can't decode byte 0xb3 in position 0；显式 encoding='gbk' 才读出 6 行 4 列。再按 L6 自写 A1 Delta 归因：总变化 -7.2 万吨，临潼 -8.2（贡献 113.9%）、利川 -2.5、漳浦 +3.5（-48.6%），路由表选的方法是对的。问题：①文档承诺自动识别编码却没有任何实现或代码片段，照做必报错。②有 3 处硬依赖飞书工具：L1 feishu_ask_user_question、L2 feishu_bitable_app、L7 feishu_create_doc，而 L4 明确“不确认不往下走”，在 Hermes/OpenClaw 原生环境流程会在 L4 卡死，文档没有降级方案（普通对话确认 + 本地 Markdown 报告）。③方法库列了 15 种方法，却没有一条公式或参数约定（如 Delta 归因的符号方向、LMDI 用加法还是乘法形式），落地全靠 Agent 自由发挥，同一议题两次跑结果可能不一致。建议：补 scripts/（至少 read_data.py 与 a1_delta.py），把 feishu_* 改成可选适配器，每种方法给一句公式。

实测环境 Linux 容器、node v22.22.2、agent-browser 0.27.0 已就绪。按文档第一步 agent-browser open https://example.com 直接失败：✗ Auto-launch failed: Chrome exited early … No usable sandbox! … Hint: try --args "--no-sandbox"。agent-browser close 后加参数重试：agent-browser open https://example.com --args "--no-sandbox" → ✓ Example Domain；随后 get title、snapshot -i（返回 link "Learn more" [ref=e1]）、fill @e24 "污水" + press Enter（URL 变为 ?search=%E6%B1%A1%E6%B0%B4）、screenshot shot.png（415KB 落盘）全部成功，ref 交互链路可用。问题：①SKILL.md 通篇没有 --no-sandbox，Troubleshooting 只写了 ARM64 用全路径，容器/无 root 环境第一次执行必挂，Agent 容易误判技能损坏。②daemon 已运行时 --args 被静默降级成 ⚠“--args ignored: daemon already running”，命令仍以 0 退出并沿用旧配置，看不出参数没生效。③npm install -g agent-browser 在本机报 EACCES（/opt/node/22.22.2/lib/node_modules 无写权限），文档没给 --prefix 或 npx 的免 root 方案。④内容本质是 vercel-labs/agent-browser 的命令速查，稀缺性一般。建议：把无沙箱启动写进安装后第一步并给 Docker 示例；--args 被忽略时应非 0 退出并提示先 close。

实测：造了一份含大标题、主送机关、一二三级标题、中英数字混排、英文直引号的《关于临潼污水处理厂9月运营情况的请示》docx，运行 python3 format_docx_v7.py in.docx out.docx 请示，退出码 0。核对输出：页边距 3.70/3.50/2.80/2.60cm 全对，11 个段落全部 w:line="560"（固定 28 磅），一级标题黑体、二级楷体_GB2312、正文仿宋_GB2312 三号，数字与英文自动切 Times New Roman，“临潼厂”的英文直引号被转成中文弯引号，落款日期无句号，比手写 python-docx 省事得多。问题：①scripts/format_docx_final.py 有语法错误，直接运行报 line 28 run._element.rPr.rFonts.set(qn('w:eastAsia'), chinese_font → SyntaxError: '(' was never closed；包里 5 个脚本（format_docx/_new/_correct/_final/_v7）没有版本说明，只有 v7 能用，容易调错。②SKILL.md 写明“请示大标题后 1 个空行”，但 v7 实测输出 11 段无空行，脚本自述“保留原文档空行结构”，文档与实现不符。③成文日期与发文机关署名只做右对齐，未按 GB/T 9704 右空四字/右空二字，套正式红头文件会贴版心右边界。建议：删废弃脚本只留一个入口，把空行与右空字数做成参数，附最小回归样例。

实测 node v22。文档 CLI 段列的 4 个白名单命令在 index.js 里根本没解析：跑 node index.js --whitelist-add weather，whitelist.json 前后 diff 无变化，只打印 usage；真正入口是 JS API workflow.main({whitelistAdd})，这条能写入。路径硬编码是最硬的坑：SKILL_DIR 写死 ~/.openclaw/workspace/skills，而 ZIP 自身解压路径是 root/.openclaw/skills/...，两者不一致，非该布局环境一律 ENOENT 且 availableSkills:[]，没有 flag/env 可覆盖。功能我做了端到端验证：自建 demo-skill，getX 步骤真实执行并回传 output；未入白名单的 rogue-skill 被正确拒绝（is not in trusted whitelist），引擎核心与白名单机制有效。但描述里的条件分支、循环执行、并行处理、定时触发，在 index.js 里 grep 不到实现，属夸大宣传。另 SKILL.md 写 count:14，实际白名单 13 条。建议路径支持环境变量覆盖、CLI 补齐子命令、删掉未实现的卖点。

实测：uv tool install semgrep（1.182.1）后真跑。文档第 150 行的示例命令原样执行直接失败——配置路径拼成 semgrep_ruls.yaml（少一个 e），脚本返回 semgrep failed。改用 assets/semgrep_rules.yaml 后正常，扫 fetch.py 得 2 条 cap-* INFO、risk_level=low。真实漏报：fetch.py 第 64 行 subprocess.check_call([sys.executable,'-m','pip','install','scrapling']) 属运行时装包，但规则 py-pip-install-execution 只匹配 ["pip","install"] 字面量与 os.system("pip install ...")，-m pip 形式完全漏掉，我另建最小样例复验同样零命中；而 shell=True 被 py-dangerous-subprocess-shell 正确判为 high，正例有效。第二点：文档承诺的域名/路径白名单豁免在 semgrep_runner.py 里没有任何实现，只能靠模型自觉遵守。建议补 -m pip 规则、把 cap-* 能力项与风险项分开统计（现混在 items 里虚增条数），并修掉路径拼写。

实测环境 Python 3.11 + urllib，按 README 直接跑 python3 scripts/fetch.py https://example.com，五级降级全部失败，只输出「抓取失败: 所有抓取方法都失败了」，退出码 1。逐层排查根因在 try_fetch_with_urllib：请求头写 Accept-Encoding: gzip, deflate, br，正文却只判断 Content-Encoding == 'gzip' 才解压。markdown.new 支持 br，返回 Content-Encoding: br、原始 155 字节，decode 后仅 82 字符，被 len(content) > 200 阈值判为失败，于是 markdown.new / defuddle.md / r.jina.ai 三个源全部误判。对照复现：把请求头改成 'gzip, deflate' 后一次成功返回 233 字符正文。修法一行：去掉 br 或补 brotli 解压。另两处问题：文档提到的 scripts/extract_text.py 包里不存在；Scrapling 那段自动 pip install 在无 pip 的 venv 下直接抛 No module named pip，建议改读 requirements.txt 并提示用户手动装。修掉 br 后抓中文站（生态环境部政策页）正文正常，降级链设计本身是对的。

规则库本身很扎实，18.9KB 的 SKILL.md 把中文 AI 味拆成了可勾选的清单：过度强调意义与遗产、拿知名度当论据、-ing 式肤浅分析、三段式排比、滥用破折号与“不仅仅是……而是”，还配了改写前后的对照例子。拿一段公文式套话试改，能明显压掉空转的形容词，剩下的都是实词。作为纯提示词技能，没有脚本可跑，效果上限取决于执行它的模型，这点作者也没回避。 明显要修的地方在打包：ZIP 里 32 个文件有 28 个是 .git 目录（config、packed-refs、objects 都在），实际内容只有 SKILL.md / README.md / LICENSE / .gitignore 四个。等于把仓库元数据一起发布出去了，既占体积也可能泄露本地路径。建议作者剔除 .git 重新打包，我已按剔除后的四个文件验证过技能可正常读取。

实际测试：下载 ZIP 后解压，SKILL.md 约 490 行，含 7 种模块类型（brand-array/specs-scale/deep-dive 等）与完整工作流；用 scripts/infographic_generator.py --help 可正常显示参数说明。随后拿 references/module-config-example.json（咖啡豆 7 模块配置）真跑 --config --output，脚本正确生成 7 条模块 Prompt 并保存 prompts JSON；再用 7 张 800x600 测试图传 --images 合并，成功输出 800x4320 的信息长图，合并逻辑无报错。发现的问题：1）脚本本身只做「拼 Prompt + 纵向拼接」，每个模块的图必须由 Agent 另行调用生图工具完成，包装里没有任何生图环节，容易让人误以为是端到端出图；2）--images 不校验图片数量与模块数是否一致，传 5 张图配 7 个模块也不报错，静默错位；3）SKILL.md 要求底部水印固定写「模板 by WaytoAGI AJ」，二次创作场景对使用者不友好。建议：合并前校验 images 数量与 modules 数量并逐条报错；在 SKILL.md 补一段无生图工具时的降级方案。整体结构清晰，模块化坐标设计有辨识度，可用。

实测可用。用一份 3 行 4 列的污水厂水质 CSV（site/cod_in/cod_out/flow）跑了两轮：--mode describe 输出了行列数、字段类型、数值列的均值/中位数/标准差，耗时 0.03 秒；--mode query 配合 --table_name 指定表名后正确返回按 cod_in 倒序的 3 行结果，并支持查询失败自动重试。 两个上手要注意的点： 1）ZIP 里的路径用了反斜杠（scripts\duckdb_analyzer.py），在 Linux/macOS 上解压后脚本会变成一个带反斜杠的文件名，按文档执行 python3 scripts/duckdb_analyzer.py 会直接报 No such file，得手工改名。这是打包方式问题，不是逻辑问题，建议作者用正斜杠重新打包。 2）duckdb / pandas / openpyxl 需要自行安装，SKILL.md 里已声明依赖，装完即用。 默认表名是 data 这一点文档里写清楚了（示例全是 SELECT * FROM data），不算坑，我第一次用了文件名当表名才报错，属于我没看文档。总体是那种拿来就能干活的工具型技能。