Multica 技能导入器
将技能从 URL 或本地文件可靠地导入 Multica 工作区，并绑定到智能体。
证据显示技能以用户的明确导入意图为前置，使用受控CLI命令（multica skill import）和结构化输出；冲突处理默认安全（fail），overwrite需用户明确选择且仅限创建者，并有保留ID和绑定等回滚保障。技能明确禁止使用npx skills add等绕过Multica管理的方式。存在潜在风险：技能允许执行任意multica命令，可能影响工作区数据，但默认的fail策略和明确的on-conflict选项降低了风险。缺少对敏感数据处理的说明，但该技能本身不涉及数据外泄。因此得分为12，因权限控制和数据流透明度仍有改进空间。
技能指令与源代码映射清晰，提供了详细的命令行示例和错误处理流程。但静态审查无法执行验证，且技能中引用的源代码行号可能随时间漂移，不过提供了重新验证的方法。技能对异常情况（如旧服务器返回不同格式）有处理指导，但缺少测试覆盖和完整的故障反馈验证。因此得分为10，符合静态审查的上限。
技能明确其适用场景：仅在用户提供URL或导入目标时使用，不适于选择技能。支持多种URL源（clawhub、skills.sh、github）和本地归档导入，环境适应性较好。但未特别说明对大陆网络的适配，且依赖的hosts可能无法访问，需在注意事项中提及。触发条件清晰，但边界描述仍有细化空间。因此得分为12。
SKILL.md结构清晰，包含frontmatter（name、description、allowed-tools）、使用说明、示例和参考资料。但缺少版本号、变更日志和显式的维护责任说明。许可证信息在仓库中但非技能自身。提供了源码映射文件，便于维护。因此得分为12。
技能提供了明确的导入步骤和验证方法，能够指导用户完成技能导入和代理绑定。但静态审查无法验证实际执行效果，且技能输出格式依赖CLI的真实响应，用户仍需查看输出确认。缺乏对比手动操作的优势证据。因此得分为5，符合静态审查的上限。
技能包含源码映射文件，将每个行为映射到具体代码位置，并提供重新验证命令。但这些都是仓库内部资料，没有外部独立性验证，且未附真实性证明。因此得分为5，符合静态审查的上限。
- 静态审查无法验证实际执行效果；技能依赖的hosts（clawhub.ai、skills.sh、github.com）可能在大陆网络无法访问，需用户自行确认。
- 技能允许执行multica命令，可能影响工作区数据；建议用户使用默认的--on-conflict fail策略，并在必要时开启明确确认。
- 技能未提及敏感数据处理的细节；用户在使用overwrite策略时应确保自己是技能创建者，避免覆盖他人技能。
这个 Skill 能做什么，适合哪些场景？
这个技能用于将托管在 ClawHub、skills.sh 或 GitHub 上的技能，或本地 .skill/.zip 存档导入 Multica 工作区。它使用 multica CLI 调用工作区导入端点，处理冲突策略，并验证代理绑定。它旨在避免常见的陷阱，例如使用 npx skills add 绕过 Multica 管理。该技能提供可验证的步骤，并鼓励阅读源映射文件以获取详细的可追溯性。
运行 multica skill import --url 或 --file 命令，将技能安装到 Multica 工作区数据库。它支持来自 ClawHub、skills.sh 和 GitHub 的 URL，以及本地 .skill/.zip 文件。技能处理 --on-conflict 策略（fail、overwrite、rename、skip），解析结构化响应，并使用 multica agent skills add 和 list 命令将技能绑定到智能体。它验证目标技能 ID 在绑定后是否出现，并避免使用 npx skills add。
- 用户提供一个 ClawHub 或 skills.sh URL，想要将其技能添加到其工作区。
- 用户希望从 GitHub 仓库导入技能，可能是特定目录或 SKILL.md 文件。
- 用户有一个本地 .skill 文件（例如从 Anthropic 的 skill-creator 打包）并希望将其上传到 Multica。
- 用户想要将导入的技能分配给特定智能体，同时保留现有的技能分配。
- 用户需要处理名称冲突，例如通过重命名导入或覆盖现有技能。
- 用户不确定导入是否成功，并希望验证响应中的技能 ID。
这个 Skill 有哪些优点和局限？
- 确保技能实际安装在 Multica 工作区数据库中，而不是本地环境。
- 支持多种来源类型：ClawHub、skills.sh、GitHub URL 以及本地 .skill/.zip 文件。
- 提供明确的冲突策略（fail、overwrite、rename、skip），保护现有技能。
- 通过结构化 JSON 响应和明确的验证步骤提供清晰的可追溯性。
- 内置 zip-slip 保护和文件大小限制。
- 仅适用于 Multica 生态；需要安装并配置 multica CLI。
- 需要网络访问以进行 URL 导入，并且需要访问托管来源（GitHub、skills.sh、ClawHub）。
- 如果较旧的服务器返回简单字符串而不是结构化 existing_skill，则冲突处理可能需要手动恢复。
- 尚未提供测试套件的证据。
如何安装这个 Skill？
该技能是 Multica 仓库（server/internal/service/builtin_skills/multica-skill-importing/SKILL.md）中的内置技能。安装 Multica CLI（例如 brew install multica-ai/tap/multica）后，应该可以通过其技能目录框架获得。具体来说，如何将 SKILL.md 激活到工作区并未在来源中明确说明——参考仓库文档中的安装步骤。
如何使用这个 Skill？
在 Multica 环境中进行提示：例如，“从 https://skills.sh/acme/repo/review-helper 导入技能”。该技能将运行：multica skill import --url <URL> --output json，然后（可选）multica agent skills add <agent-id> --skill-ids <skill-id> --output json。有关所有选项和冲突处理，请参阅 SKILL.md 中的命令示例。
这个 Skill 与同类方案有什么区别？
与 npx skills add 等通用技能安装器相比，该技能专门针对 Multica：它写入工作区数据库，以便 Multica 可以管理技能。来源明确不鼓励将 npx skills add 作为最终安装方法。