「权限逻辑审查」是安全工程师与开发团队的高频任务。它的输入通常是接口代码，期望得到的是风险清单。这类有固定流程、又需要一点判断力的工作，很适合封装成智能体 Skill。

一个人用得顺手的技能，推广到团队时会遇到新问题：放在哪、谁来改、怎么知道它变好了还是变坏了。下面以「权限逻辑审查」为例给出落地做法。

1. 统一存放位置

  • 编码类工具：放在仓库中（如 .claude/skills/authz-review/、.cursor/rules/），随代码评审
  • 业务平台（GPTs、扣子、百炼、飞书 aily 等）：指定一个管理员账号维护，避免多人各建一份
  • 在团队文档中登记：技能名、负责人、适用场景、当前版本

2. 版本与变更记录

在技能目录里放一个 CHANGELOG，每次修改写明改了什么、为什么改、测试结果。重大修改先在小范围试用一周。

3. 评审规则

修改技能和修改代码一样要评审，重点看：

  • 步骤是否仍覆盖：列出接口与资源、检查身份与归属校验、构造越权场景、给出修复
  • 约束是否仍包含「扫描结论需人工复核，涉及生产的动作走变更流程」
  • 测试集是否全部通过

4. 培训与说明

给团队写一页使用说明：什么时候用、怎么触发、输出怎么复核、遇到问题找谁。附一个场景实录帮助理解。

5. 收集反馈

设一个固定渠道收集“用得不好”的案例，每两周集中处理一次，把典型问题补进测试集。不要依赖印象判断效果，以测试集与真实反馈为准。

6. 权限与合规

属于中等风险：结果会影响业务判断，建议在输出前设置人工审核点。团队共享时尤其要确认：技能能访问哪些数据、谁能修改技能、离职或转岗后权限是否回收。

推广节奏建议

阶段范围目标
试点2～3 人跑通流程，修正明显问题
扩大一个小组补齐测试集与使用说明
全员整个团队纳入日常流程，定期评审

常见变体

同一个技能可以按使用场景派生出几个变体：

  • 简版：只保留核心步骤（列出接口与资源、给出修复），适合快速过一遍
  • 详版：每一步都写出理由与依据，适合交给他人复核或留档
  • 批量版：一次处理多份接口代码，输出汇总表，适合定期集中处理

变体之间共享同一套约束，只在步骤详略和输出格式上有差异。可以在一个技能里用参数区分，也可以拆成几个名称明确的技能。

什么时候用这个技能

  • 手头有接口代码，需要在较短时间内得到风险清单
  • 同类任务每周出现多次，希望每次处理方式一致
  • 结果要交给同事或上级复核，需要统一的结构和清楚的依据
  • 新人接手这类工作，需要一个可以照着做的标准流程

反过来，如果只是偶尔做一次，或者任务高度依赖现场判断，直接和代码、配置与云环境里的智能体对话即可，不必专门封装成技能。

延伸阅读

说明：文中的配置、代码与目录结构均为示意，用于说明思路；各平台的入口、字段名与能力会更新，落地前请以对应官方文档为准。示例中的数据与场景为虚构，不代表真实案例。