「密钥泄露扫描」Skill 组合用法：和相关技能串成流水线
如果你在Git 仓库与代码托管平台里反复做密钥泄露扫描，可以考虑把经验沉淀为一个 Skill：写清触发条件、步骤、输出格式和边界，让智能体代劳重复部分，人只负责把关。
单个技能解决一个环节，把几个技能串起来，才能覆盖一整段工作。本文示范「密钥泄露扫描」与三个相关技能的组合。
组合方案
| 顺序 | 技能 | 作用 | 交给下一步的东西 |
|---|---|---|---|
| 1 | CODEOWNERS 编写 | 根据目录职责生成 CODEOWNERS 文件 | CODEOWNERS 文件 |
| 2 | 密钥泄露扫描 | 扫描提交中可能泄露的密钥与令牌 | 疑似泄露清单 |
| 3 | 大 PR 拆分 | 把过大的改动拆成多个易评审的小 PR | 拆分方案 |
| 4 | 魔法数字清理 | 把散落的硬编码常量提取为具名常量或配置 | 重构后的代码 |
交接格式是关键
技能之间靠“上一步的输出就是下一步的输入”衔接。建议约定：
- 每个技能的输出都带固定标题，便于下一个技能定位内容
- 不确定项统一放在“需人工确认”小节，后续技能不得把它当作确定事实
- 「密钥泄露扫描」接收的是仓库或 diff，如果上一步给的格式不同，先做一次转换
怎么编排
有三种常见方式：
- 人工串联：每一步结束后由人确认，再触发下一个技能，最稳妥
- 编排指令：写一个总技能，列出调用顺序与交接要求，由智能体依次执行
- 工作流平台：在 Dify、扣子、n8n 等平台中把每个技能做成节点，用条件分支处理异常
编排指令示例（示意）
# 组合流程：CODEOWNERS 编写 → 密钥泄露扫描 → 大 PR 拆分 → 魔法数字清理
1. 调用 codeowners-writer，保存输出为 step1
2. 以 step1 为输入调用 secret-leak-scan，保存为 step2
3. 以 step2 为输入调用 pr-size-splitter
4. 调用 magic-number-cleanup 做收尾
- 任一步出现“需人工确认”时暂停，等待用户回复后再继续
注意事项
- 链条越长，错误越容易被放大，关键节点要有人看
- 属于高风险：涉及权限、个人信息或不可逆操作，Skill 只产出建议或草稿，执行前必须人工确认
- 每个技能单独测试通过后再组合
相关技能
平台选择建议
同一个「密钥泄露扫描」技能可以落在不同平台上，选择时主要看你在哪里工作、要不要执行代码、要不要接外部系统：
- Gemini CLI：Gemini CLI 会读取项目中的 GEMINI.md 作为长期上下文。详见Gemini CLI 版
- Function Calling：Function Calling（工具调用）是主流大模型 API 的通用能力：你用 JSON Schema 描述函数。详见Function Calling 版
- 扣子（Coze）智能体与工作流：扣子（Coze）是字节跳动推出的智能体开发平台。详见扣子（Coze）智能体与工作流 版
这个技能需要运行本地脚本（解析文件、调用命令行工具等），要求运行环境允许执行代码，可据此排除不支持相应能力的平台。
智能体与人的分工
技能不是把工作全部交出去，而是把重复、机械的部分交给智能体，人把住判断和责任：
| 步骤 | 智能体负责 | 人负责 |
|---|---|---|
| 运行扫描规则 | 按指令完成并给出依据 | 抽查关键处，确认无误 |
| 排除测试样例 | 按指令完成并给出依据 | 抽查关键处，确认无误 |
| 分级 | 按指令完成并给出依据 | 抽查关键处，确认无误 |
| 给出撤销与轮换建议 | 按指令完成并给出依据 | 抽查关键处，确认无误 |
| 最终交付 | 整理疑似泄露清单 | 决定是否采用、是否对外 |
属于高风险：涉及权限、个人信息或不可逆操作，Skill 只产出建议或草稿，执行前必须人工确认。
延伸阅读
- 密钥泄露扫描 · 安全审查
- 密钥泄露扫描 · 故障排查
- 密钥泄露扫描 · Claude 应用中的 Skills 版
- 忽略规则生成 · 组合用法
- 改动背景追溯 · 组合用法
- 智能体Skills 分类：625 个技能 × 32 个角度
说明：文中的配置、代码与目录结构均为示意，用于说明思路；各平台的入口、字段名与能力会更新，落地前请以对应官方文档为准。示例中的数据与场景为虚构，不代表真实案例。