通用发布审计助手 Skill 技能

技能简介

glenskii-universal-audit 是一个面向软件发布决策的通用审计 Skill，核心思路是"用证据说话"：把发布前的质量评估从拍脑袋变成结构化流程。它按审计深度分档（快速/标准/深度），根据产品形态选择适用的控制项，围绕安全、可靠性、架构、质量、隐私、无障碍、运维、交付八个维度收集证据，并用内置的 Python 评分器计算加权得分与覆盖率，最终输出结构化报告、风险清单、行动计划和明确的发布结论。该技能在 Skillstore 质量评分 92 分，属于 featured 档，已完成安全审计，支持 Claude、Codex、Claude Code，采用 MIT 许可。

核心能力

• 深度分档审计：按快速、标准、深度三档选择审计范围，标准与深度审计强制要求独立复核，避免自审自过。
• 八维证据收集：覆盖安全、可靠性、架构、代码质量、隐私、无障碍、运维、交付流程，每条控制项都记录状态、发现、局限与脱敏证据。
• 确定性评分：内置 Python 评分器计算加权分类得分、覆盖率与封顶规则，分数与强制门禁分开呈现，防止"分数高但缺证据"。
• 发布门禁判定：识别机械化的发布阻断项，扫描器沉默或证据缺失一律视为未通过，不给"默认放行"留空间。
• 成套交付物：一次审计产出结构化报告、风险登记册、整改行动计划和发布裁决，可直接用于评审会。

安装配置

1. 在项目目录执行 npx skillstore add glenskii/universal-audit 完成安装。
2. 确认运行环境：技能涉及网络、文件系统与外部命令执行，需在受控的仓库环境中运行。
3. 定义审计要素：开审前明确范围、授权边界、可用环境、审计深度与产品形态，这是选择控制项的前提。
4. 涉及主动测试时，必须先约定交战规则（rules of engagement），默认只做被动检查。

使用步骤

1. 启动快速审计：先确认范围、授权、产品画像与缺失的入参信息，再加载适用控制项。
2. 执行标准发布审计：逐项记录证据、局限、控制状态、得分、覆盖率、发现项与发布门禁结果。
3. 敏感系统走深度审计：规划所需访问权限、证据来源与独立验证方式，限定授权边界。
4. 整改后复审：对照上一轮发现逐条验证修复情况、回归问题、残留风险与分数变化。
5. 输出发布裁决：汇总报告与风险清单，给出"可发布/有条件发布/阻断"的明确结论。

适用场景

• 版本发布前评审：给候选版本做一次有证据支撑的上线评估，替代口头汇报。
• 安全与隐私审查：评估安全、隐私控制的有效性，同时记录授权范围与整改优先级。
• 生产就绪度测量：在架构、可靠性、运维、无障碍、性能、交付等维度横向比较工程质量。
• 整改闭环验证：对上一轮审计发现做复审，确认修复、回归与残留风险。

适用人群

技术负责人、QA/发布经理、安全工程师、工程效能团队，以及任何需要在上线评审会上给出可追溯结论的开发者。个人开源项目作者也可以用它做自我体检。

工作原理

技能先依据深度分档与产品画像筛选适用控制项，再引导 Agent 按维度采集肯定性、脱敏后的证据；证据不足的控制项标记为未验证而非通过。随后内置评分器按权重计算各维度得分与覆盖率，结合独立复核结果和强制门禁生成最终裁决。评分与门禁相互独立——即使分数达标，只要强制项缺证据，发布仍会被阻断。

官方链接

• 技能主页：https://skillstore.io/skills/glenskii-universal-audit
• 源码仓库：https://github.com/glenskii/glenski-plugins