01
买家和开发者使用
开发者只能通过项目和项目级凭据来发现、保存、安装、测试和调用技能。
- 安装前应检查 manifest schema、权限、价格、版本、审核状态、事故和公开反馈。
- 项目 owner 负责审批高风险权限、设置预算、轮换 API key，并采用已审核的版本更新。
- 控制台运行测试默认不计费，除非产品明确标记为付费提供商执行。
范围注册库、市场、运行网关
资金预发布账本模型；暂不提供通用支付扣款
信任审核、事故、举报、下架
数据协议、运行、账务、通知记录
02
发布者责任
发布者必须提供准确的技能协议，并把公开上架当成可运营产品，而不是一次性上传。
- 每个 listing 必须包含名称、描述、版本、运行时、输入输出 schema、权限、示例、变更记录和支持路径。
- 已验证或已安装版本不可就地修改；行为、schema、权限、价格或运行时变化都要创建新语义版本。
- 付费发布仍属于预发布状态；公开启用前需要发布者资料有效、财务复核付费准备状态、价格已批准，并接受退款和争议条款。
03
审核、安全和下架
SkillHub 可以审核、拒绝、限制、暂停、废弃或移除 listing，以保护开发者、发布者和市场。
- 验证需要自动 manifest、运行时、示例和安全检查，再加上 reviewer 决策。
- 滥用举报、重大事故、未声明权限、恶意运行行为、隐私或计费滥用可触发限制或暂停。
- 压制分发是排名操作而非下架；修复质量问题后发布者可使用市场申诉流程。
04
定价、佣金和付费市场预览
商业记录在最终支付扣款和提现提供商自动化接入前，以预发布运营状态建模。
- 用量日志不会直接向发布者付款；付费市场开启后，可计费用量会先记录交易、交易拆分和发布者余额行。
- 预览拆分模型为平台 20% 费用和发布者 80% 分成，除非更新的佣金规则适用于未来记账。
- 余额成熟、人工财务复核和 PayPal/Alipay 转账引用仅为付费市场预览建模。通用支付扣款和自动提现暂不可用。
05
退款和争议
退款和争议以可审计调整方式处理，而非修改历史交易。
- 财务操作员可批准、拒绝、记账、失败、警告、胜诉或败诉调整记录并附必需原因。
- 已记账退款会产生负向调整交易、负向拆分和反转的发布者余额条目。
- 争议败诉可自动发起退款调整，发布者和项目操作员可查看范围内的调整历史。
06
数据保留和隐私态势
SkillHub 存储注册信任、运行治理、账务可追溯和账户安全所需的运营记录。
- 存储记录包括 manifest、版本、审核决策、运行检查、安装、策略、调用、用量、账本、通知和审计日志。
- 原始用户 token、API key、邮件验证码、OAuth secret、webhook signing secret 和 provider key 首次展示后不得再暴露，也不得通过管理列表泄露。
- 技能处理用户、商业、密钥、财务或敏感运营数据时，发布者必须声明数据保留说明。
07
事故、废弃和支持
运行故障应为开发者、发布者和信任操作员创建持久信号。
- 运行事故可经历 open、monitoring、resolved 和 postmortem 状态，带严重级别和决策原因。
- 已安装技能更新收件箱应在迁移 agent 前显示新版本、废弃通知、安全说明和事故恢复状态。
- 版本废弃或技能暂停时，发布者应维护支持路径、变更记录和替代建议。
08
通知和 Webhook
在最终邮件提供商完全接入前，已先建模 in-app、email 和 webhook 通知状态。
- 用户可管理 review、update、runtime、billing、payout、buyer-request 和 account-security 的通知偏好。
- 外部 email 和 webhook 队列暴露 attempts、provider metadata、retry schedule、签名 webhook delivery 和脱敏 payload summary。
- 邮件和 webhook 网络投递不得通过后台视图暴露验证码、token、secret 或敏感 payload 字段。
09
延后的最终接入
部分提供商接入刻意放到最后，确保内部运营模型先稳定。
- 支付扣款、支付提供商客户 session、提现提供商自动化和税务/KYC 自动化都是延后项；付费市场预览仅建模 PayPal/Alipay 人工转账记录，用于未来财务复核。
- 邮件提供商投递通过已排队的 notification event 接入；生产就绪要求提供商配置完成且关闭 debug code preview。
- 付费市场上线前，可根据 provider、区域、税务、退款窗口、KYC 和最低提现门槛决策更新条款。