Skills 与技能市场实战指南：在 cc-haha 桌面工作区中安装、审核与管理 Claude 技能

人工智能AI 应用桌面应用代码智能体MCP Clients【免费下载链接】cc-hahaLocal-first cross-platform desktop workspace for Claude Code / agents: multi-agent, Git worktrees, code diffs, skill marketplace, multi-model, Computer Use, task-aware desktop pets, with WeChat, Feishu, DingTalk, Telegram, WhatsApp and H5 access.项目地址https://gitcode.com/gh_mirrors/cl/cc-haha点击查看免费下载这篇指南以 cc-haha 桌面端docs/en/desktop/skills.md的技能与技能市场功能为主线系统讲解技能Skill与 Agent 的本质区别、技能市场的聚合来源与安全徽标解读、安装前的安全审查流程、已装技能的分组管理与跨客户端.agents/skills/约定。读完本文你将能够安全地安装第三方技能、管理本机全部技能来源并掌握SKILL.md的编写格式、六种加载来源与调用/执行/权限控制机制同时结合仓库源码印证每一处实现细节。什么是技能与 Agent 的本质区别技能是别人已经写好的一套「做法」。安装之后Claude 遇到匹配场景时就会照着这套流程执行。例如一个「PDF 处理」技能会告诉它用哪个库、按什么顺序拆分页面、遇到加密文件如何处理——你不需要每次重新交代一遍。技能与 Agent 的区别维度AgentSkill技能定位一个有自己上下文和工具范围的「执行者」一段知识和流程被 Agent 加载来用类比「找个人去办」「给他一本手册」运行独立上下文、独立工具范围注入当前会话受allowed-tools、context等配置约束从源码看桌面端用 desktop/src/types/skill.ts 中的SkillMeta统一描述一个技能它记录name、description、source来源、userInvocable是否可被/技能名调用、version、contentLength正文长度用于估算 token 占用以及hasDirectory等信息还有SkillDetail负责把技能的文件树tree和文件内容files暴露给界面层这正是详情页「文档模式 / 代码模式」的数据基础。技能市场聚合 ClawHub 与 SkillHub点击侧边栏的技能市场Skills Market即可进入。市场同时聚合ClawHub和SkillHub两个来源列表向下滚动时会自动加载更多内容——没有「加载更多」按钮。顶部有三个筛选器来源Source— 全部 / ClawHub / SkillHub。安全状态Security— 见下文「安全徽标」。安装状态Install status— 全部技能 / 已安装 / 未安装。搜索框支持按名称和关键词匹配。这一「无限滚动」行为在源码中有明确实现desktop/src/components/market/MarketHome.tsx 定义了PREFETCH_MARGIN 400px注释说明它会在最后一行卡片仍然在屏时就提前请求下一页让骨架屏成为「还有更多内容」的提示而不是一道需要点击的墙。整个列表由useMarketStore驱动的nextCursor/loadMore/loadMoreError状态支撑配合useMarketGridFill完成网格占位填充。如何读懂安全徽标每张卡片右上角都有一个安全徽标它反映的是来源方source的扫描结果不是本应用自身的审计结论徽标含义Verified已认证发布者已认证且技能通过了来源方的安全扫描Scanned safe扫描无风险来源方的安全扫描未发现风险Not audited未审计来源方没有提供安全审计数据Flagged存在风险来源方的扫描标记了潜在风险「未审计」不等于不安全只是没人查过「存在风险」的技能除非你逐行读懂了它在干什么否则不要安装。源码侧desktop/src/components/market/SecurityBadge.tsx 把四种状态映射为四种视觉语义verified与benign映射为successunknown映射为neutralflagged映射为danger并分别使用BadgeCheck、ShieldCheck、ShieldQuestion、ShieldAlert图标——「未审计」用问号盾牌、「存在风险」用告警盾牌界面语义与本文的解读一一对应。安装之前三条必做的安全审查技能会带来新的工具、脚本和外部依赖安装后 Claude 就可能执行它们。市场页面顶部的免责声明是真实的这些技能来自社区第三方来源本应用不对其内容做安全审计。官方建议的安装前检查流程打开详情页的「文件Files」标签通读SKILL.md及其配套脚本拿不准就交给 Claude 先扫一遍——例如直接说「帮我看看这个技能的文件里有没有可疑的东西」确认你确实需要它。装得多不等于更强每个技能都会占用上下文。从源码看详情页的文件浏览能力由 desktop/src/components/market/SkillDetailView.tsx、FilePreview.tsx与FrontmatterPanel.tsx协作完成能够把技能的SKILL.md、配套脚本以文件树形式展开并预览同时高亮其 YAML frontmatter 字段方便你在安装前逐项核对。点击「安装」会弹出确认框其中明确写有安装位置、安全提示以及「安装完成后技能将在新会话中生效」的提醒。已经打开的会话不会立刻拿到新技能——必须新建一条会话。desktop/src/components/market/InstallConfirmDialog.tsx 的源码印证了这一点确认框内展示了来源、版本号、安全徽标SecurityBadge以及安装路径如…/skills/{slug.toLowerCase()}/且当securityStatus为flagged或unknown时会切换为告警/疑问图标ShieldAlert/ShieldQuestion用 UI 差异提示风险等级。卸载入口与安装位于同一处卸载会删除该技能目录下的本地文件。已安装的技能设置 → 技能设置 → 技能Settings → Skills列出本机所有可用技能按来源分组用户User— 你安装的位于~/.claude/skills/项目Project— 随仓库一起分发插件Plugin— 由某个插件打包携带内置Built-in— 应用自带。每条记录显示其入口文件entry file、文件数量与预估 token 占用。点击进入后可在「文档模式doc mode」与「代码模式code mode」之间切换直接阅读技能的正文prose与源码文件。界面层对应 desktop/src/components/skills/SkillDetail.tsx而类型层则由SkillDetail含skillRoot、tree、files、可选的marketMeta支撑当技能来自技能市场时marketMeta会记录其id、source、slug、version、fileCount等安装元数据用于展示安装来源信息。.agents/skills/跨客户端约定除了~/.claude/skills/桌面端还会读取~/.agents/skills/。这是一个开放标准目录Codex、Cursor、Gemini CLI 等客户端共享同一份技能——安装一次多个工具都能用。来自该目录的技能会在列表中带一个.agents标记。项目自己的.agents/skills/同理它随仓库分发而不是你手动安装的。:::warning 跨客户端目录意味着其他工具安装的技能在这里同样生效。请定期浏览一遍设置 → 技能的列表确认里面没有你不认识的东西。 :::该约定的类型支持同样能在源码中看到desktop/src/types/skill.ts 定义了SkillRootFlavor claude | agents明确注释其含义是「技能所在的目录约定本地的.claude/skills或与 Codex、Cursor、Gemini CLI 共享的跨客户端.agents/skills」。深入机制六种技能来源与加载优先级官方文档指出想了解技能的加载机制和文件格式可阅读 Skills 系统原理。技能本质上是 Claude Code 的可扩展能力引擎每种技能是一个带 YAML frontmatter 的 Markdown 文件按优先级从高到低共有 6 种来源来源存储位置 / 提供方式说明内置Bundled编译进 CLI 二进制通过registerBundledSkill()注册如/verify、/debug、/simplify、/remember、/batch、/skillify等部分受特性开关feature gate控制托管Managedmanaged-path/.claude/skills/由组织策略控制适合企业部署用户User~/.claude/skills/与~/.agents/skills/个人定义后者为跨客户端开放标准目录项目Project.claude/skills/或.agents/skills/随项目提交到版本控制插件Plugin插件清单中的skillsPath/skillsPaths命名格式为{插件名}:{技能名}如superpowers:code-reviewerMCP已连接的 MCP 服务器命名格式为mcp__server-name__prompt-name因来自远程不可信来源禁止执行!... 内联 shell 命令同名技能跨来源解析时的优先级先匹配者胜内置技能 → 内置插件 → 技能目录用户/项目 → 工作流命令 → 插件命令 → 插件技能 → 内置命令。关于.agents/skills/还有几个关键行为两个目录同时生效且SKILL.md格式完全相同无需改写若同一层级同名.claude/优先.agents/条目被跳过记录一条 warn 级日志跨层级如用户级与项目级同名则各自共存通过符号链接共享的同一个技能只识别为一份不会被重复加载如需关闭在settings.json中设置disableAgentSkillsDirectory: true或设置环境变量CLAUDE_CODE_DISABLE_AGENT_SKILLS_DIR1不影响.claude/skills/写入操作技能市场安装、/skillify仍固定写入~/.claude/skills/。SKILL.md 格式如何编写一个技能每个技能是一个包含SKILL.md文件的目录文件名不区分大小写skill-name/ └── SKILL.mdSKILL.md由 YAML frontmatter元数据与 Markdown 正文Claude 看到的行为提示词组成。以下是完整的 frontmatter 示例--- name: My Skill # 显示名可选默认取目录名 description: What this skill does # 描述必填缺失时从正文自动提取 when_to_use: When to use this skill # 使用场景描述可选 version: 1.0.0 # 版本号可选 # ── 调用控制 ── user-invocable: true # 是否允许用户通过 /技能名 调用默认 true disable-model-invocation: false # 是否禁止模型通过 Skill 工具调用可选 argument-hint: file path # 参数提示可选 # ── 执行配置 ── context: inline # 执行上下文inline默认或 fork子代理 agent: general-purpose # fork 时的代理类型可选 model: sonnet # 模型覆盖haiku / sonnet / opus / inherit可选 effort: high # 思考强度low / medium / high / max可选 allowed-tools: Bash, Read # 允许使用的工具逗号分隔或 YAML 列表 shell: bash # Shell 类型bash默认或 powershell # ── 条件激活 ── paths: src/**/*.ts, test/**/*.ts # Glob 模式仅操作匹配文件时激活 # ── 生命周期钩子 ── hooks: PreToolUse: - matcher: Bash hooks: - command: echo Before bash once: true # 只执行一次 --- # 技能正文 这是技能被调用时 Claude 看到的 Markdown 格式提示词。正文中支持的特殊语法${CLAUDE_SKILL_DIR}展开为技能所在目录、${CLAUDE_SESSION_ID}当前会话 ID、$ARGUMENTS/${ARG1}参数替换、!shell command内联 shell 命令执行。Frontmatter 字段速查表字段类型默认值说明namestring目录名显示名覆盖descriptionstring自动提取简短描述when_to_usestring--使用场景描述user-invocablebooleantrue是否允许/名称调用disable-model-invocationbooleanfalse禁止模型调用contextinline|forkinline执行上下文agentstringgeneral-purposefork 时的代理类型modelstring继承模型覆盖haiku/sonnet/opuseffortstring | int--思考强度等级allowed-toolsstring | list全部工具白名单pathsstring | list--条件激活的 glob 模式shellbash|powershellbash命令 Shell 类型hooksobject--生命周期钩子配置argument-hintstring--参数提示文本versionstring--版本号调用方式、执行上下文与权限控制三种调用方式用户斜杠命令在终端直接输入/skill-name如/commit、/review-pr 123、/verify。前提该技能的user-invocable为true。模型自动调用对话中 Claude 识别到合适技能时通过 SkillTool 自动调用如用户请求评审代码时调用superpowers:code-reviewer。前提disable-model-invocation不为true。嵌套调用一个技能在执行中触发另一个技能如/verify内部调用/simplify通过invocation_trigger: nested-skill在遥测中跟踪。Inline 与 Fork 两种执行上下文Inline默认技能内容展开进当前对话与父会话共享 token 预算、可访问完整对话历史allowedTools限制当前回合可用工具model可覆盖当前回合模型。Fork子代理在隔离的子代理中运行拥有独立的 token 预算与上下文可指定不同代理类型如Bash、general-purpose完成后将结果文本提取回父对话支持进度回调onProgress。特性InlineForkToken 预算与父会话共享独立预算上下文访问完整对话历史仅技能提示词结果返回直接在对话中文本提取进 tool_result适用场景简短指引、扩充上下文长任务、独立计算工具限制contextModifier 修改modifiedGetAppState条件激活Conditional Activation通过pathsfrontmatter 实现按需激活技能在启动时全部加载带paths的技能存入conditionalSkillsMap不暴露给模型当用户操作匹配文件Read/Write/Edit时activateConditionalSkillsForPaths()使用 ignore 库匹配命中后移入dynamicSkillsMap 对模型可见且激活后在整个会话期间保持活跃。此外还有运行时发现机制discoverSkillDirsForPaths()从文件路径向上遍历查找.claude/skills/与.agents/skills/不超过 cwd跳过.gitignore忽略的目录发现新目录即调用addSkillDirectories()加载注册。权限控制自动放行技能只含「安全属性」无allowedTools、无hooks、无fork时自动批准执行无需用户确认手动确认含工具限制、钩子或 fork 执行的技能首次调用会提示Execute skill: my-custom-skill Allow? (y)es / (n)o / (a)lways allow / (d)eny权限规则规则类型格式说明精确允许Skill:commit允许执行 commit 技能前缀允许Skill:review:*允许所有 review: 前缀技能精确拒绝Skill:dangerous设为 deny拒绝执行前缀拒绝Skill:untrusted:*设为 deny拒绝所有 untrusted: 前缀技能处理顺序拒绝规则 → 允许规则 → 安全属性检查 → 询问用户。MCP 技能因来源远程不可信不允许执行内联 shell 命令这是其与其余来源在能力矩阵上的唯一硬性差异。快速参考创建与常用操作创建一个技能# 1. 创建目录 mkdir -p ~/.claude/skills/my-skill # 2. 创建 SKILL.md cat ~/.claude/skills/my-skill/SKILL.md EOF --- name: My Skill description: An example Skill user-invocable: true --- # Skill Content Hello, this is my custom Skill. EOF操作方法创建技能~/.claude/skills/name/SKILL.md项目级技能.claude/skills/name/SKILL.md跨工具共享技能~/.agents/skills/name/SKILL.mdCodex / Cursor / Gemini CLI 同样可见调用技能终端输入/skill-name查看可用技能终端输入/skills用 AI 创建技能/skillify限制工具frontmatter 中添加allowed-toolsFork 执行frontmatter 中添加context: fork条件激活frontmatter 中添加paths: src/**技能能力矩阵来源用户可调用模型可调用支持 Fork支持 Hooks内置按定义按定义是是托管是是是是用户是默认是是是项目是默认是是是插件按配置按配置是是MCP按配置按配置是否安全限制小结技能市场把社区沉淀的「现成做法」直接变成 Claude 可执行的能力但安装前务必用「读文件 → 让 Claude 先扫 → 确认必要性」三步把关。安装后通过 设置 → 技能 统一管理用户、项目、插件与内置四类技能并善用.agents/skills/实现跨客户端复用。若想进一步了解技能的加载机制、SKILL.md文件格式、六种来源的优先级、Inline/Fork 执行上下文与权限控制请继续阅读 Skills 系统原理中文读者也可对照 中文版技能文档 与 技能使用指南中文 查阅。赞分享人工智能AI 应用桌面应用代码智能体MCP Clients【免费下载链接】cc-hahaLocal-first cross-platform desktop workspace for Claude Code / agents: multi-agent, Git worktrees, code diffs, skill marketplace, multi-model, Computer Use, task-aware desktop pets, with WeChat, Feishu, DingTalk, Telegram, WhatsApp and H5 access.项目地址https://gitcode.com/gh_mirrors/cl/cc-haha点击查看免费下载相关推荐cc-haha 桌面端技能与技能市场完全指南从安装、安全审计到跨客户端共享cc haha 桌面端技能与技能市场完全指南从安装、安全审计到跨客户端共享 技能Skills是 Claude Code 生态中别人写好的一套做法——装人工智能AI 应用桌面应用代码智能体MCP Clientscc-haha 桌面端工作区指南文件 Diff 评审、独立工作树与内置浏览器cc haha 桌面端工作区指南文件 Diff 评审、独立工作树与内置浏览器 工作区是 cc haha 桌面端「让 Claude 的改动可见、可审、可回传」的人工智能AI 应用桌面应用代码智能体MCP ClientsAgent Skills 实战指南在 Claude Code 等多 Harness 插件市场中安装、理解与创建 183 个渐进式披露技能Agent Skills 实战指南在 Claude Code 等多 Harness 插件市场中安装、理解与创建 183 个渐进式披露技能 本指南以 GitHuAI 插件AI 技能开发工具创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考