一口气装了 15 个开源 Skill：清单、安装姿势，和一份安全审计

看到一份「本月最值得装的 15 个 Skill」清单，来源全部是 GitHub 开源仓库。我没有挑挑拣拣，直接全装了——19 个技能躺在本机，~/.workbuddy-ai/skills/。

装完之后有几点值得记下来，尤其是「技能集仓库怎么装」这个问题，网上几乎没人提。

为什么值得装别人的 Skill

自己写 Skill 是「把自己踩过的坑固化下来」；装别人的 Skill 是「把别人踩过的坑直接拿过来」。前者慢，后者快，但后者有个前提：你得知道它往你机器里放了什么。

所以我的流程是三步：装完 → 扫一遍脚本 → 再决定要不要留。

15 个清单（按类别）

写作与内容创作

Humanizer-zh —— 识别并改写 24 种 AI 写作痕迹，保留事实和作者声音
写作蒸馏器 —— 从 ≥20 篇文章蒸馏「写作 DNA」，之后按 DNA 复写风格
chinese-novelist-skill —— 分章节写中文长篇，章末自动留钩子
仓颉 —— 把一本书/播客/课程蒸馏成一组可执行的新 Skill

视觉设计

UI UX Pro Max —— 一句话生成整套设计系统（配色/字体/组件规范）
归藏 —— 文章一键渲染成小红书图组、公众号封面

职场与个人成长

interview-prep —— 按 JD + 简历定制面试准备文档
pm-skills —— 68 个产品技能 + 42 个工作流
human-agent-reading —— 百日拆书，和 AI 长期共读
xhs-product-picker —— 小红书虚拟产品选品 + 启动计划

开发者工具

beautify-github-readme —— README 结构重组 + 纯 SVG 横幅
Waza —— 工程习惯技能集：/think 先想清楚再写码、/hunt 先找根因再动手
横木 hengmu —— 基于证据的架构评审与风险清单

网站与信息获取

乔木 SEO —— 网站 SEO/GEO 审计，输出问题清单
Follow Builders —— AI 创作者动态简报，可定期推送

真正的坑：一个仓库塞 69 个技能

pm-skills 拆开是 69 个子技能，hengmu 10 个，waza 8 个，ui-ux-pro-max 7 个。如果全部平铺进技能列表，列表会被 90+ 条冲垮，而且其中 60 条你这辈子都不会用一次。

我的做法：保留仓库完整结构，只在根目录生成一份「路由 SKILL.md」。

---
name: pm-skills
description: 技能集（69 个子技能：code-review、create-prd、swot-analysis…）。
            命中其中任一场景时，先读本文件定位，再加载对应 SKILL.md 全文。
---

# pm-skills

本仓库是技能集，共 69 个子技能。先在表中选中与当前任务最匹配的一个，
然后**读取该子技能的 SKILL.md 全文**再执行。

| 子技能 | 路径 | 用途 |
| --- | --- | --- |
| create-prd | `pm-execution/skills/create-prd/SKILL.md` | 生成决策就绪的产品需求文档 |
| ... | ... | ... |

这样：列表里只有 15 项，内容一个没丢，命中时 Agent 自动跳到对应子技能读全文。技能集类仓库默认都该这么装。

另外两个实用细节

网络不稳时的兜底：15 个里 14 个 git clone --depth 1 一次过，follow-builders 连续两次 Recv failure: Connection was reset。换成走 codeload 下 tarball 立刻成功：

curl -sSL "https://codeload.github.com/<owner>/<repo>/tar.gz/refs/heads/main" -o s.tar.gz
mkdir -p s && tar -xzf s.tar.gz -C s --strip-components=1

瘦身：这些仓库大量体积是 README 配图和测试。复制时剔掉 .git、node_modules、tests/、evals/、benchmarks/、screenshots/、gallery/、site/、projects/、根目录 assets/，125MB 直接压到 45MB。scripts/、references/、子技能目录必须留。

安全审计：我自己扫了一遍

任何人都可以发一个「超好用」的 Skill 仓库，所以装完我做的第二件事是扫脚本。结论是 P2 安全，可放心用，扫描方法也给你，四行命令就能自查：

# 1. 有没有「下载即执行」
grep -rInE "(curl|wget|irm|iwr)[^|]{0,80}\|\s*(ba)?sh|eval\s*\(|Invoke-Expression" --include="*.py" --include="*.sh" --include="*.js" .

# 2. 有没有删文件的动作
grep -rInE "rm\s+-rf|Remove-Item\s+-Recurse" --include="*.py" --include="*.sh" --include="*.js" .

# 3. 往哪些域名发请求（重点看非 github 的陌生域名）
grep -rInoE "https?://[a-zA-Z0-9./_-]+" --include="*.py" --include="*.js" --include="*.sh" . | sort -u

# 4. 碰不碰你的密钥
grep -rInE "API_KEY|SECRET|TOKEN|PASSWORD|process\.env" --include="*.py" --include="*.js" .

这 15 个仓库的实际情况：没有 curl|bash、没有 eval、没有 rm -rf；subprocess 全是调用仓库自己内部的脚本（渲染 GIF、校验 Skill 包）；外联域名只有 r.jina.ai/defuddle.md（Waza 抓网页）、open.feishu.cn、以及 Waza 自己的 raw.githubusercontent 安装脚本——最后这个我没执行。环境变量方面只读取不上传（GITHUB_TOKEN 画 star 图、GEMINI_API_KEY 生成图，不配就不触发）。

对我最有用的是哪几个

装 15 个不等于用 15 个。按我现在的业务（牙科公众号 + ailamemo 站点 + 接单）排：

qiaomu-seo —— 直接给 ailamemo.com 跑一次 SEO/GEO 审计，出可执行整改清单。站点流量一直没做起来，这是最短路径。
guizang-social-card-skill —— 牙科爆款文一键变小红书图组 + 公众号封面，补上「一稿多平台」的最后一环。
writing-dna-skill —— 拿我那篇 15,763 阅读的牙线文蒸馏出「牙科账号写作 DNA」，以后每篇按这个 DNA 写，风格不飘。
humanizer-zh —— 公众号发布前过一遍去 AI 味。科普文最怕一股机器腔。
xhs-product-picker —— 真要做小红书虚拟产品变现时，5 轮对话挖个人优势 → 产品矩阵 → 7 天行动计划。

其余 10 个属于「存着，哪天遇到再说」。Skill 的价值不在装了多少，在于命中场景时能自动被调用——所以清单要保持干净，别为了凑数把列表塞满。

来源

公众号《本月 WorkBuddy 最值得推荐的 15 个技能》，15 个仓库地址均于 2026-10-11 实际 clone 安装并本地核验。