dym-scientific-agent-skills-gate-trong-ci-cua-ban

Skill: dym-scientific-agent-skills-gate-trong-ci-cua-ban — Đưa skill vào CI của DỰ ÁN BẠN

Đây là ví dụ viết mới, tối thiểu, cho người dùng. Nó không phải bản sao .github/workflows/*.yml của repo skill — bốn workflow trong đó (skill-tests, skill-spec-validation, pr-skill-scan, security-scan) tồn tại để kiểm chính repo skill, cần secret riêng của họ, và không có ý nghĩa gì trong dự án của bạn. Nếu bạn đóng góp cho repo gốc thì xem 08.

Vì sao dùng: skill là chỉ dẫn agent tuân theo. Cắm chúng vào CI để (a) skill được commit đúng như lúc bạn thẩm định, (b) upstream thay đổi thì CI báo thay vì agent lặng lẽ đổi hành vi. Sinh ra cái gì: một job CI đỏ khi skill đã cài trôi khỏi bản đã duyệt, hoặc khi một skill không còn hợp lệ theo spec.

---

Quyết định trước: commit skill hay cài lúc chạy CI

	Commit vào repo	Cài trong CI
Tái lập	tuyệt đối — đúng byte bạn đã đọc	phụ thuộc tag/SHA remote
Review	diff hiện trong PR, người soát thấy	thay đổi vô hình
Kích thước repo	tăng (một skill ~4 KB–1.2 MB)	không
Khuyến nghị	✅ mặc định nên chọn cái này	chỉ khi repo bạn cấm vendor

Commit skill vào repo là mặc định đúng: bạn đã bỏ công thẩm định ở 02, commit là cách duy nhất giữ được kết quả thẩm định đó.

Gate 1 — Phát hiện drift so với upstream (đã chạy thật)

gh skill install ghi github-tree-sha vào frontmatter lúc cài. So nó với tree SHA remote hiện tại là phát hiện được upstream đã sửa skill.

Lưu thành ci/check-skill-drift.sh:

#!/usr/bin/env bash
# Đỏ nếu một skill đã cài trôi khỏi tree SHA ghi lúc cài.
set -euo pipefail
status=0
for skill in "$@"; do
  f=".claude/skills/$skill/SKILL.md"
  [ -f "$f" ] || { echo "MISSING $skill"; status=1; continue; }
  repo=$(awk '/github-repo:/{print $2; exit}' "$f" | sed 's#https://github.com/##')
  ref=$(awk '/github-ref:/{print $2; exit}' "$f")
  path=$(awk '/github-path:/{print $2; exit}' "$f")
  pinned=$(awk '/github-tree-sha:/{print $2; exit}' "$f")
  parent=$(dirname "$path"); name=$(basename "$path")
  remote=$(gh api "repos/$repo/git/trees/${ref#refs/tags/}:$parent" \
             --jq ".tree[] | select(.path==\"$name\") | .sha")
  if [ "$pinned" = "$remote" ]; then
    echo "OK      $skill  $pinned"
  else
    echo "DRIFTED $skill  local=$pinned remote=$remote"; status=1
  fi
done
exit $status