daisy-skillsBLOCK

From the repository's own README, as read at the audited commit. Badges and raw HTML are left out.

daisy-skills/
├── README.md
├── /
│   ├── SKILL.md          # 技能正文:触发条件 + 步骤 + 约束
│   ├── scripts/          # 可选:可执行脚本(PowerShell / Python / JS)
│   ├── assets/           # 可选:模板、配置样例
│   └── evals/            # 可选:技能自测用例
└── ...

The instruction file, verbatim from the audited commit — this is the text the model reads, and the surface the audit's instruction layer examines. Quoted here so you can judge it without cloning anything.

---
name: "备份源码到GitHub"
description: "把源码备份到 GitHub,以及去掉仓库的 fork 标记。用户说「备份源码」「传到 GitHub」「推仓库」「备份这个项目」「去掉 fork」「脱钩」「让仓库跟着上游更新」「同步上游」时用。"
---

# Skill:把源码备份到 GitHub / 去掉 fork 标记 / 让镜像仓库跟着上游走

## 触发场景
- 用户说「备份源码」「把源码传到 GitHub」「推到那个仓库」「备份一下这个项目」。
- 用户说「去掉 fork」「去掉 fork from」「脱钩」「别显示 forked from」。
- 用户说「让这个仓库跟着上游更新」「同步上游」「上游有新东西自动合进来」。
- 已有本地源码/下载的源码目录,需要在 GitHub 上留一份可回溯的备份。
- 来源:为用户完成 Daisy-Voice-Agent 源码备份/推送、为 4 个仓库脱钩 fork,以及在 rea 仓库落地「上游自动同步」的实操经验。

## 第 0 步(先做,决定走哪条路):源码是不是已经在线上
先判断,再动手。**已经在线上能访问的代码,不要下载到本地再重新上传——那是多余且容易出错的一步。**

- **已在 GitHub 上(用户自己的仓库)** → 不走下面的上传流程,只看要不要脱钩或要不要跟着上游同步:
  - 仓库页显示 `forked from <上游>`,用户要去掉 → 用 `open_url` 打开 `https://github.com/<owner>/<repo>/settings`,滚到页面底部 Danger Zone,点 `Leave fork network`,按提示输入仓库名确认。代码、提交历史、star 全部原地保留,不需要重新下载再上传。
  - 用 `Import repository` 导入的、或本地 `git clone` 后又新建空仓库推上去的仓库 → 本来就不带 fork 标记,无需任何处理,直接告知用户。
  - 脱钩**不可逆**:离开 fork network 后就无法再向上游仓库提 PR,动手前一句话说明。
  - 脱钩后有缓存延迟:仓库页/列表页可能还显示旧标记,刷新或稍等再看,以 Settings 里还有没有 `Leave fork network` 选项为准。
  - 用户要的是「仓库持续跟着上游走」→ 走下面的「上游同步」一节,这条路和 fork 标记无关,脱钩后的仓库照样能用。
- **源码只在本地,没有远端仓库** → 走下面第 1–10 步的上传流程。
- **源码只存在于线上网页(已部署的静态站等)且不属于任何仓库** → 这时才需要先抓一份到本地,是唯一路径,不算多余步骤。

## 前置确认(自动完成,不要问用户)
- **用户已授权全自动执行**:仓库地址、项目名、分支都用本地 `git remote -v` 和末尾「默认仓库」自动确定,不再向用户确认。
- 路径:自动探测源码目录(本次选中项 > 用户目录/桌面/下载等常见位置,用 `list_directory` 确认真实结果),不凭记忆猜。
- 只在「完全定位不到源码目录」或「发现疑似密钥/超大文件」这类真实风险时,才打断用户一次说明。
- 全程不中途提问,执行完统一汇报一次。

## 上传执行步骤
1. **定位源码(自动)**:`list_directory` 确认目录与体积;确认是源码目录而不是安装包。
2. **看现状**:`run_shell_command` 执行 `git -C "<路径>" status` 与 `git -C "<路径>" remote -v`。
   - 已有 remote → 直接用该仓库。
   - 已是仓库 → 直接跳到第 5 步。
3. **初始化(仅当不是仓库)**:`git -C "<路径>" init`,默认分支用 `main`。
4. **写 .gitignore(关键,必须在 add 之前生效)**:至少排除
   `node_modules/`、`dist/`、`build/`、`out/`、`.venv/`、`__pycache__/`、
   `*.dmg`、`*.zip`、`*.exe`、`*.log`、`*.env`、`daisy.env`、`cred*.txt`、`api*.txt`、`*.key`。
   GitHub 单文件上限 100MB,超过的必须排除或走 Git LFS。
5. **README 与介绍中文化(必做,在提交之前)**:
   - 检查范围:`README.md`、`README*.md`、`docs/` 下的介绍类文档、仓库页面的标题/简介(About/description)、发布说明。
   - 凡是英文(含只有英文的正式介绍、使用说明、功能介绍),一律改写成**中文**:保留代码块、命令、专有名词和 API 名称原样,不改技术含义,不删信息。
   - 写法务实:中文流畅、结构沿用原标题层级;不要机翻腔,也不要只把标题翻译了正文留英文。
   - 若原本有 `README_EN.md` 之类英文版,可保留作对照,主 `README.md` 用中文;只有英文版的直接改写为中文。
   - 顺带核对 About/仓库简介,是英文就改成中文。
6. **提交**:`git add -A` → `git commit -m "backup: <YYYY-MM-DD> <一句话说明>"`。
7. **推送**:`git fetch origin` 先看远端是否领先;`git pull --rebase` 后 `git push origin main`。**绝不用 `--force` 强推**。
8. **校验(必做)**:`git log --oneline -1`、`git status` 显示 clean,`git ls-remote origin` 与本地 HEAD 的 commit 一致。
   涉及网页确认时用 open_url 打开仓库首页核对最新提交与 README 是否为中文。
9. **汇报**:给出仓库地址、分支、commit 号、被 .gitignore 排除的内容、哪些文件做了中文化,以及第 10 步删掉了什么,一两句话说完。
10. **清理本地副本(第 8 步校验通过后才做,默认执行,用户已授权)**:
   - 删除范围:本次任务为备份而用的 `git clone` 克隆目录、下载的源码包(zip/dmg 等)、临时上传脚本与日志。
   - 依据本次工具返回的真实路径操作,只删确认为副本的对象;路径不确定时先列清单再处理。
   - 不要删远端仓库,也不要把用户原本的项目/工作目录当副本删掉;删前若同一路径还要用,先留着。

## 上游同步(镜像仓库持续跟着上游走,云端定时,不靠本地电脑)
适用:仓库是从上游镜像/复刻来的(例如 `<owner>/rea` ← `morluto/rea`),用户希望仓库里的代码持续跟着上游更新,而不是隔段时间手动复制一次。**这属于备份源码/镜像仓库的事,不要写进网站自动更新技能。**

做法:在仓库里加 `.github/workflows/sync-upstream.yml`(模板见 `assets/sync-upstream.yml`),让 GitHub 的服务器到点把上游新提交合进来。不需要开电脑、不需要 fork 关系、不依赖本地计划任务。

关键点:
- 触发用 `schedule` + `workflow_dispatch`:先手动点一次跑通,再让定时接管。
- **cron 是 UTC**:北京时间减 8 小时。北京凌晨 03:23 = UTC `23 19 * * *`。
- 跑完去 Actions 页看结论:绿色 Success 才算通;有上游新提交时会多出一笔合并提交(`Merge remote-tracking branch 'upstream/main'`)。
- 上游没有新内容时运行只是空跑,属正常,不是故障。
- 真冲突时工作流会失败停住,需要人工处理:本地 fetch 上游、手解决后推上去,或临时把 workflow 停掉。
- 已脱钩(Leave fork network)的仓库同样适用,因为它是把上游当普通远端来拉的。
- 60 天仓库无任何活动时,GitHub 会自动停用 schedule;手动跑一次或提交一次即可恢复。
- 校验:Actions 跑通后到 `commits/main` 页核对上游那笔新提交是否已并入,别只看 workflow 是否绿色。

常见坑:
- **别用 `--force` 强推上游内容**,也不要把本仓库的改动反向推回上游。
- **同步会覆盖本仓库的自定义改动**(README 中文化、.gitignore 等):第一次开同步前先把本地自定义提交推上去;冲突就按上面人工处理。
- 若抓取仓库信息遇到 GitHub API 限流(`API rate limit exceeded`)或部分 raw 链接 404,不要反复重试同一条命令:改用 `git clone --depth 1` 到临时目录读取,或直接以本地已核实的文件为准。
- 临时克隆目录删除时若报「路径不存在/占用」,换一个新的随机目录名继续,不要卡在清理动作上。

## 常见坑
- **代码已经在线上还下载一遍再上传** → 多余动作,直接按第 0 步处理(脱钩或确认无 fork 标记)。
- **以为必须重新建仓库才能去掉 fork** → 不用,`Leave fork network` 原地脱钩,历史与 star 都保留。
- **脱钩后立刻刷新没变化** → 是页面缓存,稍等或按 Settings 里选项是否还在判断,别重复操作。
- **把「仓库跟上游同步」混进网站自动更新技能** → 两件事:网站更新是抓内容重建站点;仓库同步只是把上游提交合进镜像仓库,归本技能。
- 源码目录里混着密钥(api.txt / cred2.txt / daisy.env)→ 若误提交过,删文件不能解决,必须换密钥并立即告知用户。
- 大安装包(如 *.dmg)不要放进仓库,改用 Release 附件。
- 网络失败时读 error.code,可重试的按 correction 换方法(如 https 失败换 ssh 或重试一次)。

## 默认仓库(`git remote -v` 没有结果时依次使用)
- github.com/SenluAi/

BLOCKgrade D · trust 69/100 Do not install this without reading the findings. The audit found something that could harm you or your machine.

What the source does

Filesystem

declared (1 observation(s))

Network

declared (5 observation(s))

Shell

declared (1 observation(s))

Dependencies

pinned

Secrets in source

none-found

Findings (4)

默认仓库(`git remote -v` 没有结果时依次使用)
- github.com/SenluAi/

复刻站统一挂在用户的 Cloudflare 自有域名 **senlinlu.cn** 下。

清理本地副本(第 8 步校验通过后才做,默认执行,用户已授权)

复刻收尾时就把定时模板放进项目(默认动作,不用等用户提)

Gates applied: no_behavioural_pass.