跳到报告正文
SH SkillHub 开源周报

# 2026 年第 31 周

项目健康 · 版本交付 · 开源生态 · Issue/PR 流转与价值队列

统计周期 2026-07-24 00:00—2026-07-30 23:59 · Asia/Shanghai
当前状态快照 2026-07-31 14:35（Asia/Shanghai）
项目仓库 iflytek/skillhub
数据来源 GitHub API（认证）· Actions · Git · npm Downloads API
总体状态
需关注 Attention

周期内 Actions 有效成功率为 98.2%，应用 v0.2.15 已发布、CLI 未发版；Issue 净流入 21 个，当前开放 P1 达 21 个，是主要风险。

4,849 Stars · 本期当前可见新增 130
703 Forks · 本期当前可见创建 58
98.2%Actions 有效成功率 · 278/283
1 / 0 应用 / CLI Release · 本期

三分钟总览：只保留仓库、迭代和生态三类决策信息。

详细健康和维护队列请使用上方 Tab。

## 一、仓库关键信息

### 规模快照

Stars 4,849 本期当前可见新增 130
Forks 703 当前可见本期创建 58

Stars 与 Forks 的本期值按认证 API 中当前仍可见、创建时间落入半开周期的记录统计；分别为 130 与 58，不代表库存净增长。

### 本期协作流转

Issue 新增 24
Issue 关闭 3
PR 新增 24
PR 合并 20
PR 关闭未合并 6

周期内 Issue 净流入 21，PR 净流出 2；当前快照开放 Issue 46 个、PR 16 个。主分支新增 56 个提交，本期合并 20 个 PR。

主要风险：Issue 输入速度显著高于处置速度，当前开放 P1 21 个、`triage/needs-info` 28 个；应用 v0.2.15 已在本期发布，但 CLI 仍停留在 0.1.9。

## 二、功能迭代信息

按用户价值排序的重要事项
状态 | 事项 | 进展与下一步
--- | --- | ---
已完成 | 部署与生产化 | Nginx 代理信任边界与 Helm Chart 部署方案在周期内合并，补齐反向代理和 Kubernetes 部署能力。
已完成 | 认证、CLI 与身份核心 | 修复 Device Auth Redis 反序列化、Namespace 坐标与 403 错误语义；统一身份核心在周期内合并。
已完成 | 发布与搜索一致性 | 驳回版本重传和 标签变更后重建搜索索引已合并，关闭两条核心流程缺陷。
已完成 | 生态与文档补全 | 社区 FAQ、HarnessClaw 指南、README Star/Watch 引导与 生态入口 #603均在周期内合并。
已完成 | 应用 v0.2.15 | 7 月 30 日 16:25 发布，包含本期已合并的部署、认证、发布与搜索改动；计入 W31 应用 Release。

## 三、生态相关进展

2 / 6 / 11 新增 Issue 作者 / PR 作者 / 合并作者
58 当前可见本期创建 Fork
909 CLI 下载 · 7 个 UTC 日桶

以上为独立参与信号，不构成转化漏斗。

- 社区贡献 20 个 PR 由 11 位作者完成合并，贡献覆盖部署、认证、CLI、核心流程与文档。
- Agent 集成 HarnessClaw Engine 指南 已合并，新增一条 Agent 生态接入路径。
- 项目可发现性 README Star/Watch 引导与 Trendshift、AAIF 入口均在周期内落地。

## 下周关注

以下动作延续到下一期跟踪。

1. 为 21 个开放 P1 Issue 明确负责人和处置顺序，并批量处理 28 个 `triage/needs-info` Issue。
2. 优先审查 #623、#624、#639 与 #633，减少高价值开放 PR。
3. 明确 CLI 发版窗口；#608 Namespace 修复已进入源码，但尚未包含在 npm CLI 0.1.9 中。

项目健康详情：用于维护者判断工程、交付和治理风险。

成功流水线不等同于“无漏洞”。

## 项目健康状态

工程稳定性稳定
98.2% 278/283

有效运行中有 5 次失败。

PR Tests 1 次、PR E2E Tests 3 次、DeepWiki 1 次。
安全流水线稳定
69 / 69 执行成功

另有 12 次等待授权、18 次条件跳过。

执行成功不代表公开漏洞数量为 0。
自动化运营需关注
28 / 28 Backlog Rescore

Publish Images 12/12，文档部署 4/4。

Issue Triage 成功 36 次、条件跳过 62 次。
Release 交付部分达成
1 / 0 应用 / CLI

v0.2.15 于本期 7 月 30 日 16:25 发布。

CLI 周期内及期后均无新版本，最新仍为 0.1.9。
Issue 治理风险
+21 本期净流入

当前开放 46 个，其中 P1 21 个、`triage/needs-info` 28 个。

输入速度明显高于关闭速度，是当前首要治理风险。
PR 治理期内净流出
-2 本期净流量

合并 20 个、关闭未合并 6 个，当前开放 16 个。

当前 30 天以上 PR 为 3 个，仍需逐项做关闭或推进决策。

## CI 与自动化执行

统计期内有 451 条 Actions 记录，其中 278 次成功、5 次失败、43 次等待授权、119 次跳过、6 次取消。

### Actions 结果构成

成功 278 失败 5 等待授权 43 跳过 119 取消 6

工作流执行明细
工作流 | 总记录 | 成功 | 失败 | 等待授权 | 跳过/取消
--- | --- | --- | --- | --- | ---
PR Tests | 84 | 51 | 1 | 12 | 20
PR E2E Tests | 73 | 36 | 3 | 12 | 22
PR Scripts | 36 | 30 | 0 | 6 | 0
Security | 99 | 69 | 0 | 12 | 18
Issue Triage | 98 | 36 | 0 | 0 | 62
Issue Backlog Rescore | 28 | 28 | 0 | 0 | 0
Publish Images | 12 | 12 | 0 | 0 | 0
Deploy Docs | 4 | 4 | 0 | 0 | 0
其他自动化 | 17 | 12 | 1 | 1 | 3

本期薄弱点：5 次失败来自 PR Tests 1 次、PR E2E Tests 3 次和 DeepWiki 1 次；等待授权共 43 次，不计入有效成功率分母。

## 安全、Release 与存量健康

### 安全与供应链

Security 69 次实际执行全部成功。公开数据无法确认 Dependabot、CodeQL 未修复告警和生产扫描任务数量。

### Release 交付

周期内应用 Release 为 1、CLI Release 为 0；应用 v0.2.15 于 7 月 30 日 16:25 发布。#608 的 Namespace 修复尚未进入 npm CLI 0.1.9。

### Issue 健康

### 开放 Issue 年龄结构

< 7 天 26
7—13 天 4
14—29 天 4
≥ 30 天 12

当前快照包含期后进展；短期 Issue 占比高，治理压力集中在分诊、补充信息和价值判断。

### `needs-info` 占比

60.9%28 / 46

28 个开放 Issue 仍需补充信息。

该比例是当前快照，不作为周期趋势；需要集中澄清或关闭。

### PR 健康

### 开放 PR 年龄结构

< 7 天 11
7—13 天 0
14—29 天 2
≥ 30 天 3

30 天以上 PR 占当前开放队列的 18.8%；该快照包含期后新增项，不用于反推本期存量变化。

## 社区响应

24 个新增 Issue 中，#604 与 #611 在周期内关闭；#604—#606 已形成 #607—#610 的修复或回归。新增输入主要集中在认证、事务一致性、身份联邦和 Web 工程问题；该口径不等同于首次维护者响应 SLA。

先看本周流转，再看当前高价值维护队列。

价值级别是人工治理判断，不替代仓库标签。

## 本周 Issue 与 PR 流转

Issue +24 / -3 净流入 21 · 当前快照开放 46
PR +24 / 合并 20 关闭未合并 6 · 净流出 2 · 当前开放 16

### 新增 Issue（按价值排序）

W31 新增 Issue 价值排序
价值 | Issue | 判断 | 当前进展
--- | --- | --- | ---
A | #604 Device Auth Redis 反序列化 / #605 Token 撤销后仍放行 / #606 CLI Namespace 与 403 语义 | 影响 CLI 登录、凭证撤销和命名空间解析。 | #604 已在周期内关闭；#607—#610 已合并，#605、#606 仍需核对关闭条件。
A | #611 删除版本残留子外键 / #612 扫描任务早于事务提交 | 直接影响版本删除和发布扫描一致性。 | #611 于本期关闭；#612 仍开放，需补事务后触发回归。
A | #613 并发 OAuth 绑定 500 / #614 旧 Session 阻断公开 API | 影响登录与公开技能访问。 | 当前仍开放，需覆盖并发约束和失效会话回归。
A | #615 审核审计部分成功 / #617 首次发布坐标竞争 | 可能造成客户端认知与服务端状态不一致。 | 当前仍开放，优先处理幂等与事务一致性。
B | #616 MVC 客户端错误返回 500 / #618 Web 类型隔离 | 分别影响 API 错误语义和前端构建稳定性。 | #618 已有开放 PR #619；#616 仍待实现。
B | #620 审核进度 / #621 主题持久化 / #622 通知轮询 | 均有用户体验价值，但实现范围与优先级不同。 | 仍处于议题阶段，应先拆验收标准再排期。
A | #628 身份联邦架构 / #629 外部身份可信属性 / #634 禁用旧账户合并 / #640 身份核心 | 集中影响外部身份信任、账户接管风险和统一身份边界。 | #640 已形成并合并 #643；其余事项继续按迁移与安全门禁推进。
B | #626 / #627 部署 Smoke Test | 影响持久环境和受限 Ingress 下的发布验证。 | 需将环境假设改为显式配置，并保留可观察失败。

### 新增、合并与关闭 PR

W31 关键 PR 流转
类型 | 价值 | PR | 结果与判断
--- | --- | --- | ---
新增并合并 | A | #607 Device Auth / #608 CLI Namespace / #609 Token 回归 / #610 403 语义 | 4 个新增 PR 均已合并，快速处理认证与 CLI 缺陷。
本期合并 | B | #599 README 引导 / #601 驳回版本重传 | 两项在 W30 创建，本期完成项目可发现性与发布一致性交付。
新增待审 | A | #623 OAuth 回跳 / #624 React 19 Portal 崩溃 | 直接影响登录回跳和 Web 稳定性，建议优先完成回归。
新增待审 | B | #619 Web 类型隔离 | 回应 #618，当前仍开放，需先确认构建环境隔离边界。
新增并合并 | B | #603 生态入口 | 7 月 24 日创建、7 月 30 日合并，计入本期新增与合并。
新增并合并 | A | #643 身份核心 / #641 版本依赖删除 / #648 身份门禁 / #649 Binding V2 | 7 月 30 日完成身份核心、治理安全和迁移护栏交付。
本期合并 | A | #443 / #445 / #480 / #560 | 部署与认证：Nginx、Helm、OAuth Provider 与登录页恢复。
本期合并 | A | #592 搜索索引重建 | 核心流程：标签变更后异步重建搜索索引。
本期合并 | B | #593 / #598 | 生态与文档：FAQ 与 HarnessClaw 指南。

## 当前高价值维护队列

以下为 2026-07-31 14:35 快照，只列需要明确决策的 A/B 项；价值分级是维护治理判断，不替代仓库现有 P1/P2 标签。

### Issue：A 级优先处理

A 级开放 Issue
Issue | 价值判断 | 建议动作
--- | --- | ---
#634 禁用不安全的旧账户合并流程 | 涉及潜在账户接管风险，已有替代实现 #639。 | 完成安全回归和迁移兼容审查后优先合并。
#605 Token 撤销后部分 API 仍放行 | 认证安全语义不一致，且 Issue 在回归测试合并后仍开放。 | 确认失败用例覆盖 whoami/search，完成实现后关闭。
#612 扫描任务与发布事务竞争 | 可能使合法发布因任务提前执行而失败。 | 将异步启动约束到事务提交后，并补稳定回归。
#615 审核状态与审计不一致 | 服务端已提交状态却向客户端返回失败。 | 统一事务边界，避免部分成功和重复操作。
#617 首次发布坐标并发竞争 | 影响同坐标并发发布的幂等与错误语义。 | 增加数据库约束映射与并发回归测试。

### Issue：B 级需设计或严格审查

B 级开放 Issue
Issue | 建议动作
--- | ---
#613 并发 OAuth 绑定 500 | 围绕唯一约束和重试边界设计并发回归。
#614 旧 Session 阻断公开 API | 明确 permitAll 路由的失效会话处理语义。
#628 统一身份联邦架构 | 将 #630、#631、#633 作为一个设计批次集中审查。
#640 身份核心与 Provider 权限锁 | 先收敛与 #628 的边界，再决定实现拆分与兼容策略。
#620 审核进度与重提历史 | 先定义作者可见字段与审核隐私边界。
#622 通知由 SSE 改为轮询 | 先用代理兼容性和资源成本数据验证替换必要性。

### PR：A 级优先推进

A 级开放 PR
PR | 价值判断 | 建议动作
--- | --- | ---
#639 隔离不安全账户合并流程 | 回应高风险认证 Issue #634，并替代已关闭的 #637。 | 优先核对账户接管回归、兼容路径和失败语义。
#623 保留 OAuth 回跳目标 | 直接影响认证后用户流程连续性。 | 验证多 Provider、非法目标和默认回跳后优先合并。
#624 修复 React 19 Portal 崩溃 | 解决用户可见的 removeChild/insertBefore 崩溃。 | 补弹窗开关和路由切换场景 E2E 后合并。
#631 外部身份可信属性 | 决定外部身份是否可安全触发用户配置。 | 与 #630 设计文档同步审查信任来源和降级路径。
#633 审批后配置 global membership | 影响新用户审批后的基础授权可用性。 | 验证重试幂等、已有成员和审批回滚场景。

展开：本周关闭未合并的 PR

长期 PR #442、#457、#460，以及本期新增后被替代的 #637、#638、#642 在周期内关闭且未合并。配合 20 个合并 PR，本期 PR 净流出 2 个；当前开放 16 个。

这里说明时间边界、数据来源与缺失项。

缺失数据均标为“未取得”，不替换为 0。

## 统计口径

- 统计周期展示为 2026-07-24 00:00—2026-07-30 23:59，Asia/Shanghai；程序过滤采用等价半开区间 `[2026-07-24 00:00, 2026-07-31 00:00)`，对应 UTC 为 7 月 23 日 16:00 至 7 月 30 日 16:00。
- 当前快照 2026-07-31 14:35；开放队列、Fork 累计数及年龄结构取该时点。Star 总量与新增证据更新于 16:35；周期结束后的变化不计入本期流量。
- 周期衔接 W30 的排他截止与 W31 起始均为 7 月 24 日 00:00，相邻报告无重叠；周四 23:59 后的事件进入下一期。
- Star 证据 7 月 31 日 16:35 的当前 Stars 为 4,849；130 表示同次认证 API 查询中，`starred_at` 落入本期且当前仍可见的 Stargazer。完整分页数量与仓库总数均为 4,849；该值不是周期净增长，也不能替代起止库存快照。
- Fork 证据当前 Forks 为 703；58 表示当前列表中创建时间落在本期的可见记录，不代表 Fork 库存净增长。
- Actions 成功率 `success / (success + failure)`；等待授权、条件跳过和取消不进入分母。
- Issue / PR GitHub Issues API 会同时返回 PR，本报告分开统计；价值 A—D 为人工治理判断。
- Release 周期内应用 Release 为 1、CLI Release 为 0；应用 v0.2.15 于 7 月 30 日 16:25 发布，计入本期。
- npm 下载 909 次覆盖 2026-07-24—2026-07-30 的 UTC 日桶，与 Asia/Shanghai 半开周期不完全对齐，因此仅作为带覆盖范围的生态观察，不称为完整周总量。
- 推广数据文章、直播、社区分享和合作项目由维护者补录；本期未提供，因而不展示推广模块，也不记为 0。

## 数据来源与限制

来源覆盖
来源 | 用途 | 限制
--- | --- | ---
GitHub API（认证） | 仓库、Issue、PR、Release、Actions、Fork、Stargazer `starred_at` | 没有周期起止两份库存快照；当前可见新增不等于净增长。
Git 标签与提交历史 | 主分支提交、合并与 Release 时间核对 | v0.2.15 计入本期；CLI 仍以 npm 0.1.9 为最新版本。
npm Downloads API | `@astron-team/skillhub` 的 7 个 UTC 日桶 | 909 次下载不等同于独立用户，且覆盖范围与本报告时区边界不完全对齐。
维护者人工判断 | 价值排序、推广动作和产品边界 | 推广动作尚未提供。

未取得：GitHub Traffic、Referrers、W31 起止两份可比 Star/Fork 库存快照、私有安全告警，以及生产 SkillHub 实例的可用率、延迟、Skill 数量和扫描成功率。