ホーム / 全スキル / ワークフロー＆基本ツール / skill-reviewer
English (EN)简体中文 (ZH)日本語 (JA)
ワークフロー＆基本ツール · daymade/claude-code-skills

skill-reviewer

公式のベストプラクティスに基づいてClaude Codeスキルをレビューおよび改善します。セルフレビュー（自身のスキル検証）、外部レビュー（他者のスキル評価）、自動PR（フォーク、改善、送信）の3つのモードをサポートします。スキルの品質チェック、スキルリポジトリのレビュー、またはオープンソーススキルへの改善貢献を行う際に使用します。

L4 高権限 · 段階的認可と監査V1 コミット固定コマンド実行ネットワーク通信ファイル書き込みDual-pass Audit
Author daymadeGitHub daymade/claude-code-skills ↗Stars 1385License MIT（仓库根 LICENSE，Copyright (c) 2025 daymade；GitHub API spdx MIT）Commit d5c4678cb5
管理レベルは Skill の能力と推奨統制措置を示すものであり、品質や安全性の認証、利用可否の判定ではありません。使用の可否はユーザーおよび管理者が決定します。Agent 環境によって制約が異なるため、自動保護を仮定しないでください。第三者製 Skill の著作権は原著作者に帰属し、利用リスクは利用者が負います。

1仕組みと動作原理

自動レビューの中核は実行可能スクリプト review_skill.py です。対象のスキルディレクトリに対して静的チェック（frontmatterの品質、ディレクトリ構造、SKILL.md が500行未満、ハードコードされたパス/シークレットの正規表現、スクリプトの衛生性、subagent_type の妥当性、指示スタイルのヒューリスティクス）を実行し、YAML/スキーマ/内部パスの検証は同一スイートの skill-creator にある canonical validator に委譲します。

daymade-skill/skill-reviewer/SKILL.md
The reviewer delegates YAML, schema, and internal-path validation to the canonical `skill-creator` validator bundled in the same suite. It then checks frontmatter quality, directory structure, SKILL.md size, hardcoded paths and secrets, script hygiene, `subagent_type` validity, and instruction-style heuristics.
スクリプトが同階層の validator を特定する方法は相対パス解決（Path(__file__).resolve().parents[2] / 'skill-creator' / 'scripts' / 'quick_validate.py'）であり、同一スイートの配置（daymade-skill/skill-creator の共存）に強く依存しています。

静的ルールの実装：PATH_PATTERNS（/Users/、/home/、C:\Users\ などの絶対パス正規表現）と SECRET_PATTERNS（api_key/token/password の代入、sk-、ghp_ プレフィックス）により「ハードコードされたパスや秘密情報」を機械的にチェック可能な問題に変換します。スクリプトの衛生性は ast 解析で裸の except を検出し、requests/httpx のインポートに対して依存関係の登録を促します。

daymade-skill/skill-reviewer/scripts/review_skill.py
SECRET_PATTERNS = [ re.compile( r"\b(?:api[_-]?key|secret[_-]?key|password|token)\b" r"\s*[:=]\s*['\"](?P<value>[^'\"]{8,})['\"]", re.IGNORECASE, ), re.compile(r"(?P<value>sk-[A-Za-z0-9]{20,})"), re.compile(r"(?P<value>ghp_[A-Za-z0-9]{36})"), ]
これが「実現可能な理由」です。公式のベストプラクティスを実行可能な正規表現/構造チェックに変換し、結果は0/1/2/3の終了コード規約（0 clean / 1 warnings / 2 errors / 3 operational failure）に従って引き渡されます。

3モードルーティング：self-review（スクリプト + skill-creator security_scan + 手動チェックリスト）、external review（リポジトリを /tmp にクローン → 全ドキュメントを精読 → 作成者の意図を把握 → チェックリストを実行 → 改善レポートを出力）、auto-PR（gh fork → additive 改善 → 自主的な respect check → PR作成）。

daymade-skill/skill-reviewer/SKILL.md
Auto-PR Workflow: - [ ] Fork repository (gh repo fork) - [ ] Create feature branch - [ ] Apply additive improvements only - [ ] Self-review: respect check passed? - [ ] Create PR with detailed explanation
Mode 3 のフォーク/ブランチ作成/PRはすべてモデルを実行するホスト環境の gh コマンドによって行われます（スキル側に専用スクリプトはありません）。基本原則は additive-only（ファイル削除なし/言語変更なし/リネームなし、追加のみとし各変更点に理由を明記）です。

レビュー哲学は「Respect Check」チェックリストとPRトーンの規律として組み込まれています。他者のスキルに対するPRは追加的な変更のみにとどめ、「What's NOT Changed」を明記し、批判ではなく発見しやすさを重視したトーンを維持します。

daymade-skill/skill-reviewer/SKILL.md
❌ "Your skill doesn't follow best practices" ✅ "This PR aligns with best practices for better discoverability"
自主チェックリスト（Respect Check：No files deleted? / No functionality removed? / Original language preserved? など）は、PRを作成する前に必ず確認されます。

機能境界の明示的宣言：marketplace.json のプラグイン境界やレイアウトの検証は marketplace-dev スキルの領域であり、本スキルは独自にテンプレートを再作成して越境することなく、同一リポジトリの daymade-claude-code:marketplace-dev の呼び出しを案内します。

daymade-skill/skill-reviewer/SKILL.md
skill's domain — don't author it from a template here.
これは daymade スキルスイート内の役割分担の一環です。skill-creator が作成し、skill-reviewer がレビューし、marketplace-dev がプラグイン境界を管理し、skill-governance がディレクトリガバナンスを管理します。

2コア機能

01自動スキルレビュー（uv run --with PyYAML python review_skill.py <path> [--json]）
02skill-creator の canonical 検証への委譲（quick_validate.py：YAML frontmatter/スキーマ/内部パス）
03終了コード規約：0 clean / 1 warnings / 2 review errors / 3 invocation or runtime failure
043つの動作モード：self-review / external review（他者リポジトリのクローン・評価）/ auto-PR（fork + additive 改善 + PR）
05セキュリティ拡張スキャン連携：uv run … skill-creator/scripts/security_scan.py <target> --verbose
06手動評価チェックリストとPRテンプレート（references/evaluation_checklist.md、pr_template.md）

3外部依存関係

KindDependency / Endpoint
packagePyYAML（经 uv run --with PyYAML 从 PyPI 现场提供）
cliuv（依赖提供与脚本运行）
cligh（仅 Mode 3 auto-PR：fork/分支/PR，用户显式选用时执行）
cligit（Mode 2/3 克隆外部仓库到 /tmp）
packageskill-creator 同套件脚本（quick_validate.py / security_scan.py，sibling 依赖）

4推奨統制措置と判定根拠

安全運用のための推奨統制措置
Agent 向け
段階的・都度認可、サンドボックス推奨
管理者向け
承認フロー、ロールバック可能、全履歴監査
判定根拠（ファイルパスと抜粋）
  • scripts/: ローカルスクリプトまたはコマンドの実行: scripts/review_skill.py（uv 経由の python3。対象スキルディレクトリに対して読み取り専用の静的チェックを実施）
  • 网络端点: 外部ネットワークアクセスの宣言: uv が PyPI から PyYAML を取得（初回実行時）
  • 本地工作目录: ファイル読み書きと成果物の出力: Mode 2/3（ユーザー選択時）：/tmp 下へのリポジトリクローン、ブランチ作成、additive 変更適用後の push
監査ノート： レビュアー本体はローカル静的解析です（対象スキルツリーの読み取り + 正規表現/ast チェックを実施。評価対象スクリプトは実行せず、認証情報の読み取りもありません）。「黄（Yellow）」の判定は依存関係チェーンと任意のネットワークアクションに起因します：① uv run --with PyYAML が初回に PyPI から動的にパッケージを取得（サードパーティ製リモートパッケージ）；② Mode 3 の auto-PR が gh を介して GitHub へのフォーク/クローン/プッシュを実行（公式 CLI かつ対象は予測可能ですが、ユーザーが明示的に選択した場合に発生）；③ 同一スイートの skill-creator に含まれる検証/セキュリティスクリプトへの強い依存（同一リポジトリ内の信頼チェーン）。評価対象となる第三者のスキルコンテンツは読み取り専用で実行されません。認証情報へのアクセスがないため「橙」には至らず、リモートパッケージ依存と gh によるネットワークアクションが存在するため「青」より高く、「黄」と判定されます。

5二重目の独立検証

  • [ok] 委托 skill-creator validator 且不执行被评脚本 — subprocess.run 仅 [sys.executable, validator, skill_path]；validator 路径 = parents[2]/skill-creator/scripts/quick_validate.py；同套件 skill-creator 目录真实存在。
  • [ok] 密钥/硬编码路径机检规则 — PATH_PATTERNS 三平台绝对路径正则、SECRET_PATTERNS（key/token/password 赋值 + sk- + ghp_）、PLACEHOLDER_SECRET_PATTERNS 均在源码中逐字可查。
  • [ok] 三模式与 additive-only 原则 — SKILL.md Mode 1/2/3 章节 + 'Core Principle: Additive Only'（NEVER Delete existing files…ALWAYS Add new capabilities）与 Auto-PR Workflow 清单一致。
  • [ok] 退出码契约 — EXIT_CLEAN/EXIT_WARNINGS/EXIT_FINDINGS/EXIT_OPERATIONAL = 0/1/2/3 常量 + SKILL.md 说明一致。
  • [ok] 网络/凭证反例搜索 — review_skill.py 无网络代码、无凭证读取、无 shell=True；唯一外部依赖是 uv 提供 PyYAML；gh/git 动作仅在 SKILL.md Mode 2/3 的模型执行清单里（用户显式选用）。
  • [ok] 功能声明 vs 实际能力夸大检查 — description『Reviews and improves Claude Code skills against official best practices』——review 由脚本+清单兑现，improve 走 additive PR 流程；不声称自动化重写或深度安全渗透（后者显式指向 skill-creator security_scan）。
  • [ok] 元数据（commit/license/stars） — 本地 HEAD == pin d5c4678cb5d4fd6acc9c922690df035dbd33d247；GitHub API：MIT、stars 1385（2026-09-09 实采）、pushed_at 2026-09-09T12:33:29Z。

6結論

  • ベストプラクティスを機械判定可能かつ再現性のあるレビュー機能に昇華：正規表現/ast チェックと終了コード規約により、CIから直接利用可能。
  • 明確な役割分担：canonical 検証を skill-creator に委譲し、本スキルは品質・衛生面・スタイルのヒューリスティクスに集中することで車輪の再発明を防止。
  • additive-only の協調倫理を内蔵：Respect Check リストと「What's NOT Changed」PRセクションにより、オープンソース作者との文化的摩擦を低減。
  • レビューから改善までのクローズドループを自動化可能：Mode 3 では公式 gh CLI を用いてフォークからPRまでの一連のチェックリストを完備。
  • 誠実な機能境界：marketplace 検証は marketplace-dev に、詳細セキュリティスキャンは security_scan に委ね、権限の過剰行使を防止。
    • 最適な用途： Claude Code スキル作者による公開前セルフチェック、メンテナーによるスキルリポジトリ品質の一括評価、およびオープンソーススキルに対して「原作を尊重した」改善PRを送りたいユーザーに最適です。スキルの品質チェックを CI に組み込む用途（終了コード 0/1/2/3）にも適しています。skill-creator（作成）、marketplace-dev（プラグイン境界）、skill-governance（ディレクトリガバナンス）と組み合わせることで、完全なスキルライフサイクルを構築できます。
    不向きな用途： 詳細な侵入テストや悪意あるコードの分析を必要とする用途（静的ルールはハードコードされたパターンのみを検出するため、深層スキャンには専用セキュリティツールの併用が必要）；他者のスキルに対して非追加的な大規模改変を行いたいシナリオ（additive 哲学に反するため）；Claude Code 形式以外のスキル（Codex/OpenClaw 独自のカスタム形式など）の評価；PyYAML がプリインストールされておらず PyPI にアクセスできないオフライン環境。
    Install Agent-Ready
    ① Verified Mirror 2026-09-09
    Option A · Direct DownloadDownload skill-reviewer.tar.gz
    sha256: faaf2fe7a6e55ee9…
    Option B · Copy Guide for Agent
    install.json
    Agent はこの JSON ガイドから自動的にダウンロードして検証します。
    ② Upstream GitHub
    GitHub Repo ↗
    Pinned to commit d5c4678cb5.