# 公开发布边界

把项目沉淀成公开 skill 时，只保留通用流程、抽象规则、脚本和 synthetic 示例。不要把客户交付物或真实项目中间产物放进仓库。

## 可以公开

- 通用工作流：需求澄清、逐页提示词、图片封装、语义拆解、渲染 QA。
- 通用脚本：图片裁切、PPTX 封装、可编辑性审计、资产网格切分、公开发布扫描。
- 抽象示例：不包含客户名、真实 Logo、真实数据和真实 badcase 的示例图。
- 参数化配置：示例品牌色、占位 Logo 路径、示例字体名、示例输出目录。
- 局限性说明和适配边界。

## 不应公开

- 客户成品 PPT、PDF、PNG、contact sheet、渲染预览和交付说明。
- 真实 Logo、客户模板、内部图标库、品牌素材和源文件。
- 逐页详细提示词、证据清单、QA 记录、会议材料、投标材料和内部评审记录。
- 真实客户名、真实场景名、内部产品名、报价、合同、SLA、指标、QPS、模型版本和参数。
- 私有路径、账号、token、cookie、API key、内部域名和可访问链接。
- 未脱敏 badcase、真实攻击样本、客户数据、用户数据和日志。

## 发布前检查

1. 运行敏感扫描：

```bash
python scripts/audit_public_skill.py --root .
```

2. 检查 git 状态，只提交 skill 本身需要的文件。
3. 打开 README 和 SKILL.md，确认没有客户名、私有路径和内部项目口径。
4. 确认示例图确实是可公开的 synthetic demo。
5. 如果来源不确定，默认不公开。
