Skill: skill-provenance

Sổ nguồn gốc + toàn vẹn cho từng skill. orca-sec-scans quét vuln/secret trong NỘI DUNG; skill này trả lời hai câu hỏi khác của chuỗi cung ứng (supply-chain): skill từ đâu tới và có bị sửa lén sau khi cài không. Store là fdk/skills.provenance.json (nguồn + ngày ghi + sha256 mọi file trong skills/<name>/). Verify bằng cách tính lại checksum và so với sổ — lệch = MODIFIED, có skill trên đĩa mà chưa ghi sổ = UNTRACKED.

WHAT

Purpose và context

• Purpose: trả lời hai câu hỏi supply-chain cho từng skill — từ đâu tới và có bị sửa lén sau khi cài không — bằng sổ fdk/skills.provenance.json (nguồn + ngày ghi + sha256 mọi file) và lệnh verify tính lại checksum.
• Trigger (when to use):
  • Vừa cài / chưng cất một skill từ nguồn ngoài (marketplace, repo khác, distill trong phiên dự án khác) → record để chốt nguồn + checksum.
  • Nghi ngờ / muốn kiểm skill có bị sửa ngoài luồng không → check.
  • Hỏi "skill này từ đâu ra", "audit nguồn skill", "checksum skill", "supply-chain skill".
  • CI muốn chặn skill lạ hoặc skill bị sửa mà chưa cập nhật sổ.
• Non-goals: không quét vuln/secret trong nội dung skill (việc của orca-sec-scans); không tự đoán nguồn skill.