[Feature] 支持将 Skill 发布为 API 接口（不公开源码）供他人付费调用

[FenjuFu]

Problem

目前 SkillHub 发布的技能包需要包含完整的源码和工具文件。对于部分包含核心商业逻辑或专有数据的 Skill，开发者不希望公开源码和实现细节，但仍然希望能够将技能提供给其他用户使用，甚至进行商业化变现（付费调用）。这导致优质的高价值技能（如专有模型调用、私有数据检索）难以安全地进入生态体系。

Proposed Solution

支持将 Skill 发布为受平台托管或认证的 API 接口形式（而不公开源码/文件）。

1. 代码隐藏与 IP 保护：发布时，系统将技能作为后端服务或 Serverless 函数托管，仅对外暴露接口规范（如 OpenAPI）和调用鉴权方式，用户端无需下载完整代码。
2. 付费调用/计费模块：结合计费网关，允许其他用户通过购买 Token、按次计费或订阅制的方式付费调用该 Skill API。
3. 无缝集成：对于调用方的 Agent 而言，API 形式的 Skill 在发现和调用体验上与本地安装的 Skill 保持一致，依然可以通过 ClawHub 协议无缝对接。

Alternatives Considered

开发者自行在外部服务器上托管 API，然后在 SkillHub 上发布一个仅包含简单 HTTP 请求代码的“包装器（Wrapper）” Skill。
缺点：增加了开发者的运维成本，也难以利用 SkillHub 平台本身的用户生态、统一鉴权机制和计费模块，导致商业化变现链路断裂和体验割裂。

Impact

1. UX 影响：极大提升高阶开发者和企业入驻平台的积极性，丰富平台高质量技能生态。
2. 部署影响：平台可能需要引入 Serverless 托管机制或 API Gateway 网关模块来代理和转发调用。
3. Auth/API 影响：需新增技能调用网关的统一鉴权（API Token）及计费统计相关 API。

Contract Or SDK Impact

• OpenAPI / SDK：需要扩展 REST API，增加技能调用代理和计费流水统计的端点。
• CLI protocol：ClawHub CLI 协议需要适配 install 命令对 API 类技能的处理（仅下发端点信息和访问凭证，而不是全量代码）。

[wowo-zZ]

Issue Triage

• Route: triage/deferred
• Priority: priority/p2 (2.6/5)
• Effort: effort/l (5/5)
• Confidence: 5/5
• Risk: high
• Analysis Mode: rules-only

Why

• Touches core SkillHub workflows (auth, token, api).
• Issue includes operator or product impact details.

High-Risk Signals

• Mentions sensitive areas (auth, token, openapi).
• Issue mentions API, SDK, or contract changes.

Next Action

• Keep the issue in the deferred queue and let the 6-hour rescore keep lifting it; it is forced into an active lane by day 10. If it is still open on day 14, treat it as a P0 escalation target under the SLA and prioritize it in the next triage pass.

---

问题分流结果

• 路由: triage/deferred
• 优先级: priority/p2 (2.6/5)
• 修复投入: effort/l (5/5)
• 信息完整度: 5/5
• 风险: 高
• 分析模式: rules-only

原因

• 涉及 SkillHub 核心流程（auth, token, api）
• 包含用户或产品影响说明

高风险信号

• 提到敏感区域（auth, token, openapi）
• 提到 API、SDK 或契约变更

下一步

• 将 issue 保留在 deferred 队列，并由 6 小时一次的 rescore 持续抬升；最晚在第 10 天强制进入 active lane。若第 14 天仍未闭环，应按 SLA 视为 P0 升级目标，并在下一次 triage 中重点处理