1. 这不是“技能列表”，而是一套可执行、可验证、可进化的工程化能力体系

你搜“skills”时看到的满屏热词——Google Cloud、Gemini、Genkit、GKE、前端开发skills、superpower skills、gemini登录失败提示、agent skills测试、codex写论文的skills……表面看是零散关键词堆砌，实则暴露了一个被严重低估的事实：当前所有所谓“AI技能”（skills）的本质，不是功能菜单里的勾选项，而是运行在特定基础设施之上的、有明确输入输出契约、可独立部署、可观测、可版本管理的最小可执行单元。我过去三年带过17个AI工程落地项目，从金融风控Agent到工业设备预测性维护系统，踩过最深的坑，就是把“skills”当成“功能模块”来设计——结果90%的项目卡在集成调试阶段，不是API调不通，就是上下文丢失，更别说灰度发布和AB测试。真正能跑通的，无一例外都把skills当作微服务来建模：每个skill自带schema定义、输入校验、超时熔断、日志埋点、健康检查端点。比如一个“提取合同关键条款”的skill，它不该只是调用一次Gemini API就完事；它必须声明支持PDF/DOCX两种输入格式、返回JSON Schema严格约束的字段（如"effective_date": "string", "parties": ["string"]）、内置PDF解析失败降级为OCR重试逻辑、响应时间超过800ms自动触发告警。这才是skills在真实生产环境中的样子。它不依赖某个UI界面，不绑定某款浏览器插件，甚至不强求运行在Google Cloud上——你可以用Genkit在本地Docker里启动，也可以打包成Kubernetes Job提交到GKE集群，还可以编译成WASM模块嵌入前端页面。核心在于：skills是能力的封装体，不是功能的快捷方式。如果你正被“your account is not eligible for gemini code assist”这类提示困扰，问题大概率不在账户权限，而在你试图调用的这个“skill”根本没有明确定义它的执行边界和失败兜底策略——系统检测到它可能引发不可控的资源消耗或数据泄露，自然拒绝加载。所以本文不讲“怎么下载skills大全”，只讲：如何从零开始，亲手构建一个经得起压测、扛得住故障、能放进CI/CD流水线的production-ready skill。

2. skills的底层架构设计：为什么必须放弃“函数式思维”，转向“服务化建模”

2.1 技术选型背后的硬逻辑：Genkit不是玩具，是生产级框架

很多人看到Genkit文档第一反应是“又一个LLM编排工具”，立刻跳去写genkit.run()调用链。我试过——在客户现场用Genkit v0.4.0搭了一个电商客服skill，上线第三天凌晨3点收到告警：CPU持续100%达47分钟。排查发现，Genkit默认的run()方法在高并发下会阻塞主线程，而我们没配任何限流器。这暴露了根本问题：把skills当普通函数调用，等于放弃了工程化控制权。Genkit真正的价值，恰恰在于它强制你做三件事：定义SkillSpec（能力契约）、实现SkillExecutor（执行容器）、注册SkillRegistry（服务发现）。这不是增加复杂度，是在补足LLM应用缺失的“操作系统层”。举个具体例子：我们要做一个“会议纪要生成skill”，传统做法是写个Python函数，输入会议录音URL，输出Markdown文本。但生产环境需要：① 录音文件大小校验（>500MB拒绝处理）；② 语音转文字失败时自动切换备用ASR引擎；③ 生成结果需附带置信度分数供人工复核；④ 每次调用生成唯一trace_id便于全链路追踪。这些需求，用纯函数无法表达，但用Genkit的SkillSpec就能精准建模：

export const meetingSummarySkill = defineSkill({ name: 'meeting-summary', description: 'Generate structured meeting minutes from audio URL', inputSchema: z.object({ audioUrl: z.string().url().max(500 * 1024 * 1024), // 强制500MB上限 participants: z.array(z.string()).min(2).max(20), }), outputSchema: z.object({ summary: z.string(), actionItems: z.array(z.object({ assignee: z.string(), deadline: z.string().regex(/^\d{4}-\d{2}-\d{2}$/), confidence: z.number().min(0).max(1) // 关键：置信度显式输出 })), traceId: z.string() // 全链路追踪ID }), executor: async (input, context) => { // 执行逻辑：这里可注入熔断器、重试策略、监控埋点 } });

提示：Genkit的defineSkill不是语法糖，它是将skills从“代码片段”升维为“服务契约”的关键锚点。没有这个契约，你就无法做自动化测试（因为不知道合法输入范围），无法做性能压测（因为不清楚预期QPS），更无法做灰度发布（因为无法判断新旧版本输出是否兼容）。

2.2 为什么GKE是skills规模化部署的必然选择

搜索热词里反复出现“GKE”，绝非偶然。当你把skills当作微服务来设计，Kubernetes就成了唯一合理的运行时。我负责的一个制造业知识库项目，初期用Cloud Run部署skills，单实例QPS峰值120，但当客户要求支持10个工厂同时上传设备日志（日均2TB原始数据）时，Cloud Run的冷启动延迟（平均2.3秒）导致批量处理任务超时率飙升至37%。切换到GKE后，通过HPA（Horizontal Pod Autoscaler）配置CPU使用率阈值为60%，配合Pod反亲和性调度，相同负载下P99延迟降至412ms，超时率归零。关键差异在于：GKE让你对skills的生命周期拥有完全控制权。比如一个“设备故障诊断skill”，我们需要：

• 启动时预加载1.2GB的领域知识图谱到内存（避免每次请求都IO）
• 运行中限制最大并发数为8（防止GPU显存溢出）
• 健康检查端点返回模型加载状态（/healthz返回{"model_loaded": true, "cache_hit_rate": 0.87}）
• 就绪探针等待Redis连接池建立完成才接受流量

这些能力，Cloud Run或Cloud Functions根本无法提供。GKE的Deployment配置文件直接定义了skills的“生存规则”：

apiVersion: apps/v1 kind: Deployment metadata: name: fault-diagnosis-skill spec: replicas: 3 strategy: rollingUpdate: maxSurge: 1 maxUnavailable: 0 template: spec: containers: - name: skill-container image: gcr.io/my-project/fault-diagnosis:v2.1.0 resources: limits: memory: "4Gi" nvidia.com/gpu: "1" # 显式声明GPU资源 livenessProbe: httpGet: path: /healthz port: 8080 readinessProbe: httpGet: path: /readyz port: 8080 initialDelaySeconds: 60 # 等待模型加载完成 env: - name: MODEL_CACHE_SIZE value: "5000" # 控制缓存条目数

注意：GKE不是“为了用而用”，而是当skills数量超过5个、日均调用量破10万、且涉及GPU/TPU等异构计算资源时，Kubernetes的声明式运维能力带来的边际效益远超学习成本。我们团队内部有个铁律：skills部署决策树——<100 QPS用Cloud Run，100-5000 QPS用GKE Standard，>5000 QPS必须上GKE Autopilot+GPU节点池。

2.3 Gemini不是skills的“大脑”，而是可插拔的推理引擎

热词里“gemini登录失败”高频出现，本质是混淆了skills与LLM的关系。很多开发者以为“接入Gemini=搞定skills”，结果在gemini-pro和gemini-flash之间反复横跳，却忘了skills的核心价值在于解耦业务逻辑与模型选择。我们在金融反欺诈项目中，同一个“交易风险评估skill”在不同场景切换了3种后端：

• 白名单用户：调用gemini-flash（毫秒级响应，满足实时风控）
• 高净值客户：调用gemini-pro（深度分析交易链路，容忍2秒延迟）
• 监管审计场景：回退到本地微调的Llama3-8B（完全离线，满足数据不出域要求）

这一切切换，对上游调用方完全透明——因为skills的SkillSpec定义了统一输入输出，执行器内部根据context.environment变量路由到不同LLM端点。关键代码只有三行：

const llm = context.environment === 'prod' ? geminiFlashModel : context.environment === 'audit' ? llama3LocalModel : geminiProModel; const result = await llm.generate(input);

这种设计让skills具备了“抗供应商锁定”能力。去年Google突然调整Gemini API配额，我们仅用2小时就将所有非核心skills切换到Claude 3 Sonnet，因为skills契约未变，只需替换执行器中的LLM客户端。反观那些把Gemini调用硬编码在函数里的项目，改起来得重测整个调用链。

3. skills开发全流程：从本地验证到GKE生产部署的7个关键环节

3.1 环境准备：避开Genkit v0.5.0的npm依赖陷阱

Genkit官方文档推荐npm create genkit@latest，但实测在Node.js 20.12环境下，该命令会安装@genkitdev/core@0.5.0，其依赖的google-auth-library@9.12.0与GCP SDK存在JWT签名算法冲突，导致本地调试时gcloud auth application-default login认证失败。我们团队摸索出稳定方案：

1. 强制指定Node版本：使用.nvmrc锁定为v18.20.2（LTS长期支持版）
2. 手动初始化项目：

   mkdir my-skill && cd my-skill npm init -y npm install @genkitdev/core@0.4.3 @genkitdev/google@0.4.3 google-auth-library@8.9.0

3. 配置VS Code调试：在.vscode/launch.json中添加：

   { "configurations": [{ "type": "node", "request": "launch", "name": "Debug Skill", "runtimeExecutable": "npx", "runtimeArgs": ["genkit", "dev"], "env": { "GOOGLE_APPLICATION_CREDENTIALS": "./service-account-key.json", "GENKIT_ENV": "local" } }] }

实操心得：Genkit的genkit dev命令会启动本地服务，但默认监听http://localhost:3000。很多新手卡在“页面打不开”，其实是浏览器被公司代理拦截。解决方案：在Chrome启动参数中加入--proxy-server="direct://"，或直接curl测试：

curl -X POST http://localhost:3000/skills/meeting-summary \ -H "Content-Type: application/json" \ -d '{"audioUrl":"https://example.com/test.mp3"}'

返回HTTP 200即表示本地环境就绪。

3.2 SkillSpec定义：用Zod Schema堵住90%的线上故障

Skills的健壮性，70%取决于inputSchema和outputSchema的设计质量。我们曾因一个疏忽付出惨痛代价：某医疗问诊skill的inputSchema中，患者年龄字段定义为z.number()，但前端传入字符串"65"，Zod校验失败后skill直接抛出500错误，导致整个问诊流程中断。正确做法是使用Zod的转换能力：

inputSchema: z.object({ patientAge: z.union([ z.number().int().min(0).max(120), z.string().regex(/^\d+$/).transform(Number) // 自动字符串转数字 ]), symptoms: z.array(z.string()).min(1).max(10) })

更关键的是outputSchema的防御性设计。LLM输出不稳定是常态，必须用Zod强制规范：

• 对数组长度做硬限制（避免空数组或超长数组拖垮下游）
• 对字符串字段设min/max（防止生成超长文本OOM）
• 对数值字段加multipleOf（如金额必须是0.01的倍数）

outputSchema: z.object({ diagnosis: z.string().max(500), // 限制摘要长度 medications: z.array( z.object({ name: z.string().max(100), dosage: z.string().max(50), frequency: z.enum(['daily', 'twice_daily', 'weekly']) // 枚举确保一致性 }) ).max(20), // 最多20种药 totalCost: z.number().multipleOf(0.01) // 金额精度控制 })

提示：Zod Schema不是摆设。我们在CI流水线中加入Schema验证步骤：

# 在package.json scripts中 "test:schema": "genkit schema validate --all"

任何Schema变更都会触发自动化测试，确保契约不变性。

3.3 执行器（Executor）编写：超越prompt engineering的工程实践

一个合格的skill执行器，必须包含五个核心层：

1. 输入预处理层：清洗、标准化、补充元数据
2. LLM调用层：含重试、熔断、超时控制
3. 输出后处理层：结构化解析、异常兜底、置信度计算
4. 可观测层：日志、指标、追踪
5. 资源清理层：临时文件删除、连接池释放

以“合同条款提取skill”为例，其executor关键代码：

executor: async (input, context) => { // 1. 输入预处理：补充trace_id，校验PDF页数 const traceId = context.traceId || generateTraceId(); const pdfInfo = await getPdfInfo(input.pdfUrl); if (pdfInfo.pageCount > 200) { throw new Error(`PDF too large: ${pdfInfo.pageCount} pages`); } // 2. LLM调用：带熔断器和重试 const circuitBreaker = new CircuitBreaker({ timeout: 8000, errorThreshold: 3, resetTimeout: 60000 }); let result; try { result = await circuitBreaker.fire(async () => { return await geminiPro.generate({ prompt: buildPrompt(input.pdfUrl), temperature: 0.1, maxOutputTokens: 2048 }); }); } catch (e) { // 3. 异常兜底：切换到规则引擎 result = fallbackToRegexExtraction(input.pdfUrl); } // 4. 输出后处理：用Zod解析，失败则返回空对象+告警 const parsed = contractSchema.safeParse(result); if (!parsed.success) { console.warn(`[TRACE:${traceId}] Schema parse failed`, parsed.error); return { clauses: [], confidence: 0.0, traceId }; } // 5. 可观测：记录关键指标 context.metrics.record('skill_execution_time', Date.now() - context.startTime); context.metrics.record('llm_tokens_used', result.usage?.outputTokens || 0); return { ...parsed.data, traceId, confidence: calculateConfidence(result) }; }

注意：context.metrics是Genkit内置的指标收集器，会自动上报到Cloud Monitoring。我们额外在GKE中部署Prometheus Operator，抓取/metrics端点，设置告警规则：当skill_execution_time{skill="contract-extract"} > 5000持续5分钟，立即通知值班工程师。

3.4 本地测试：用Genkit Test Runner覆盖三种致命场景

Genkit的genkit test命令支持基于YAML的测试用例，但多数人只测“happy path”。我们坚持覆盖三类高危场景：

• 边界值场景：输入字段达最大/最小值
• 异常流场景：LLM返回格式错误、空响应、乱码
• 性能压测场景：模拟100并发请求

测试文件test/contract-extract.test.yaml示例：

- name: "Edge case - empty PDF URL" skill: "contract-extract" input: pdfUrl: "" expect: error: "Invalid url" - name: "Failure mode - LLM returns garbage" skill: "contract-extract" input: pdfUrl: "https://example.com/test.pdf" mock: llmResponse: "%%%INVALID JSON%%%{ \"clauses\": [\"garbage\"] }" expect: output: clauses: [] confidence: 0.0 - name: "Load test - 100 concurrent" skill: "contract-extract" input: pdfUrl: "https://example.com/test.pdf" load: concurrency: 100 duration: "30s" expect: p95Latency: "< 2000ms" errorRate: "< 0.5%"

运行命令：

genkit test --file test/contract-extract.test.yaml --report junit

实操心得：测试报告生成JUnit XML，可直接接入Jenkins。我们要求所有skills的测试覆盖率必须≥85%（genkit test --coverage），且异常流测试用例占比不低于30%。曾经有个skill因未覆盖“PDF解析超时”场景，上线后遇到扫描件模糊的合同，导致整个服务雪崩——从此定为红线。

3.5 Docker镜像构建：精简到127MB的生产级镜像

本地开发用Node.js，生产环境必须容器化。我们采用多阶段构建，最终镜像仅127MB（对比基础node:18-alpine的180MB）：

# 构建阶段 FROM node:18-alpine AS builder WORKDIR /app COPY package*.json ./ RUN npm ci --only=production COPY . . RUN npm run build # 运行阶段 FROM gcr.io/distroless/nodejs:18 WORKDIR /app COPY --from=builder /app/dist ./dist COPY --from=builder /app/node_modules ./node_modules COPY --from=builder /app/package.json . EXPOSE 8080 CMD ["dist/index.js"]

关键优化点：

• 使用distroless基础镜像（无shell、无包管理器，攻击面极小）
• npm ci --only=production跳过devDependencies
• COPY --from=builder只复制必要文件，不包含源码和测试文件
• EXPOSE 8080显式声明端口，便于Kubernetes Service发现

构建并推送：

docker build -t gcr.io/my-project/contract-extract:v1.2.0 . docker push gcr.io/my-project/contract-extract:v1.2.0

提示：镜像标签必须语义化（v1.2.0），禁止用latest。GKE部署时通过imagePullPolicy: Always确保拉取最新镜像，但版本号锁定是灰度发布的前提。

3.6 GKE部署：Service + Ingress + HorizontalPodAutoscaler三位一体

Skills在GKE中不是孤立Pod，而是完整服务网格的一部分。我们的标准部署模板包含三个核心资源：

1. Service（服务发现）

apiVersion: v1 kind: Service metadata: name: contract-extract-service spec: selector: app: contract-extract ports: - protocol: TCP port: 80 targetPort: 8080

2. Ingress（七层路由）

apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: contract-extract-ingress annotations: kubernetes.io/ingress.class: "gce" networking.gke.io/v1beta1.FrontendConfig: "contract-extract-frontend" spec: rules: - host: "skills.my-company.com" http: paths: - path: "/skills/contract-extract" pathType: Prefix backend: service: name: contract-extract-service port: number: 80

3. HorizontalPodAutoscaler（弹性伸缩）

apiVersion: autoscaling/v2 kind: HorizontalPodAutoscaler metadata: name: contract-extract-hpa spec: scaleTargetRef: apiVersion: apps/v1 kind: Deployment name: contract-extract-deployment minReplicas: 2 maxReplicas: 10 metrics: - type: Resource resource: name: cpu target: type: Utilization averageUtilization: 70 - type: Pods pods: metric: name: custom_metric_request_count target: type: AverageValue averageValue: "100"

注意：Ingress的host必须提前在Cloud DNS中配置CNAME指向GKE全局外部IP。我们用Terraform自动化此流程，避免手动操作失误。

3.7 CI/CD流水线：从Git Push到GKE上线的11分钟闭环

我们用Cloud Build构建CI/CD流水线，核心步骤：

1. 代码扫描（2分钟）：SonarQube静态分析 + Zod Schema验证
2. 单元测试（3分钟）：genkit test+ Jest覆盖率检查
3. 镜像构建（4分钟）：Docker build + Trivy漏洞扫描（阻断CVSS≥7的漏洞）
4. GKE部署（2分钟）：kubectl apply -f k8s/+ Helm版本校验

cloudbuild.yaml关键片段：

steps: - name: 'gcr.io/cloud-builders/docker' args: ['build', '-t', 'gcr.io/$PROJECT_ID/contract-extract', '.'] - name: 'gcr.io/cloud-builders/trivy' args: ['filesystem', '--severity', 'CRITICAL,HIGH', '.'] - name: 'gcr.io/cloud-builders/kubectl' args: ['apply', '-f', 'k8s/deployment.yaml'] images: - 'gcr.io/$PROJECT_ID/contract-extract'

实操心得：流水线最后一步是自动化冒烟测试：

curl -X POST https://skills.my-company.com/skills/contract-extract \ -H "Authorization: Bearer $(gcloud auth print-access-token)" \ -d '{"pdfUrl":"https://storage.googleapis.com/test-bucket/sample.pdf"}' \ --fail

HTTP 200才视为部署成功，否则自动回滚。整个流程平均耗时11分23秒，比人工部署快17倍，且零失误。

4. skills运维与治理：解决“你的账户不满足条件”类问题的根因分析

4.1 权限模型：为什么GCP IAM策略决定skills能否加载

热词中高频出现的your account is not eligible for gemini code assist，90%源于GCP IAM权限配置错误。这不是Gemini服务的问题，而是skills执行时缺少必要权限。我们总结出skills所需的最小权限集：

错误配置案例：某团队给service account只授予roles/editor，看似权限足够，但roles/editor包含compute.instances.delete等高危权限，违反公司安全策略，导致IAM Policy审核失败，skills加载被拒。正确做法是创建自定义角色：

gcloud iam roles create skills_executor \ --project=my-project \ --title="Skills Executor" \ --description="Minimal permissions for running skills" \ --permissions="aiplatform.predictors.predict,storage.objects.get,logging.logEntries.create,monitoring.timeSeries.create"

然后绑定到GKE节点池的service account：

gcloud projects add-iam-policy-binding my-project \ --member="serviceAccount:my-gke-node@my-project.iam.gserviceaccount.com" \ --role="projects/my-project/roles/skills_executor"

提示：权限必须精确到resource level。例如，storage.objects.get应限制到特定bucket：

{ "bindings": [{ "role": "projects/my-project/roles/skills_executor", "members": ["serviceAccount:my-gke-node@my-project.iam.gserviceaccount.com"], "condition": { "title": "Contract bucket only", "expression": "resource.name.startsWith('projects/_/buckets/contract-docs')" } }] }

4.2 流量治理：用Istio实现skills间的熔断与重试

当skills数量超过20个，服务间调用的稳定性成为瓶颈。我们弃用Genkit内置的简单重试，改用Istio Service Mesh统一治理。关键配置：

DestinationRule（定义重试策略）

apiVersion: networking.istio.io/v1beta1 kind: DestinationRule metadata: name: contract-extract-dr spec: host: contract-extract-service trafficPolicy: connectionPool: http: http1MaxPendingRequests: 100 http2MaxRequests: 100 maxRetries: 3 outlierDetection: consecutive5xxErrors: 5 interval: 30s baseEjectionTime: 30s

VirtualService（定义熔断路由）

apiVersion: networking.istio.io/v1beta1 kind: VirtualService metadata: name: contract-extract-vs spec: hosts: - contract-extract-service http: - route: - destination: host: contract-extract-service subset: v1 weight: 90 - destination: host: contract-extract-service subset: v2 weight: 10 retries: attempts: 3 perTryTimeout: 2s retryOn: "5xx,connect-failure,refused-stream"

注意：Istio的consecutive5xxErrors参数是熔断开关。当contract-extract服务连续5次返回500，Istio会将其从负载均衡池中剔除30秒，避免故障扩散。我们实测此配置使跨skills调用的P99延迟波动降低63%。

4.3 故障排查：skills健康检查的四个黄金指标

当skills出现“加载失败”或“响应缓慢”，按以下顺序排查：

典型故障案例：某skills持续返回503 Service Unavailable，kubectl describe pod显示Readiness probe failed。深入检查发现，/readyz端点依赖Redis连接，而Redis密码在Secret中被错误更新为base64编码的乱码。修复只需一行：

kubectl create secret generic redis-secret \ --from-literal=password="real-password" \ --dry-run=client -o yaml | kubectl apply -f -

实操心得：我们为每个skills编写healthcheck.sh脚本，放入容器内：

#!/bin/sh # 检查模型加载 [ -f /app/model/loaded.flag ] || exit 1 # 检查Redis连接 redis-cli -h $REDIS_HOST PING >/dev/null || exit 1 # 检查GCS连通性 gsutil ls gs://$BUCKET_NAME/health.txt >/dev/null || exit 1 exit 0

并在Deployment中配置：

readinessProbe: exec: command: ["/app/healthcheck.sh"] initialDelaySeconds: 60

4.4 成本优化：skills的GPU资源精细化管控

Gemini调用本身免费，但skills运行的GPU资源是主要成本项。我们通过三步法将GPU成本降低68%：

第一步：GPU型号分级

• n1-standard-8+nvidia-tesla-t4：用于gemini-flash类低延迟skill（$0.35/hour）
• n1-standard-16+nvidia-tesla-v100：用于gemini-pro类高精度skill（$1.18/hour）
• a2-highgpu-1g+nvidia-a100：仅用于微调训练job（$2.22/hour）

第二步：GPU共享调度在GKE节点池启用NVIDIA Device Plugin，并配置nvidia.com/gpu: 1资源请求。关键技巧：同一节点部署多个skills，但通过nodeSelector和tolerations隔离：

# skill-A（T4） spec: nodeSelector: cloud.google.com/gke-accelerator: nvidia-tesla-t4 tolerations: - key: "nvidia.com/gpu" operator: "Exists" effect: "NoSchedule" # skill-B（V100） spec: nodeSelector: cloud.google.com/gke-accelerator: nvidia-tesla-v100

第三步：GPU空闲自动释放编写Kubernetes CronJob，每5分钟检查GPU利用率：

apiVersion: batch/v1 kind: CronJob metadata: name: gpu-autoscaler spec: schedule: "*/5 * * * *" jobTemplate: spec: template: spec: containers: - name: scaler image: gcr.io/my-project/gpu-scaler:v1.0 args: ["--threshold=0.1", "--scale-down-delay=300"] restartPolicy: OnFailure

提示：gpu-scaler工具会调用nvidia-smi获取GPU利用率，当连续5分钟低于10%，自动缩减对应节点池规模。我们实测此策略使GPU月度账单从$12,400降至$3,980。

5. skills生态演进：从单点能力到Agent工作流的跃迁

5.1 Agent编排：skills不是终点，而是原子积木

当skills数量突破50个，单纯调用已无法满足复杂业务。我们引入Agent框架，将skills组合为工作流。以“智能投研Agent”为例，它串联7个skills：

1. news-fetcher（抓取财经新闻）
2. sentiment-analyzer（分析情绪倾向）
3. earnings-parser（解析财报PDF）
4. competitor-comparator（竞品数据对比）
5. risk-assessor（识别监管风险）
6. summary-generator（生成投研简报）
7. alert-notifier（邮件/钉钉通知）

关键创新在于skills间的数据契约。每个skill输出必须符合下游skill的inputSchema，我们用Genkit的Workflow定义：

export const researchWorkflow = defineWorkflow({ name: 'equity-research', steps: [ step('fetch-news', newsFetcherSkill), step('analyze-sentiment', sentimentAnalyzerSkill), step('parse-earnings', earningsParserSkill), step('compare-competitors', competitorComparatorSkill), step('assess-risk', riskAssessorSkill), step('generate-summary', summaryGeneratorSkill), step('send-alert', alertNotifierSkill) ], // 定义step间数据流转规则 dataFlow: { 'fetch-news -> analyze-sentiment': { mapping: (output) => ({ text: output.articles[0].content }) }, 'parse-earnings -> compare-competitors': { mapping: (output) => ({ financialData: output.financials }) } } });

注意：dataFlow.mapping函数是skills解耦的关键。它确保上游skill无需知道下游skill的输入格式，只需按约定输出，由workflow引擎自动转换。这让我们能快速替换skills——比如把sentiment-analyzer换成Claude 3，只需修改mapping函数，不影响整个workflow。

5.2 前端集成：skills如何赋能Web应用而不暴露密钥

热词中“前端开发skills”常被误解为“在浏览器里调用Gemini”。这是危险的！我们坚持skills必须通过Backend-for-Frontend（BFF）模式暴露。前端调用自有API网关，网关再调用skills服务：

Frontend (React) →