skill:plaud-theme/plaud-theme-qa-intake@0.3.6

publishedlatestTIER 2shell

验证链

verification axis

unverified

签名身份

本站点没有读取 Sigstore bundle

unverified

Rekor 条目

没有查询透明日志

unverified

树摘要

9806e432…00622fb0geoly-tree-v1:sha256:9806e432736656d1cd6e30c207b4aeec1d81c95a5827b35b88aca8e800622fb0

unverified

快照时效

hub-2 · 没有 timestamp

四格全部是「未验证」，这不是加载中，也不会变：本站点是构建期渲染的静态页，它没有 timestamp、没有 Sigstore bundle、没有内置 TUF 根，因此 02-registry.md §6 的验证链一步都没跑。虚线圈的意思是「我们没验」，不是「验了没过」—— 后者是圈叉，两个图形在本站点刻意不同形。要真的验，用 CLI（它没有 --no-verify，也没有 --insecure）。

信任台账

provenance of this page

这一页的每个值是谁说的

source of record

签名身份: 本站点未读取真验签时这里是 release.yml 的完整 identity 字符串；它与 timestamp.yml 是两个身份，精确比对、不可互换、不做前缀匹配。
OIDC issuer: 本站点未读取真验签时这里是 https://token.actions.githubusercontent.com 的完整字符串。
Rekor 条目: 本站点未读取透明日志是公开的：任何人都能独立取回同一条条目，不需要经过本站 —— 而本站确实没去取。
树摘要: geoly-tree-v1:sha256:9806e432736656d1cd6e30c207b4aeec1d81c95a5827b35b88aca8e800622fb0覆盖载荷全部文件的路径 + mode + 字节。本页只是把快照里的这个值转述一遍。
$skills-hub verify skill:plaud-theme/plaud-theme-qa-intake@0.3.6 --print-tree-digest
资产摘要: sha256:14e5a7fc8725ed388c24f01d2005e9ce2ddb545f7beb3ecf38bc75b0c761fbf0skill_plaud-theme_plaud-theme-qa-intake_0.3.6.tar.gz · 42,996 B（42.0 KiB）
$shasum -a 256 skill_plaud-theme_plaud-theme-qa-intake_0.3.6.tar.gz
快照来源: hub-2.json（previous hub-1） · created_at 2026-09-03T02:40:47Z文件字节 sha256:65b9e90555c5934f052ec86db7e5c5ecee7dd0021989112ed99dfed79dc0e3a7 · 30,031 B（29.3 KiB）。文件名里的编号是 2，快照内部声明的是 2（一致，但没有 timestamp 能说最新是第几张，一致只表示文件自洽）。快照里不含生成它自己的 commit SHA（那会自引用）。
Attestation: 本站点未读取hub-<N>.intoto.jsonl（DSSE）是取证输入，安装链路本来就不读它；本站点也没读。它的 workflowRef 必须钉到 40 位 commit，与上面「签名身份」用的 @refs/heads/main 不是一回事，不要「统一」它们。
审批: PR #14 · 批准人 （空）
714736afbe0c63589104d5bba2a1ca8fa171b2ff
head_sha 指向投稿 PR 的 head，早于本快照存在，因此允许出现，不构成自引用。这一栏只是快照里记下的 login 串：它证明不了「该人是维护者」「该 approve 针对的是这个 head_sha」「approve 当前仍有效」—— 那三件事只有 GitHub 答得了。

出处

provenance

出处

original

author_github_id

U_kgDODu4RvA

原生投稿，没有上游仓库。

submitted_by_pr

#14

安装

$skills-hub install skill:plaud-theme/plaud-theme-qa-intake@0.3.6

措辞一律是「截至 hub-2」—— 本站点没有 timestamp，说不了「现在」。

描述与 record 全字段

工作树载荷与快照 record 的 tree_digest 相同（本地比对，未验签）

工作树载荷重新打包出的 tree_digest 与快照 record 相等（geoly-tree-v1:sha256:9806e432736656d1cd6e30c207b4aeec1d81c95a5827b35b88aca8e800622fb0）

这只说明两串字节相同。它不是一次验签：本页没有读 Sigstore bundle，也没有读 timestamp，所以它证明不了这张快照是真的、也证明不了它是当前的。上面那四格「未验证」并没有因为这一行而改变。

> （来自载荷 manifest，不在快照 record 里）

快照 record 逐字段

signed fields

id: skill:plaud-theme/plaud-theme-qa-intake@0.3.6
kind: skill
namespace: plaud-theme
name: plaud-theme-qa-intake
version: 0.3.6
path: artifacts/skills/plaud-theme/plaud-theme-qa-intake/0.3.6
license: MIT
status: published
tree_digest: geoly-tree-v1:sha256:9806e432736656d1cd6e30c207b4aeec1d81c95a5827b35b88aca8e800622fb0
asset.file: skill_plaud-theme_plaud-theme-qa-intake_0.3.6.tar.gz
asset.sha256: sha256:14e5a7fc8725ed388c24f01d2005e9ce2ddb545f7beb3ecf38bc75b0c761fbf0
asset.size: 42,996 B（42.0 KiB）
clients: claude · cursor · codex · agents载荷 manifest 声明
capabilities: TIER 2shell
capabilities 按 §7 那张表算出：Tier 2；快照 review.capability_tier 记的是 Tier 2。两者一致。§7 的表：none → Tier 0；network / external-tool → Tier 1；shell / credentials / writes-repo → Tier 2。表里没有的能力名一律按最高档处理。
replaces: 空数组
conflicts: 空数组
owner: org · geoly-ai不可变 node id O_kgDOD7uDqA