开源推送（Open Source Push）

A safety-first Agent Skill for turning validated experience into a searchable, reproducible public GitHub asset—without leaking private files.

如果你想把一个已经验证有效的工具、部署流程、故障修复或方法论公开出来，但又担心把本机路径、密钥、日志和临时文件一起推上去，这个 Skill 就是为这个场景设计的。

它把一次发布拆成两层：

• 第二大脑只保留几十秒可读的精简复刻卡；
• GitHub 保存完整的 README、Skill、脚本和可复核证据。

适合谁

• 想把 Agent 工作流、Codex Skill、工具方法或部署经验开源的人；
• 需要同时处理 GitHub Public Repository、README SEO、Agent SEO、secret scanning 和 Git history audit 的团队；
• 想让 ChatGPT、Claude、Codex、Grok、Google 或 GitHub Search 更容易检索到公开经验的人。

Before / After

Before: 经验散落在聊天、日志、staging 目录和本机配置里，读者不知道是什么，也不敢直接复刻。

After: 有一个三秒看懂、可以 Quick Start、带 Troubleshooting/FAQ、经过隐私与历史扫描、并且能用远端 commit 独立核对的公开仓库。

Quick Start

把这个仓库目录放进 Codex 的 skills 目录（例如 <skills-dir>/open-source-push），然后重新加载 Skills，调用：

$open-source-push

示例请求：

使用 $open-source-push，把当前已验证的工具整理成只包含公开文件的 GitHub 仓库；先扫描当前文件和全部 Git 历史，推送后再核对远端 commit，绝不删除本地真源。

能解决什么

• 识别 PUBLIC、REDACT、PRIVATE、UNVERIFIED 内容边界；
• 将已有第二大脑页面压缩成可复刻卡，而不是塞入完整教程；
• 生成三秒定位、Quick Start、Troubleshooting、FAQ 和中英文搜索词；
• 扫描 API key、Token、Password、Private Key、Cookie、JWT、个人信息、本机路径、IP、数据库 URL 和云凭据；
• 同时检查当前发布清单和所有 Git history refs；
• 用 push 退出码、远端 ref、commit 和文件树核验是否真的公开成功；
• 只在远端已核验后提出可清理的 staging/重复副本，并保护本地真源。

安全边界

这个 Skill 不会因为“看起来像项目文件”就上传调用者的整个本地目录。公开发布前应只建立显式 allowlist staging，并复查暂存区。

它也不会要求把 Token、密码、Cookie、私钥或验证码粘贴到聊天中。发现真实秘密、私人信息或无法判定的疑似泄露时，应停止在 NO-GO，先修复并重新扫描。

本地扫描脚本：

pwsh .\scripts\public_release_audit.ps1 -Path .

退出码 0 表示启发式扫描没有候选项；退出码 2 表示发现或跳过了必须人工复核的项目；退出码 3 表示输入路径不是 Git 仓库或无法初始化扫描。0 不等于绝对安全。

Repository layout

SKILL.md                         # Agent instructions
agents/openai.yaml               # Codex display name and invocation metadata
references/release-gates.md      # Evidence ledger and publication checklist
scripts/public_release_audit.ps1 # Current-file and Git-history audit helper

常见搜索问法

• How to safely open source an Agent Skill on GitHub?
• How to publish a Codex Skill without leaking local files?
• GitHub public repository secret scanning and git history audit
• open-source push workflow for README SEO and Agent SEO
• second brain compact card plus full GitHub documentation
• XXX not working / How to deploy XXX / remote control / Telegram bot

FAQ

会不会把我的整个本地项目推上去？

不会。应先制作只包含公开文件的 staging，并在 push 前检查 git status、文件树和扫描结果。调用者的本地 Skill 真源也不因发布而删除。

当前文件没有密钥，为什么还要查 Git history？

因为删除当前文件不会删除旧 commit 中的秘密。历史发现必须进入 NO-GO，并单独处理凭据轮换、历史清理或新建干净仓库。

HTTP 200 能证明已经发布吗？

不能。还要核对 push 退出码、远端分支、commit SHA、关键文件和 README 内容。

这个扫描器能保证绝对安全么？

不能。它是启发式工具，负责减少机械遗漏；最终发布仍需要人工复核候选项和公开边界。

License

MIT License. See LICENSE.

如果这个 Skill 帮你把一次高风险公开发布变成了可复核流程，欢迎 Star、Fork 或提交改进。