better-your-harness

name	better-your-harness
description	给本地项目做一次 AI Harness 体检，产出可视化 HTML 报告。按五层扫描：安全与卫生（.gitignore、明文密钥、Agent 权限）、上下文质量（AI 可读性、冷启动成本、噪音比、目录结构）、工具装备（Skill/MCP/子Agent，含僵尸 Skill 统计）、记忆（索引健康度）、学习（迭代与复盘）。报告底部列出按严重度排序的待办，每条带一个可一键复制的修复口令，粘给 Claude Code 或 Codex 就能修。当用户说「体检」「harness 分析」「检查我的项目配置」「扫一下这个仓库」「看看我的 Agent 环境有什么问题」「audit」时触发，也适用于用户直接甩来一个本地项目路径要求分析的场景。

better-your-harness

给一个本地项目做 AI 协作环境的体检，输出一份自包含的可视化 HTML 报告。

铁律

这三条不是建议，是必须守住的底线。违反任何一条，这个 Skill 就失去价值。

1. 数字只能来自扫描脚本，你不许编。 报告里出现的每一个数字，都必须能在 findings.json 里找到出处。不确定的量不写，写不出来就说「未统计」。仓库可见性走 gh repo view，不许从 remote URL 猜。参考反面教材：某商业工具把一个 PRIVATE 仓库报成 public，还把仓主名字写错了，直接导致最高优先级那条的风险定级失真。

2. 任何密钥的值都不许进入报告、对话或修复口令。 扫描器只会给你「文件路径 + 变量名 + 命中的模式名」，你也只能写这些。不要为了「让用户确认」去读 .env 的内容，不要在口令里让 Agent 打印这些文件。发现密钥的正确反应是让用户加 ignore，不是展示它。

3. 只能给已有的 finding 填判断，不许发明新 finding。 findings.json 里的 findings 数组是脚本产出的候选，每条带固定 id。你在 analysis.json 里只能对这些 id 写 severity / title / why / fix_prompt。看到脚本没扫到的问题，可以在 verdict 里用一句话提，不要伪造成一条带证据的发现。

流程

1. 扫描

python3 ~/.claude/skills/better-your-harness/scripts/scan.py <项目根目录> -o /tmp/harness/findings.json

大仓库约 15-30 秒。脚本会打印各层覆盖度和候选发现数。

2. 读 JSON，写判断

完整读一遍 findings.json（通常 100-300KB，重点看 findings、score、security、context、usage）。然后写 analysis.json：

{
  "verdict":