菜单
Run the combined TokenKey fingerprint refresh for Claude Code, Kiro, Antigravity, Codex, Gemini CLI, and Grok CLI. Enter after client-release-watch reports drift, or when capture-all finds actionable fingerprint drift; use platform-specific skills for single-client refreshes.
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
Capture real Claude Code TLS/HTTP fingerprints and diff/fix TokenKey constants. Use after cc version changes, ingress UA cohort drift, OAuth mimicry/beta/stainless drift, CC geo-stego body drift (system/messages/system-reminder), or refreshing tk_canonical_cc_oauth alignment.
Read-only TokenKey prod/edge troubleshooting workflow. Use for live logs, ops_error_logs, SSM/Docker checks, gateway UA/TLS/body evidence, CI/deploy traces, and evidence-based root-cause summaries.
TokenKey Kiro OAuth re-authorization and refresh troubleshooting workflow. Use when a Kiro edge account shows OAuth 401, Invalid bearer token, grant revoked upstream, repeated manual re-oauth, Kiro refresh failures, or when copying freshly logged-in local Kiro credentials onto an edge and verifying Kiro Claude traffic.
TokenKey model operations hub — single ops entry for catalog/menu refresh, newapi mapping drift, mirror diff, account model_mapping runtime hotfix, and onboard prep. Routes read-only plan, catalog write, runtime setting sync, or onboard write.
Drive TokenKey Stage0 release, prod deploy, edge rollout, smoke, rollback, and release-risk checks. Use for release tagging, deploy-stage0, Lightsail edge rollout, structured smoke results, or post-release OAuth checks.
TokenKey served+priced model onboarding workflow for curated newapi mapping accounts. Use when adding/pricing Qwen or DeepSeek long-tail models, serving a model via accounts 39/60, or debugging priced-but-empty-pool 429/503 drift.
| name | tokenkey-fingerprint-alignment-all |
| description | Run the combined TokenKey fingerprint refresh for Claude Code, Kiro, Antigravity, Codex, Gemini CLI, and Grok CLI. Enter after client-release-watch reports drift, or when capture-all finds actionable fingerprint drift; use platform-specific skills for single-client refreshes. |
bash ops/fingerprint/client-release-watch.sh scan --plan
轮询 GitHub/npm/Homebrew 的客户端 release，对比 TokenKey pin。--plan 严格只读：不写 state/report/cache，只报警、不 capture、不 bump。
输出会指向应加载的 skill（本 umbrella 或单平台 skill）。capture-all-fingerprints.sh 做真实 capture/diff，再合一个 PR。CI 里 .github/workflows/client-fidelity-watch.yml 每日顺序跑 Layer 1 release scan → prompt registry-gate → prod aggregate，并开 tracking issue；
人工/agent remediation 从 Layer 1 的 skill 路由进入 Layer 2。
一次对齐所有客户端指纹，合一个 PR。四条引擎机制不同必须独立——cc 主动重定向到
自建 collector + cc0 MITM；kiro 被动 pcap（端点硬编码不可重定向）；antigravity 用 mitmproxy
抓 HTTP（承重的是 UA 版本/header/body，JA3 不承重）；codex 无抓包——本机 codex CLI 自带
指纹，直接读已安装二进制（codex --version + native strings）对照 TK pin，所以无任何前置、永远
能跑，但门禁是 check 不是 capture（与前三条机制不同，故仍是独立引擎，只是并入本 umbrella 编排）。
本 skill 只统一编排 + PR。
关联：ops/fingerprint/client-release-watch.sh（Layer 1 版本发现，含 cc-stainless / gemini-cli / grok-cli / kiro-cli / codex-vscode 族）、
tokenkey-cc-fingerprint-alignment（cc + Stainless SDK 单平台）、tokenkey-kiro-fingerprint-alignment
（kiro IDE/CLI 单平台）、tokenkey-antigravity-fingerprint-alignment（antigravity 单平台）、
tokenkey-codex-fingerprint-alignment（codex CLI + VS Code 族；读本机 codex CLI、无 mitm）、
tokenkey-gemini-fingerprint-alignment（gemini-cli UA pin）、
tokenkey-grok-fingerprint-alignment（grok-cli OAuth pin）、
docs/accounts/kiro-tls-fingerprint-alignment-design.md、docs/antigravity-fingerprint-changelog.md。
# 跑四条引擎（各自前置条件不变：cc 需 cc0 栈；kiro 需 sudo + 真实 Kiro IDE；
# antigravity 需 mitmproxy + 真实 Antigravity IDE 信任 mitm CA；codex 无前置，读本机 CLI）：
bash ops/fingerprint/capture-all-fingerprints.sh \
--cc-arg --http \
--kiro-arg --proxy-port --kiro-arg 7890 \
--antigravity-arg --proxy-port --antigravity-arg 8080
# → 末尾打印 combined coverage + drift report：
# 0=全部要求证据已观察且 aligned，1=drift，2=error/invalid evidence，3=incomplete/skipped
# 只跑部分引擎：--skip-cc / --skip-kiro / --skip-antigravity / --skip-codex
# codex 无前置、默认就跑；本机没装 codex 时用 --skip-codex。
按报告里哪个平台漂移，分别刷新其产物，合并到一个 PR：
*-mimicry-baselines.json / constants.go / tk_canonical_cc_oauth.json
（遵循 cc skill 的 TLS↔HTTP 分轨纪律，禁止从 UA 推断 ja3）。python3 ops/kiro/capture_kiro_fingerprint.py emit-profile --bundle <b>
→ 刷新 deploy/aws/stage0/tk_canonical_kiro_ide.json。internal/pkg/antigravity/oauth.go 的 DefaultUserAgentVersion
oauth_test.go 断言 + docs/antigravity-fingerprint-changelog.md 一行（JA3 不参与）。bash ops/openai/capture-codex-fingerprint.sh emit-edits（或带 --version X.Y.Z）
bump 5 个 codex 版本 pin（UA / version header / 探测版本 / en-zh 占位符）；只动版本，
非版本 pin（originator=codex_cli_rs、OpenAI-Beta）从不自动改。preflight 的 codex
fingerprint pin consistency 兜「半截 bump」。然后 scripts/preflight.sh 全绿 → 一个分支、一个 PR 覆盖各平台的产物变更。
最终结论必须逐平台使用 aligned / drift / incomplete / skipped / error。显式 --skip-* 或证据未观察时返回 3，禁止输出“所有指纹已对齐”。Claude Code 子报告还必须区分 first_party_oauth 与 3p/API-key cohort，并拒绝把 HTTP-only TLS stub 当作 JA3 证据。