# Skill 分发渠道 — ClawHub 主推，skills.sh 零维护挂

**Sources**：
- [raw/clawhub-deep-dive-2026-04-23.md](../../raw/clawhub-deep-dive-2026-04-23.md)（ClawHub 官方 docs / REST API / CLI 深调研，520 行）
- [raw/skills-sh-deep-dive-2026-04-23.md](../../raw/skills-sh-deep-dive-2026-04-23.md)（skills.sh 源码 / Vercel changelog / 三家审计 blog 深调研，345 行）
- [raw/distribution-channels-research-2026-04-23.md](../../raw/distribution-channels-research-2026-04-23.md)（2026-04-23 早段 85 行浅快照，保留为历史 artifact）
- [raw/clawhub-security-scan-xiangqin-2026-04-23.md](../../raw/clawhub-security-scan-xiangqin-2026-04-23.md)（扫描机制实例）
- [wiki/concepts/clawhub-security-scanning.md](./clawhub-security-scanning.md)（安全扫描机制派生解读）
- [issue #030](../../issues/030-distribution-channels-naming-and-strategy.md)（tracking）
- [prd PRD-002](../../prd/PRD-002-distribution-strategy.md)（执行策略）

## 两个分发渠道是独立真实产品

| 渠道 | 身份 | 本仓对接方式 |
|---|---|---|
| **ClawHub** `clawhub.ai` | OpenClaw 生态独立 registry（MIT 开源 `openclaw/clawhub` 8k stars） | `publish-clawhub` job 调 `clawhub publish` |
| **skills.sh** | Vercel Labs 2026-01-20 发布的开放 agent skill 目录（MIT CLI `vercel-labs/skills` 15.7k stars） | `sync-skills-sh` job 同步 `SKILL.md + README.md` 到 `acong-tech-skills/xiangqin` 仓 |

`release.yml` 双推 job 的机制没错。

## 核心差异对照（2026-04-23 深调研事实）

| 维度 | ClawHub | skills.sh |
|---|---|---|
| **分发入口** | `clawhub publish` / `clawhub install <slug>`，自家 REST API + Convex 后端 | `npx skills add owner/repo`，git clone GitHub/GitLab/本地路径 |
| **版本机制** | Semver 必填，每次 publish 独立 SkillVersion，`latest` tag 自动维护 | **git tag 默认忽略**，main HEAD 即安装内容；用户要锁版本需 fragment 语法 `#v0.x.y`（官方文档不提） |
| **入库时机** | publish 即上线 + 自动索引 | **install-time 索引**：有人 `npx skills add` 才进目录；push 到仓不够 |
| **搜索算法** | 三信号加权：OpenAI `text-embedding-3-small` 向量相似 + slug/displayName exact token boost + downloads popularity prior | 纯关键词 + 按 install 计数降序；服务端是否 CJK 分词未披露 |
| **中文友好度** | ✅ 实测 `相亲` → xiangqin 命中（score 1.688，第二 0.779） | ❓ leaderboard Top 273 全英文，中文检索命中率待冷启动实测 |
| **安全扫描** | publish-time：VirusTotal（`scanners.vt.source=palm` 即 Code Insights）+ OpenClaw LLM (`gpt-5-mini`) 五维度 + 静态硬阻断 | install-time：Gen Agent Trust Hub + Socket（95% precision）+ Snyk（8 类策略），恶意自动隐藏 + 装前警告 |
| **扫描触发** | 每次 publish 必扫 | 第一次有人 install 才扫（未入库 = 没扫过） |
| **审核门槛** | GitHub 账号 ≥ **14 天**才能 publish / comment | 无账号龄要求、无 submit 入口、无 approval queue |
| **内容政策** | `/about` + `acceptable-usage.md` 明列 6 类硬禁（bypass / fraud / 监视 / 仿冒 / 性内容 / 混淆执行） | 未发过 skills.sh 专属政策，走 Vercel 通用 TOS + security.vercel.com |
| **曝光位** | `?sort=trending`（7 天装机数）/ `highlightedOnly`（staff 策展）/ `stars` / `badges`（official / highlighted / deprecated） | Leaderboard 三档：All Time / Trending (24h) / Hot；stars / issues 不参与 |
| **下架 / 改名** | `clawhub delete|undelete|hide|unhide|skill rename`，老 slug 自动变 redirect alias | **人工服务**：在 community.vercel.com 发帖 @ Vercel staff，无文档化流程 |
| **license** | 所有发布硬性 **MIT-0**（cli.md 明说），SKILL.md 里写其他 license 无效 | 由作者在 frontmatter 声明，spec 无强制 |
| **Auto-hide 阈值** | **> 3 个独立 reporter**（第 4 次 report 才 hide）+ static scan 硬阻断（obfuscated `curl\|bash` → 该用户**全部 skill** 一起 hide） | malicious 标红自动从 leaderboard 隐藏 + 装前警告 |
| **私有 / 企业** | skill 暂不支持 private，但 code/bundle-plugin 有 `channel=private`；org/publisher 在迁移中 | 私有仓装得了（本机 SSH / credential helper），但不进目录 |
| **离线镜像** | `CLAWHUB_REGISTRY=...` + `/.well-known/clawhub.json` 自建 registry | 无原生镜像，git host 即分发源 |

## 对 xiangqin（简中 C 端 相亲）的战略结论

### 1. 主推 ClawHub（结论不变，事实更硬）

深调研全部证实三个不可替代理由：

1. **搜索三信号都利好 xiangqin**：中文多语言 embedding + slug `xiangqin` + displayName exact token boost；实测分数 1.688 碾压第二 0.779
2. **中文 displayName 原生支持** Unicode 任意字符
3. **中文用户池存在**（镜像 openclaw.cc / clawcn.net 归属存疑但可达）

### 2. skills.sh 零维护挂 —— 但必须走完冷启动

**坑**：`acong-tech-skills/xiangqin` 仓推了 ≠ 入库。skills.sh 必须有人 `npx skills add` 一次才进目录。现状 `https://skills.sh/acong-tech-skills/xiangqin` 仍 404。

一次性冷启动：

```bash
npx skills add acong-tech-skills/xiangqin
# 24-48h 后验证
curl -s -o /dev/null -w "%{http_code}\n" https://skills.sh/acong-tech-skills/xiangqin
```

之后 zero-maintenance 挂着，**不双渠道同步 metadata**（不给 skills.sh 单独维护 slug / displayName / description）。

### 3. 元数据分工（两渠道共用）

| 层 | 值 | 作用 |
|---|---|---|
| slug | `acong-tech-xiangqin`（ClawHub）/ `acong-tech-skills/xiangqin`（skills.sh 仓名） | 技术 ID，必须英文 |
| displayName | `xiangqin`（2026-04-23 起从 `相亲` 改英文拼音，见 PRD-002） | 品牌代号对齐 slug |
| description | 中文为主 + 第二句英文摘要（辅助 skills.sh 关键词命中） | 双语兜底 |

### 4. 版本策略（git tag 的陷阱）

- **ClawHub 走 semver**：release.yml 打 `vX.Y.Z` tag 触发 `clawhub publish --version X.Y.Z`，机制正确
- **skills.sh 用户默认拿 main HEAD**：git tag 对他们无意义 → **main 必须始终等于"最新稳定"**，不能 push WIP（和现行 release flow 一致）
- **README 提示 pin 版本**：`SKILL-REPO-README.md` 加一句 `npx skills add acong-tech-skills/xiangqin#v0.x.y`（救懂 fragment 的少数用户）

## 持续监测的变化

| 监测项 | 当前状态 | 触发重评的信号 |
|---|---|---|
| ClawHub 加垂直分类 | 没有，自由 tag | `/api/v1/search` 新增 `category` filter |
| ClawHub 引入付费推广 | 没有，也没"永久免费"声明 | 首页 sponsored 位 / pricing 页 |
| skills.sh 加向量搜索 | 没有，纯关键词 + install 排序 | CLI `src/find.ts` 改 / leaderboard 出现中文 skill |
| skills.sh 加 submit 入口 | 没有，install-triggered 唯一入口 | `/submit` 路由出现 |
| ClawHub org / publisher 迁移 | `docs/orgs.md` 规划中 | `@acong-tech/xiangqin` scope 形式落地 → 主动 follow |
| Sagent VT sandbox 执行范围 | 当前跑到 `pip install pipx` 停 | 未来可能升级跑更多命令 |
| 中国合规监管 | N/A | ICP / 内容审查要求出现 → 影响 ClawHub 可用性 |

## 前一份浅快照写错的点（已修正）

- ❌ `docs.openclaw.ai` — TLS 连不上，幻觉。真文档在 `github.com/openclaw/clawhub/tree/main/docs/`
- ❌ 报告 auto-hide `≥ 3` — 实际 `> 3`
- ❌ GitHub 账号龄"约 1 周" — 实际 **14 天**
- ❓ 镜像站 `openclaw.cc` / `clawcn.net` 归属未验证
- ❓ "ClawHavoc" 供应链事件 cnblogs 博客未验证，可能虚构

## 下一步

见 [PRD-002 分发策略](../../prd/PRD-002-distribution-strategy.md)。
