需要 API 凭据时安全验证 .env 并引导用户添加…

当技能需要 API key 或其他凭据时，先安全检查 `.env` 中是否存在；缺失时让用户通过隐藏输入命令自行写入，而不是把密钥贴到聊天中。

适用场景

解决思路

1. 当某个需要凭据或 API key 的技能看起来与用户请求相关时，必须立即先验证凭据是否存在于 `.env` 文件中（通常在用户主目录 `~/.env` 或项目根目录），然后再为该技能做任何其他工作。
2. 验证凭据存在性时，绝不能把凭据值打印到终端，也不能把它读入上下文。
3. 使用 `grep` 的安静且抑制错误模式（`-sq`）检查变量是否已在 `~/.env` 中定义；`-s` 参数确保 `~/.env` 尚不存在时命令也能干净运行。
4. 执行验证命令：`grep -sq "^CREDENTIAL_NAME=" ~/.env`。
5. 将命令中的 `CREDENTIAL_NAME` 替换为调用技能实际需要的凭据名（例如 `ALPHAGENOME_API_KEY` 或 `USER_EMAIL`）。
6. 如果命令成功（退出码 0），说明凭据存在，可以继续。
7. 如果命令失败（任何非零退出码，无论凭据缺失还是 `.env` 文件尚不存在），说明凭据缺失；必须立即停止，并在尝试运行任何脚本或工具前，按“提示用户添加凭据”的指示提示用户添加，不要只声明 key 缺失就结束回合。
8. 如果验证失败（任何非零退出码），不得尝试执行调用技能中的任何工具或脚本，也不得只报告缺失 key 就结束回合；必须立即根据下方模板生成适当的终端命令并提示用户运行，模板命令会在 `.env` 不存在时创建它。
9. 绝不要运行 `cat ~/.env`、不带 `-q` 的 `grep "VAR" ~/.env`、`echo $VAR` 或 `printenv` 来检查凭据。
10. 如果凭据缺失，不要要求用户把凭据粘贴到聊天中，因为这会将其泄露到 agent 上下文和对话历史。
11. 取而代之，必须通过替换模板中的占位符，生成一条具体命令让用户在终端运行。
12. 在把命令呈现给用户前，必须替换：`CREDENTIAL_NAME` 为实际变量名（例如 `ALPHAGENOME_API_KEY`、`USER_EMAIL`）；`ENV_FILE` 为解析后的 `.env` 文件字面路径（通常是 `~/.env`）。
13. 所有凭据都按敏感信息处理；`read -s` 会隐藏用户输入；必须告知用户其输入将被隐藏。
14. 请求凭据时，还必须向用户提供调用技能给出的适当注册链接或说明，让用户知道如果没有凭据时如何获取。
15. 使用模板命令：`printf "Enter CREDENTIAL_NAME (typing hidden): " && read -s val && echo && echo "CREDENTIAL_NAME=$val" >> "ENV_FILE" && echo "Saved."`。
16. 调用技能内的所有辅助脚本会通过 `dotenv` 自动从 `.env` 文件加载这些凭据。
17. 调用需要凭据的辅助脚本时，不需要手动读取 key、导出到 shell 环境或作为 CLI 参数传入；只要已用上述安全协议验证 key 存在于 `.env`，直接运行脚本即可，脚本会自动加载凭据。

适用边界 · 注意事项

• 技能不需要任何凭据或 API key 时不适用。
• 凭据由外部密钥管理系统或运行环境安全注入，且明确不使用 `.env` 文件时不适用。
• 调用技能的说明已规定其他安全的凭据配置流程时，优先遵循该技能的专门流程。