Claude 技能包审计简报
你是 Agent 技能工程顾问。只根据用户约束写审计表，不要编造已省美元。
技能列表：{{skills}}
是否已有 allowed-tools：{{has_allowlist}}
输出 Markdown：
1. 常驻描述/触发正文/运行时三维检查
2. allowed-tools 白名单草案
3. 应外置到 references/ 的脚本与模板
4. 人必须抽查的权限错位
禁止建议「不加白名单让模型更自由」；禁止把字符估算写成真实账单。← 返回用例列表
Postman DevRel：审计 19 个 Claude Code 技能——合并跑省约 1.33 万 token
DevRel 插件跑编辑/Meetup/CFP 等 19 技能；披露无一声明 allowed-tools、最差单次约 1.14 万 token、合并跑省约 1.33 万且均分 6.5→9.5/12；不代你用估算当账单。
场景说明
面向技能正文塞满脚本、描述税打在每次会话上的内容/DevRel 团队：把 allowed-tools、短描述与 references/ 渐进披露做成审计清单，区别于 API 前透明代理与 harness 捕获率叙事。
案例叙事
01他们做了什么
Quinton Wall（Postman）在 Postman Blog《How DevRel saves thousands of tokens per Claude Code run》（JSON-LD datePublished 2026-07-21T16:00:00+00:00 → 2026-07-21；页内 July 21, 2026）写明：DevRel 团队日常跑在 Claude Code 插件上——19 个技能覆盖写博客、WordPress 暂存、Reddit 竞品情绪、Meetup 日历、通讯、报名追踪、CFP 狩猎与整条编辑管线。插件跑了数月、输出可用，却无人量 token；结构化基准后发现三个普遍问题：19 个技能无一声明 allowed-tools；最差单技能约 11,400 token/次；修完后合并跑全部技能约省 13,300 token（文称当时定价约 4 美分）。
成本三维：常驻——每技能 YAML 描述进每次会话系统提示，无论是否调用；触发——整份 SKILL.md 正文进上下文；运行时——工具输出与轮询叙述。另提醒 MCP 全量 schema 在急切加载客户端可达约 4–7 万 token（新版延迟加载可大幅对冲）。用 skillit 六维 0–2 分（满分 12）并行拉起 19 个评分代理，审计 <2 分钟。发现 1：工具作用域全员 0/2；补 allowed-tools 时还挖出三处权限错位（如 copyeditor 要写文件未授 Write）。发现 2：常驻描述合计 5,090→4,071 字符（约 −20%），约省 255 token/会话。发现 3：正文内嵌整段 Python 最重——meetup-calendar 约 1,177 行/45.6KB 含 5 脚本。修法：实现细节外置 references/，正文只留编排与指针；九技能抽出 15 个参考文件。表列前后 token（4 字符/token 经验）与均分 6.5→9.5/12。本场景据此输出「技能正文审计」提纲。禁止把经验估算写成会计账单，或建议扩大工具面「图省事」。
02实际效果
- 源披露 19 技能、合并跑约省 13,300 token（约 23%）、常驻描述约 −20%/约 255 token/会话、均分 6.5→9.5/12、审计 <2 分钟等团队口径；属 Postman DevRel 窗口与 4 字符/token 估算，不可外推为你的 API 账单或「技能越少越好」。
- 能把「输出还行就别动」与「常驻描述税 + 无 allowed-tools + 正文内嵌脚本」拆开。
- 为描述过薄被打回、以及异步轮询把中间态写满上下文提供提问清单。
03值得知道
- 文内 token 多为文件体积经验估算，作者提醒以会话 /context /cost 为准。
- 美元节约在该队用量下很小；更关键的是上下文头寸。
- 上面写的是 Postman DevRel 实践帖，不是 Anthropic 官文或通用插件评测榜。
04可复制提示词
技能正文内嵌脚本过重复盘提纲
单技能 SKILL.md 动辄上千行 Python，每次触发都灌进上下文。请写复盘提纲。
现象：{{symptom}}
输出：
1. 缺渐进披露、缺步骤指针，还是描述税
2. 最小 references/ 拆分
3. 下次验收标准（/context 前后）
4. 人工确认清单
不要伪造「正文已永不超过阈值」。怎么做
- 粘贴技能列表与是否已声明 allowed-tools/描述长度
- Agent 按实践帖输出：三维成本（常驻描述/触发正文/运行时）审计表与 references/ 外置清单
- 人工保留工具白名单与发布；Agent 不代你把 4 字符/token 估算写成真实账单
实用提示
- 源帖：19 技能；三维问题——皆无 allowed-tools、最差约 11,400 token/次、合并跑共省约 13,300 token（约 23%）≈当时定价约 $0.04；常驻描述 5,090→4,071 字符（约 −20%，约 255 token/会话）；meetup-calendar 曾 1,177 行/45.6KB；skillit 并行审计 <2 分钟；均分 6.5→9.5/12
- 与 konde-rtk-claude-token-proxy-60pct / aditlal-harness-engineering-24k-prompts 不同：本条是 DevRel 插件 SKILL.md 正文/权限审计，不是 Rust API 代理或长期 harness 捕获率账单