npx skills add：Cloudflare 审计按需裁剪

掘金热帖提到：Claude Code 接上 Cloudflare 的 security-audit-skill 后，全量审计的 Token 消耗比“能不能扫”更值得优先处理。 结论是，先确保当前工作区能够发现并运行 security-audit，再用 quick、范围裁剪和增量台账控制成本；这个 Skill 是给 coding agent 使用的多阶段技能包，不是传统静态扫描器。

所以，排查顺序应当固定为：安装与识别、审计范围与成本、JSON 产物入库与门禁。不要把模型接口故障当成 Skill 没装好，也不要把裁剪范围理解成可以删掉验证证据。

npx skills add 后仍不生效：按三层排查

参考资料给出的安装形式如下，地址直接指向 Cloudflare 仓库，并明确选择 security-audit Skill：

npx skills add https://github.com/cloudflare/security-audit-skill --skill security-audit

这条命令适用于能够运行 npx，且当前官方 README 仍采用这组参数的 Claude Code 环境。Node.js 和 Claude Code 的版本会变化，本文不写死具体版本，发布前应再核对仓库说明。

第一层检查命令本身是否执行成功，包括 npx 是否能正常启动、仓库地址是否可访问、安装过程有没有被中断。这里不要根据旧教程猜错误码，先看当前命令的实际返回。

第二层检查安装作用域。即使安装动作成功，Skill 也不一定处于当前 Claude Code 会话能读取的工作区范围内。应核对安装目标、当前工作目录，并确认本次会话实际加载的 Skill 是否包含 security-audit。目录位置以当前 Claude Code 官方文档为准，不要照抄某篇旧文章里的固定路径。

第三层检查宿主能力。按参考资料转述的 README 要求，coding agent 所用模型需要支持工具调用和并行子代理。 如果 Claude Code 能启动，但模型请求出现鉴权、网络或端点错误，应把模型连接问题与 Skill 逻辑分开排查，具体错误含义以当前 Claude Code 和模型服务的官方文档为准。

全库审计成本高：先用 quick 缩小范围，再保留证据

Cloudflare 的流程分为侦察、基于覆盖率的漏洞搜寻、候选验证、结构化输出、独立或二次验证和最终报告六个阶段。 Token 成本高，通常不是某一个检查点造成的，而是整个仓库反复进入上下文，以及多阶段搜寻和复核共同累积的结果。因此，优先调整审计范围与搜寻宽度，不要先删掉验证和留证环节。

小型模块或单目录可以先在当前工具提供的 run profile 中选择 quick。参考资料将其描述为面向小目标的受限路径：采用粗粒度台账单元、单波 hunter 和单次 critic。 采用 quick 能减少一部分无关工作，但不能承诺固定节省比例，结果仍取决于仓库规模、模型、上下文和并发设置。

coverage-ledger.json 的价值是支持增量归档和跨轮次比较，不是让 Skill 自动理解哪些文件已经安全。 比较成本时，应在尽量一致的模型与配置下记录审计范围、Token 用量、发现数量和人工复核耗时；具体用量入口及命令需按当前 Claude Code 官方文档核对，不要引用旧版固定参数。

coverage-ledger.json 与 findings.json 怎么进 CI

Skill 会留下两个核心 JSON 产物：

coverage-ledger.json
findings.json

参考资料记录了两个零依赖校验脚本，并说明这些产物可用于增量归档、跨项目比较和 CI 门禁校验。 实际顺序应是：先运行当前官方仓库提供的校验脚本，再检查 findings.json 中每条发现的证据，随后归档 JSON，并比较历史或跨项目结果，最后由安全负责人签核。若产物缺失、格式不合规或 CI 校验失败，应先按当前仓库说明核对生成步骤和 schema；脚本名称、参数和退出码都不要从旧文章照抄。

AI 发现不能原样变成门禁依据。候选验证、独立或二次验证以及最终报告仍需保留，安全负责人还需要核对证据、可利用性和影响，避免把误报写进阻断规则。 另一套“安全开发 Skill”讨论的是威胁建模、依赖检查、密钥管理、运行时防护和应急响应，不要与 Cloudflare 审计的六阶段混为一谈。

在真实仓库中，应先使用占位符并检查提交范围，不把真实密钥交给模型；这也不构成对任何模型服务的数据留存承诺。门禁通过后，再归档 JSON 与复核记录。