Skill Hub

Skill Hub

公司内部“擅长 AI 的人”将用于 Claude Code 的技能（指示书＋参考资料）注册到一处，员工只需把一行命令粘贴到 Claude Code，就能使用这些技能。这是“一家公司一个实例”的模板。它是一款运行在 Cloudflare Workers + D1 上的单 Worker 应用，部署到本公司的 Cloudflare 账户后即可使用。

Related MCP server: Superpowers MCP Server

这是什么（说实话）

技能不是“文件分发”，而是“每次随时从服务器下发”。这个差异正是价值所在。

• 一条命令即可完成引入

• 在中心侧更新技能后，从下次使用开始所有人都会用到最新版本

• 退离职、调岗时，只要让 token 失效，即可立即不可用

• 因为不会把整个仓库交出去，所以不容易发生向组织外再分发的情况

MCP 响应会以纯文本形式进入用户的会话。 它并不是“读不出来的秘密”。真想读的人是有能力读到的。这一机制真正保护的是“下发路径”和“失效的实时性”；希望完全隐藏的逻辑不属于这个机制的适用范围（这类用途设想由 v2 的服务端执行型工具处理）。

与 Claude Code 原生技能的区别

下发的是“作为指示书让模型读取的文本”。无法使用原生技能的 frontmatter 功能、/スラッシュ起動、附带脚本的执行。为了更接近原生技能的自动触发，请把工具的触发条件写在技能注册的“说明”里（该说明会原样作为 MCP 工具的 description 使用）。

架构

[Claude Code (member)] --Streamable HTTP MCP--> POST /mcp ┐
[ブラウザ (admin/editor/member)] --Bearer--> /api/* + 静的UI ├─ Cloudflare Worker (Hono/TS)
[招待リンク] --> /join (明示ボタンPOSTでclaim・1回表示)      ┘        │
                                                D1: tokens/skills/skill_files/skill_versions/invites/audit_log

单 Worker・单 D1 数据库。不使用 KV/Durable Objects。静态 UI（public/）也通过 Worker 发布，并给所有响应加上安全头。

设置

前提：Node.js 20 以上、Cloudflare 账户。

git clone <このリポジトリ>
cd skill-hub
npm ci
npx wrangler login      # 唯一の手作業（ブラウザでCloudflareにログイン）
node scripts/setup.mjs --seed

setup.mjs 是幂等的。无论执行多少次都是安全的，已经处理完的状态会自动跳过。

• 查看/创建 D1 数据库 skill-hub-db，并重写 wrangler.jsonc 里的 database_id

• 执行迁移（只执行未完成的迁移）

• 部署 Worker

• 仅当有效的 admin token 为 0 个时，一次性发行并显示初始 admin token（该 token 不会再次显示，请务必妥善保存）

• 使用 --seed 会导入 skills-samples/ 里的 3 个示例技能

如果你有多个 Cloudflare 账户，请通过 CLOUDFLARE_ACCOUNT_ID 环境变量指定目标账户。

用法（按角色）

member 的操作步骤

1. 打开管理员送给你的邀请链接（https://<host>/join?code=...）

2. 点“发行 token”按钮（通过 GET 访问不会发生任何动作。Token 只有通过点击才发行）

3. 复制并粘贴显示的命令到 Claude Code 的终端

claude mcp add --transport http --scope user skillhub https://<host>/mcp --header "Authorization: Bearer <token>"

因为指定了 --scope user，所以以后在所有项目中都可以使用技能。**只显示一次。** 一旦关闭这个画面就无法再次看到，所以请务必当场复制。

权限矩阵（全部由服务端验证。UI的缓存差异只是辅助）

groups 的可见性判断是 OR 判断（skill.groups 和 token.groups 的交集不为空，或其中任意一方为 "*" 时就可以看到）。即使指定多个 groups，也不会变成“把范围缩小”。涉及敏感但需要保密的技能，请用独有组管理。

新技能的发现是要新建一个会话的最后。 MCP 不发送 tools/listChanged，所以如果在 Claude Code 启动状态下直接在后台添加技能，该会话中不会出现在工具列表里（技能正文里的更新即使在已有会话里，也会在下次调用时被反映）。如果需要看到，请重启 Claude Code。

免费额度与付费

Cloudflare Workers / D1 都有免费额度（Workers：10 万次请求/天；D1：约 500 万行读取/天、10 万行写入/天。最新的准确数值请去 Cloudflare 资费页面确认）。如果是数十人规模的内部使用，通常可均衡控制在免费额度内；超额后会自动需要在付费套餐（Workers Paid）之间进行切换。用量详情可在 Cloudflare Dashboard 中查看。

值得注意的 v1 范围外（如实承认的约束）

• 不支持 OAuth/SSO/IdP 集成（仅 token 一套）。如果在官方 server 再前端不接 Cloudflare Access，则 CLI 的 HTTP 请求会被浏览器认证 challenge 阻碍，所以使用 Access 时请提前确认

• 没有技能二者的审批流程。editor 是预先信任的，事后通过审计日志和版本历史/回滚来安全

• 当可见技能超过 40 个后，MCP 的 tools/list 会变大。对于大组织提出的二级搜索方式（search_skills）请考虑 v2

• 不支持二进制附件（仅文本）

• D1 的 region/jurisdiction 选择，只需要在设置脚本里手动选项提示中应用（不是自动选择）

• 不包含 CI

许可证

发行协议为 MIT。详细内容请参照 LICENSE。

更多地了解

• 安全设计: docs/security.md

• 面向成员的使用指南: docs/member-guide.md

• 运营指南（面向管理员）: docs/operations.md

• 基于 Claude Code 的 Self-host 设置步骤: CLAUDE.md