import-dependabot

# 导入 Dependabot 安全告警 导入指定的 Dependabot 安全告警并创建修复任务。 ## 行为边界 / 关键规则 - 本技能仅负责导入告警并创建任务骨架 —— 不直接修改业务代码或关闭告警 - 不要自动提交。绝不自动执行 `git commit` 或 `git add` - 执行本技能后，你**必须**立即更新 task.md 中的任务状态 ## 任务入参短号别名 > 如果 `{task-id}` 入参匹配 `^[#]?[0-9]+$`（裸数字或带 `#` 前缀），先读取 `.agents/rules/task-short-id.md` 的「SKILL 入参解析」段执行解析；后续命令视 `{task-id}` 为解析后的全长 `TASK-YYYYMMDD-HHMMSS` 形式。 ## 步骤开始：记录开始时间 本技能会**创建** task.md，开始时尚无文件可写。先在内存记录开始时间 `started_at`（`date "+%Y-%m-%d %H:%M:%S%z" | sed 's/\([+-][0-9][0-9]\)\([0-9][0-9]\)$/\1:\2/'`）；在最后写活动日志时**一次性补两条**——started 行用 `started_at`、done 行用完成时间，二者同基名（started 行 action 加 ` [started]` 后缀、note 用 `started`）： ``` - {started_at} — **Import Dependabot [started]** by {agent} — started - {done_at} — **Import Dependabot** by {agent} — {完成说明} ``` `ai task log` 会按基名把两条配对成一行（进行中 → 已完成）。约定见 `.agents/rules/task-management.md` 的「Activity Log started / done 双标记约定」。 ## 执行流程 ### 1. 获取告警信息 执行前先读取 `.agents/rules/security-alerts.md`，并按其中的 Dependabot 告警读取命令获取告警详情。 提取关键信息： - `number`：告警编号 - `state`：状态（open/dismissed/fixed） - `security_advisory`：安全公告详情（ghsa_id、cve_id、severity、summary、description） - `dependency`：受影响的依赖（包名、生态系统、清单路径） - `security_vulnerability`：受影响版本范围、首个修复版本 ### 2. 创建任务目录和文件 检查 `.agents/workspace/active/` 中是否已存在该告警的任务。 - 如果找到，**默认复用现有任务**，不询问用户；在最终告知中明确「已复用现有任务 `{task-id}`，未重新导入」。如需重新导入，需先归档/删除已有任务 - 如果未找到，创建新任务 创建目录：`.agents/workspace/active/TASK-{yyyyMMdd-HHmmss}/` 任务元数据需包含： ```yaml id: TASK-{yyyyMMdd-HHmmss} security_alert_number: <alert-number> cve_id: <CVE...