用途：AI 智能体插件与 MCP 服务器存在与 npm 包、容器镜像类似的供应链风险，但生态中缺少 npm provenance、Sigstore、SLSA 等机制。本技能用于为插件目录生成并校验完整性清单，检测篡改、强制版本固定、建立来源可追溯性。
主要能力：一是生成确定性 INTEGRITY.json，对插件内所有文件计算 SHA-256，排除 .git、pycache、node_modules、.venv、.pytest_cache 等目录及 .DS_Store、Thumbs.db、INTEGRITY.json，并按排序后的文件哈希拼接再取 SHA-256 得到 manifest_hash 作为整体状态指纹。二是校验：比对现有文件与清单，报告 MISSING、MODIFIED、UNTRACKED 三类问题。三是依赖版本审计：检查 package.json、requirements.txt、pyproject.toml 中是否使用 ^、~、*、latest 等非固定版本，并给出固定建议。四是上线门禁：综合完整性校验、必需文件（README.md 及 .github/plugin/plugin.json 或 .claude-plugin/plugin.json）、.mcp.json 中是否含 @latest 等未固定依赖，判断插件是否可进入生产。
使用方式：在插件目录运行生成脚本产出 INTEGRITY.json，随后在代码审查、CI 或部署前运行校验脚本；CI 中可在 GitHub Actions 步骤内以内联 Python 校验清单，失败时以 ::error:: 输出并退出码 1。
适用场景：插件从开发转入生产前、审查插件 PR 时、作为 CI 步骤确认审查后文件未被修改、审计第三方智能体工具或 MCP 服务器、构建带完整性要求的插件市场。
限制：资料未提供具体安装命令、依赖包、收费与平台支持信息；示例为 Python 实现，需自行具备 Python 运行环境；哈希仅覆盖源文件，不覆盖构建产物；该机制只能发现改动，不能替代签名与来源证明。