用途
ln-034-vps-environment-diagnostics 是一个 L3 Worker 技能，用于检查单个 VPS 项目环境的健康状况。它适用于需要检查健康状态、配置漂移、日志、认证、端口、systemd、tmux 或安全修复需求的场景。该技能一次只诊断一个环境，集群目标选择不属于此 Worker 的职责。
主要能力
该技能提供三种模式：
- inspect：只读的健康与漂移报告。
- verify：只读的安装后/重新部署后验证。
- repair_safe：仅应用由 repair_scope 选定的、有文档记录的有界安全修复。
检查范围涵盖主机与共享运行时、项目运行时以及中继运行时。
使用方式
输入与输出
输入包括：mode、project/VPS 变量、可选的 repair_scope、可选的 dry_run、可选的 runId、可选的 summaryArtifactPath。
输出为 vps-environment-diagnostics 汇总，包含状态、发现、漂移、安全修复、警告、阻塞项和验证信息。如果提供了 summaryArtifactPath，则将相同的汇总 JSON 写入该路径；如果未提供，则内联返回汇总并写入独立的运行范围路径。当 runId 缺失时，生成独立的 run_id。
工作流程
阶段 1：范围与安全
解析目标环境并设置变更防护：inspect 和 verify 为只读；repair_safe 需要显式的 repair_scope；dry_run=true 将修复转换为计划操作。
阶段 2：主机与共享运行时
检查：所需二进制文件、${BOT_USER}、Node/Claude/Codex 版本、认证健康指标（不打印令牌）、${AGENT_SKILLS_DIR} git 状态、市场/插件健康、agent-update.timer 及日志尾部。
阶段 3：项目运行时
检查：${PROJECT_DIR} git 状态、/etc/${PROJECT_NAME} 和 /var/lib/${PROJECT_NAME}、${SERVICE_PREFIX}-god@*.service、tmux socket 与目标、dispatch 定时器/服务、提供商凭据接线（不输出机密）。
阶段 4：中继运行时
当启用 Telegram/relay 时，检查：${SERVICE_PREFIX}-hex-relay.service、/opt/${SERVICE_PREFIX}-hex-relay、HTTP /health、中继数据库存在性/模式、旧 relay-bot 服务/路径漂移、RELAY_HOOK_PORT 监听器冲突。
阶段 5：安全修复
允许的安全修复仅限：在确认单元文件存在后重启已命名但未激活的项目服务；重新启用预期定时器；使用文档记录的属主/权限重建缺失的非机密目录；重跑 systemctl daemon-reload；报告但不重写缺失的认证或机密。
禁止的修复包括：创建机密或编辑令牌、删除数据库文件、删除项目仓库、更改 Git 远程/分支、更改共享认证、大范围升级软件包。
阶段 6：汇总
写入 vps-environment-diagnostics 汇总工件，包含：健康判定、漂移列表、已应用或计划的修复操作、阻塞项、警告、验证证据。
强制读取
必须加载 shared/references/worker_runtime_contract.md、shared/references/coordinator_summary_contract.md、shared/references/vps_runtime_contract.md，以及 ../ln-030-vps-bootstrap/references/scope_layers.md、../ln-030-vps-bootstrap/references/troubleshooting.md、../ln-030-vps-bootstrap/references/verification_recipes.md。
路径说明：文件路径（shared/、../ln-030-vps-bootstrap/references/）相对于 skills 仓库根目录。如果不在当前工作目录，定位此 SKILL.md 目录并向上移动一级以找到仓库根目录。
适用场景
适用于对单个 VPS 项目环境进行健康检查、漂移检测、日志审查、认证状态检查、端口检查、systemd 与 tmux 检查，以及执行有界的安全修复。也适用于安装后或重新部署后的验证。
限制
该 Worker 一次只诊断一个环境。集群目标选择属于此 Worker 之外。只读模式不得改变远程或本地状态。修复操作是有界且显式的。绝不打印机密或认证令牌。
关键规则
- 此 Worker 一次只诊断一个环境。
- 集群目标选择属于此 Worker 之外。
- 只读模式不得改变远程或本地状态。
- 修复操作是有界且显式的。
- 绝不打印机密或认证令牌。
完成定义
- 目标环境与变更防护已解析。
- 主机/共享运行时健康已检查。
- 项目运行时健康已检查。
- 中继运行时健康已检查或标记为 N/A。
- 漂移与阻塞项已报告并附具体证据。
- 安全修复操作是显式、有界且已记录的。
- 未执行禁止的修复类别。
- dry_run=true、inspect 和 verify 未执行任何变更。
- 已写入结构化的 vps-environment-diagnostics 汇总工件。
版本：1.0.0 最后更新：2026-05-05