用途：为每个 skill 维护来源与完整性记录，回答两个供应链问题——skill 来自何处，以及安装后是否被私自修改。记录存于 fdk/skills.provenance.json，包含来源、记录日期和 skills/<name>/ 下每个文件的 sha256；验证时重新计算校验和并与账本比对，结果可能为 OK、MODIFIED（不一致）、UNTRACKED（磁盘上有但未记录）、MISSING（账本有但磁盘已删）。
主要能力：读取 skill 文件并计算哈希，写入本地来源账本，不联网；不扫描 skill 内容中的漏洞或密钥，该职责属于 orca-sec-scans，两者应配合使用。
使用方式：账本为空时一次性回填所有 skill 为本地编写：python3 fdk/tools/skill-provenance.py record --all --source local-authored；安装或新增 skill 时记录真实来源：python3 fdk/tools/skill-provenance.py record <name> --source "https://github.com/<owner>/<repo>#<ref>"；随时检查：python3 fdk/tools/skill-provenance.py check 或 check <name>；CI 门禁：python3 fdk/tools/skill-provenance.py check --ci。有意修改 skill 后需用原来源重新 record 以更新校验和。
适用场景：外部安装或蒸馏 skill 后固化来源与校验和、怀疑被改动时核查、审计来源与 checksum、CI 拦截未记录或被篡改的 skill。
限制：--source 必须是真实 URL/ref 或 local-authored，不得臆造来源；check --ci 仅在出现 MODIFIED 或 UNTRACKED 时返回 exit 1，MISSING 不视为错误；账本文件需与 skill 变更一同提交，避免漂移；来源真实性需人工确认。更多配置细节资料未提供。