用途：为 OKF 知识包（okf）或智能体技能目录构建整体信任卡，卡本身是 OKF 概念（type: Card），可随包版本控制并在任意 OKF 查看器中渲染。核心思路是把卡当成分级证据而非结论，不标注「已验证」，而是附上生产方可提供的各层证明，由消费者对照自身策略计算信任梯度；无法核验的层报为 UNVERIFIED，而非硬失败。
绑定三类溯源：内容溯源（各声明来自何处，含引用与获取日期，知识包独有）；制品溯源（谁发布了该字节序列，含摘要、签名、透明日志）；能力溯源（技能为权限清单，知识包为认知层面，按 epistemic-L0..L2 评分）。
使用方法：脚本为 scripts/card.py，仅用标准库，本地 ed25519 签名需 cryptography，无密钥 Sigstore+Rekor 需 cosign 在 PATH 中。 生成：python scripts/card.py generate <dir> --identity did:web:example.com --expires 2027-01-01，写出 CARD.md 与 CARD.manifest.json；自动识别 okf 或 skill，技能能力为推断時给出警告。 签名：python scripts/card.py sign <dir>/CARD.md --key ~/keys/card.key。 见证：python scripts/card.py attest <dir>/CARD.md --kind scan --by did:web:scanner.example --result pass；也可用 --kind review。 验证：python scripts/card.py verify <dir>/CARD.md --bundle <dir> --policy integrity:STRONG,authorship:MEDIUM,capability:MEDIUM，可加 --json 输出机器可读梯度。 合规检查：python scripts/card.py validate <dir>/CARD.md。
渲染：卡可绘制为可分享的 SVG 封面，摘要派生配色、构图、版式与字体；CARD.svg 与 hero.* 属装饰，不计入完整性摘要。参考渲染器为 scripts/build-cards.mjs（pnpm cards），生成各技能 CARD.svg 与聚合 cards.json，pnpm cards:check 接入 CI。
限制：签名只能证明来源与完整性，不能证明行为；「是否如实所述」需靠沙箱、审计与声明对观测的比对。技能能力若为推断，shell/网络为代码猜测而非声明或强制，建议补充声明式权限清单与沙箱运行时。密钥不得写入包内，--key 指向目录外；无签名工具时卡标记为未签名而非失败。阅读输出应报告各层等级而非有效/无效。