Lucky SkillsLucky v3 OpenToken API 与安全自动化

从前端静态分析、脱敏运行时验证到 OpenAPI、CLI 和 Agent Skill，一套可复现的 Lucky v3 管理接口文档。

安全优先

OpenToken 视为管理员密钥；客户端默认只读，写操作需要显式授权、风险分级与精确确认。

静态快照与版本、SHA-256 精确绑定的运行时证据合并，避免把 HTTP 方法简单等同于风险等级。

内置 Lucky Skill，可由 Codex / DevSpace 自动发现，并统一调用仓库内的受保护 OpenToken 客户端。

自动生成 OpenAPI 文档，可用于检索、客户端生成和进一步的接口集成。

当前快照目标为 Lucky 3.0.0 wanji / Linux x86_64。仓库以 Lucky v3 Web 前端的静态调用面为基础，再叠加获授权实例上的脱敏运行时核验结果。

默认合并目录已经把静态快照中的 UNKNOWN 路由完成归类或确认为字面量误报；对写接口的请求体字段与 JSON Schema 也持续补充。详细数字、证据等级与限制请以证据与覆盖范围和完整 API 路由为准。

bash

python3 tools/lucky_credentials.py install
python3 tools/lucky_credentials.py doctor
python3 tools/lucky_api.py status

请求地址必须包含 Lucky 的安全入口。推荐通过 openToken 请求头传递密钥，不要把 Token 放进查询参数、命令行历史、日志或仓库。

不要仅凭 GET / POST 判断安全性

Lucky 存在具有副作用或敏感输出的 GET 接口。仓库客户端会结合已验证的路由风险覆盖层进行判断，并对未知、写入和危险调用 fail-closed。

源码、Skill、OpenAPI、测试与证据文件统一维护在：

本项目与 Lucky 作者无隶属关系。Lucky 官方项目见 gdy666/lucky。