Skill Seekers v3.10.0：Seeker HUD 测试版与安全修复

v3.10.0（2026-09-30）

本次更新主题为 Seeker HUD（测试版）——覆盖整个工具链的本地 Web UI，同时包含一项路径穿越安全修复、三个机器可读的 CLI 命令、可选的 SQLite 技能搜索索引、MiniMax 视频输入以及 PDF 矢量图提取。

安全修复

fetch_config MCP 工具的路径穿越问题（CWE-22）已修复。此前 git-URL 模式将原始 config_name 参数拼入缓存路径，克隆操作会删除该路径并写入攻击者选择的内容，构造的名称可能删除或覆盖缓存之外的目录。现在名称校验统一通过 services/path_safety.validate_path_segment 允许列表（首字符为字母或数字，其后仅限字母、数字、.、_、-），拒绝 NUL 字节、空白和 .git 等点文件；命名源与 API 模式在两类 MCP 服务器中同样经过校验。缓存的克隆拉取失败时改为执行全新克隆，不再删除缓存并报错。

新增功能

• Seeker HUD（测试版）：执行 pip install "skill-seekers[ui]" 后运行 skill-seekers ui，在 http://127.0.0.1:8770（仅回环地址）打开 React + FastAPI 界面，包含 Overview、Create、Skills、Configs、Workflows、Analyze、Environment 及任务历史等页面，长任务以流式任务运行。前端已打包进 wheel，无需 Node 工具链。官方声明其页面、/api/* 路由和 ~/.skill-seekers/ui/ 下的 UI 状态可能在小版本间变更且不设弃用期。
• MiniMax-M3 视频输入与思考模式：call_with_video() 以 OpenAI 兼容的 video_url 部分发送本地 MP4/AVI/MOV/MKV 片段（仅 MiniMax-M3，请求前执行 50 MB 内联上限）；MINIMAX_THINKING=adaptive|disabled 写入请求体。能力由 provider 注册表驱动。尚无内置流水线调用视频路径。
• 可选 SQLite 搜索索引：create <source> --index 或配置中 "index": true 会生成 scripts/index.db（FTS5 + BM25，无 FTS5 时回退 LIKE 风格）与仅用标准库的 scripts/search.py，返回带排名的 file#anchor 指针，并在 SKILL.md 追加搜索优先块。默认关闭，不修改 Markdown，不新增依赖。
• 三个 JSON 输出命令：doctor --json 输出单份 JSON 诊断文档（含版本、逐项检查、pass/warn/fail 汇总、healthy 与 exit_code）；quality <dir> --json 在 stdout 输出单份 JSON 质量报告，不写默认报告文件，--report 与 --json 互斥；detect <source> [--json] 只读预览 create 的识别与解析结果，无法识别时退出码为 2。
• PDF 矢量图提取：此前仅提取嵌入的栅格对象，现将会被判定为有意义图形的矢量绘制簇渲染为 PNG 资源，extracted_images 条目带有 source（raster/vector）与 bbox，页面新增 vector_figures_count。检测偏保守，会拒绝页面边框、分隔线、线框表格及纯填充色带。--min-image-size 现同样作用于矢量图；去重比较改用 IoU。聚类上限为 VECTOR_MAX_DRAWINGS（2000）与 VECTOR_MAX_CLUSTERS（400）。
• 质量检查可读性指标：报告 Flesch Reading Ease、Flesch-Kincaid 年级、平均句长与段长，排除 frontmatter、代码块与行内代码；公式为英语，其他语言可能不准。可读性仅以 info 呈现，不产生警告。

其他变更与修复

• 新增 Bronze 赞助商 Fluxion AI；RapidProxy 与 Atlas Cloud 因赞助到期移除。
• 恢复 skill-seekers-doctor 控制台脚本入口（v3.7.0 至 v3.9.1 期间损坏）。
• 修复计划任务中的矢量数据库导出工作流因缩进导致的 IndentationError。
• create 重新遵循通过 skill-seekers config 设置的默认增强等级，解析顺序为 CLI 参数 → 配置文件 → 用户默认 → 出厂默认（2）。
• HUD 修正外部技能评分、插件扫描范围、MCP 状态检测、同步状态路径校验、上传至向量/RAG 目标失败等问题，并为未保存编辑增加离开确认。
• 统一多源构建保留可读的来源引用，将各源的 references/ 目录与相邻资源复制到 <scrape index>_<sanitized id> 命名空间，SKILL.md 中的链接同步改写。