附錄 D：延伸資源與社群清單

本清單收錄官方文件入口、跨工具標準、社群發現資源、安全掃描工具及研究者工作流工具；評估框架見 03-1、03-2、03-3，裝任何第三方資源前先套用那三節的掃描 SOP。

連結與內容查證截至 2026-06；以官方頁面為準。社群資源隨時變動，列在這裡只代表「被收錄」，不代表「值得裝」。

使用社群資源的標準 SOP

你看到一份熱門 Skill / Plugin / MCP server，走這七步：

來源審查：作者具名？組織是誰？最後 commit 距今多久？issue tracker 活躍嗎？
檔案審查：把 SKILL.md / plugin.json / .mcp.json / hooks.json 讀完；前 50 行有沒有可疑指令或外連？
權限審查：要寫檔嗎？連網嗎？要 token 嗎？對應到任務「真的需要嗎」？
隔離測試：先在 throwaway 環境或容器內裝、跑一次空任務、觀察網路與檔案行為。
掃描：套安全工具類的 rg 三條掃描；任何 hit 都不跳過。
追蹤：追作者 release；升版前重跑這 5 步。
紀錄：把審查結果寫進 MEMORY.md 或專案文件；下次有同事問你能不能裝，直接附上紀錄。