feat(skills): content-hash publish/update, hide user-facing version

[TreeTreeDi]

摘要

• 以 hash 为准的 Skills 合同：publish / upload 与 update 用内容指纹（fingerprint）判断变更，不再要求用户填写 semver；version 仅作内部兼容占位（默认 0.0.0）。
• CLI：裸 dt-skill update 同步全部已跟踪 skill；pin 会跳过；结束汇总 N updated / M up to date / P pinned skipped / F failed。首次发布必须选 category；同 hash 再发布为 no-op；hash 不同则覆盖（可确认 / --yes）。
• Registry：详情只暴露单槽 skill.fingerprint；内容相同 no-op；内容变化则替换；首次发布 category 为封闭枚举。优化： update 命令拆分、slug 工具收敛、publish 创建路径测试修复。

范围说明

• 规则包本 PR 不做，后续再议。
• upload 仍是 publish 的别名，且仍要求目录含 SKILL.md。

测试计划

• cd dt-skill && npm run build && npm run test:src（Node ≥20）
• 主服务：node --test test/skills-registry-contract.test.js（Node 18）
• 手工：首次 publish（必选 category）→ 同内容 no-op → install + 裸 update → 改内容再 publish → update 跟新 → 非法 category 拒收 → pin 跳过 update
• Web/API 可见 fingerprint；CLI 汇总计数符合预期

[liuxy0551]

Issues

Critical — 无

Important（建议修复）

1. update.ts 中 up_to_date 分支锁文件重复写入

• dt-skill/src/cli/commands/update.ts ~155-170 行和 ~227-228 行
• up_to_date 分支内直接写了一次 writeLockfile，循环体末尾又无条件写一次，函数结尾还有第三次
• 影响：虽然幂等，但造成不必要的 I/O，且让后续维护者困惑
• 修复：移除 up_to_date 分支内的 writeLockfile，统一由 lockDirty = true + 循环后写入处理

2. 测试 mock 中 latestVersion.fingerprint 是死数据

• dt-skill/src/cli/commands/skills.test.ts 多处（~381, ~396, ~441 行）
• Mock 返回 { latestVersion: { fingerprint: 'remote-new' } }，但服务端 getSkillDetail 实际将 fingerprint 放在 skill.fingerprint，不在 latestVersion 上
• remoteCurrentFromDetail 读的是 skill.fingerprint，所以 mock 中的 fingerprint 字段从未被使用
• 影响：测试恰好通过，但没有真正验证 fingerprint 比较路径；阅读测试的人会误以为代码从 latestVersion.fingerprint 读取
• 修复：mock 改为 { skill: { fingerprint: 'remote-fp' }, latestVersion: { version: '2.0.0' } } 匹配实际服务端响应结构，并补充 up_to_date 路径的测试用例

3. Category 枚举在服务端和 CLI 重复定义

• app/service/skillsRegistry.js:8-17 和 dt-skill/src/cli/commands/publish.ts:34-43 各自定义了 SKILL_CATEGORY_OPTIONS
• 影响：服务端增删 category 时 CLI 会不同步。项目已有 contracts/skill-fingerprint/ 作为跨边界共享模块的先例
• 修复：提取到共享 JSON 模块（类似 contracts/skill-categories/），两端导入

Minor

1. ResolveVersionRef / ResolveResult 类型未使用 — dt-skill/src/cli/types.ts:22-30，疑似残留或为未来预留，建议加注释或删除
2. decideSkillSync 缺少 "有 fingerprint 无 version" 的边界测试 — skillSync.ts:70-72，当前行为合理但未被测试覆盖
3. Publish no-op 测试未验证 FormData payload 形状 — 可考虑补充

---

📋 Recommendations

1. 参照 contracts/skill-fingerprint/ 模式，提取 contracts/skill-categories/ 共享模块
2. 补充 skills.test.ts 中 hash 匹配 up_to_date 路径的测试（当前 mock 中 skill.fingerprint 未设置，fingerprint 比较始终为 null vs null）
3. lockfile.ts 的 withPinnedMetadata 函数中，fingerprint: undefined 时静默丢弃是正确行为，建议加注释说明

[TreeTreeDi]

1. 写 lock 写两遍：确实多余。改成循环里只改内存，最后统一写一次。
2. 测试 mock 不对：mock 已改，并加了「hash 一样就 up to date」的用例。
3. category 两边各写一份：后面考虑这个功能优化下， 后面再抽公共配置，这轮先不动。