字节笔记本
2026年6月6日
skills.sh 开放 API 了：AI Agent 的 npm，现在可以编程访问
skills.sh 上周正式开放了 API。
如果你还不了解 skills.sh，简单说一句：Vercel 在 1 月 20 日发布了 Agent Skills 标准和配套目录站，本质上就是"AI Agent 的 npm"。Claude Code 用的 SKILL.md 文件，标准本身来自 Anthropic，skills.sh 是目前最大的公开索引，收录了超过 60 万个 skill 包。
现在 API 开放了，意味着你可以把这个库当数据源，程序化地搜索、查询和审计 skill。
怎么调用
认证用的是 Vercel OIDC Token，不是传统的 API Key。Vercel 会给每个项目自动签发一个短期 token，有效期很短，自动轮换，不需要你手动管理密钥。
前提是在 Vercel Dashboard 开启 OIDC：项目 → Settings → OIDC Federation → 打开开关。开启后 Vercel 运行时会自动暴露 process.env.VERCEL_OIDC_TOKEN。
import { getVercelOidcToken } from '@vercel/oidc';
// 注意：必须在请求处理器内部调用，不能提升到模块作用域
// token 大约每 12 小时轮换一次，绑定到当前请求上下文
export async function GET() {
const token = await getVercelOidcToken();
const res = await fetch('https://skills.sh/api/v1/skills?per_page=10', {
headers: { Authorization: `Bearer ${token}` },
});
return Response.json(await res.json());
}速率限制是每分钟 600 次，按团队和项目维度计算。
本地开发时，可以通过 CLI 拉取 token：
npm i -g vercel
vercel link # 链接到 Vercel 项目
vercel env pull # 写入 VERCEL_OIDC_TOKEN 到 .env.local
npm run dev装了 @vercel/oidc helper 的话不需要反复跑 vercel env pull，helper 会自动用 CLI 凭证刷新。不装依赖也可以直接读 process.env.VERCEL_OIDC_TOKEN，但需要手动刷新。
硬门槛：项目得部署在 Vercel 上
Vercel OIDC token 只在 Vercel 的运行时环境里才能拿到。本地开发环境可以通过 vercel env pull 拉取一个短期 token，但 12 小时就会过期。
如果你的服务跑在腾讯云、OCI、自己的 VPS 上，目前没有原生办法使用这套认证。只能想办法在 Vercel 上加一个薄薄的中间层来转发请求，或者等官方后续是否开放 API Key 模式。
几个有意思的用法
批量安全审计
skills.sh 联合 Snyk 做了一次覆盖近 4000 个 skill 的扫描，结果相当刺眼：13.4% 的 skill 包含至少一个严重安全问题，涵盖恶意代码分发、prompt injection 攻击、敏感信息泄露。把次级问题也算进去，超过三分之一的生态都有问题。
API 提供了安全审计端点，安装任何社区 skill 之前可以先查：
// 查询某个 skill 的安全审计结果
// 注意：路径是 /audit/{source}/{skill}，不是 /skills/{source}/{skill}/audit
const auditRes = await fetch(
'https://skills.sh/api/v1/skills/audit/vercel-labs/skills/find-skills',
{ headers: { Authorization: `Bearer ${token}` } }
);
const audit = await auditRes.json();
// audits 是数组，来自 Gen Agent Trust Hub / Socket / Snyk 等多个提供方
for (const entry of audit.audits) {
console.log(`${entry.provider}: ${entry.status} — ${entry.summary}`);
}
// 例如：Snyk: pass — Risk: LOW · No issues如果一个 skill 从未被安装过，这个端点会返回 404——审计是首次安装后才会触发生成的。
语义搜索
// 多词查询自动启用语义搜索
const searchRes = await fetch(
'https://skills.sh/api/v1/skills/search?q=react+best+practices&limit=5',
{ headers: { Authorization: `Bearer ${token}` } }
);
const results = await searchRes.json();
// results.searchType 会是 "semantic"（多词）或 "fuzzy"（单词）
// 每个 skill 对象包含 id、installs、installUrl 等字段如果你有 MCP Server，完全可以把这个接口包装成一个工具，让 Claude Code 在需要时主动去查。
只看官方 curated 列表
// 只返回厂商官方发布的 skill，目前有 87 个 owner、342 个 skill
const curatedRes = await fetch(
'https://skills.sh/api/v1/skills/curated',
{ headers: { Authorization: `Bearer ${token}` } }
);
const curated = await curatedRes.json();
// 按 owner 分组，例如 vercel-labs、supabase、expo 等这个端点对应 skills.sh/official 页面，即"由技术本身的制作方发布的 skill"，质量有基本保证。
现阶段的局限
Vercel OIDC 认证限制了使用范围——没有部署在 Vercel 上的项目无法使用。
skills.sh 本身的质量问题也没有根本解决：任何人只需要一个 GitHub 账号就能发布 skill，排名完全靠安装量，没有内容审核机制，也没有质量评级。有了 API 之后，你可以在安装前通过 audit 端点过滤高风险 skill，但低质量的 AI 生成 skill 泛滥问题仍然存在。
实际使用建议：优先选 Vercel 官方和知名开源项目提供的 skill，社区 skill 安装前先走一遍 audit 查询。
API 文档：https://skills.sh/docs/api