功能描述

提供【工作协同】全流程执行能力。用户一旦表达“写汇报/发汇报/发周报/提交汇报/查看收件箱/查待办/任务协作/业务单元”等执行意图，必须进入本 Skill 的脚本调用流程；仅当用户明确是纯咨询（如问规则、问怎么做）时，才允许先文字说明并二次确认是否执行。本 Skill 通过依赖 `cms-auth-skills`...

使用说明 (SKILL.md)

cms-cwork-workflow

Name: 工作协同官方skill
Author: spzwin

核心定位

本 Skill 只做一件事：根据用户执行意图，读取对应 references/*.md，再执行 scripts/*.py。
参数、边界、分支逻辑都以 references 为准，SKILL.md 只负责入口和流程约束。

强制前置（保持不变）

调用任何脚本前，必须先通过依赖 Skill cms-auth-skills 获取有效 AppKey。
未鉴权时，不允许执行本 Skill 的任何 Python 脚本。本 Skill 发起的所有 CWork API 请求均基于该 AppKey 鉴权。

AppKey 的获取与传递方式必须为：由上游 cms-auth-skills 注入/传递到本 Skill 执行命令中（--app-key）。

标准执行流程（必须遵循）

识别用户是“执行动作”还是“纯咨询”。
若是执行动作：先定位目标脚本。
先读取 references/auth.md，确保 AppKey 获取与注入规则满足（未读不得进入鉴权相关链路）。
再读取该脚本对应的 references/*.md（未读不得执行）。
按文档组装参数并执行 python3 scripts/\x3Cname>.py。
如一轮调用多个脚本，每个脚本的 reference 都要先读再执行。
查询汇报/任务时，若结果可识别业务 ID，应优先返回可点击 shareLink；如补链失败，不得阻断主查询结果。
用户表达“发汇报/写汇报/提交汇报”且提到“建议人/决策人/节点/流程/reportLevelList”时，必须走汇报链路（cwork-send-report.py 或 cms-match-businessunit.py），禁止误路由到 cwork-create-task.py。

常用命令与必读文档

脚本	必读 reference	用途
`cwork-search-emp.py`	`references/cwork-search-emp.md`	搜索员工
`cwork-send-report.py`	`references/cwork-send-report.md`	发送汇报（草稿 -> 确认）
`cms-match-businessunit.py`	`references/cms-match-businessunit.md`	正文匹配业务单元并发送
`cwork-query-report.py`	`references/cwork-query-report.md`	查询汇报
`cwork-create-task.py`	`references/cwork-create-task.md`	创建任务
`cwork-review-report.py`	`references/cwork-review-report.md`	审阅汇报
`cwork-query-tasks.py`	`references/cwork-query-tasks.md`	查询任务
`cwork-nudge-report.py`	`references/cwork-nudge-report.md`	催办闭环
`cwork-todo.py`	`references/cwork-todo.md`	待办管理
`cwork-templates.py`	`references/cwork-templates.md`	模板查询
`cwork-draft-box.py`	`references/cwork-draft-box.md`	草稿箱
`cwork-business-unit.py`	`references/cwork-business-unit.md`	业务单元管理
`cwork-virtual-employee.py`	`references/cwork-virtual-employee.md`	虚拟员工管理

补充：写/发汇报场景，还需先读 references/report-virtual-identity.md。

测试示例（推荐）

示例 1：查未读汇报

# 第一步：先读 references/cwork-query-report.md
# 第二步：执行脚本
python3 scripts/cwork-query-report.py --app-key "\x3CAppKey>" --mode unread --page-size 10

示例 2：标准发送汇报（两步）

# 第一步：先读 references/cwork-send-report.md
python3 scripts/cwork-send-report.py \
  --app-key "\x3CAppKey>" \
  --title "周报" \
  --content "\x3Cp>本周完成联调\x3C/p>" \
  --receivers "张三" \
  --confirm-save-draft

# 第二步：用户明确确认后再发出
python3 scripts/cwork-send-report.py --app-key "\x3CAppKey>" --draft-id "\x3CreportId>" --confirm-send

字段说明：上述 --title / --content 是脚本参数名；脚本调用开放接口时会自动映射为请求体字段 main / contentHtml。

示例 3：收件人不明确时先匹配业务单元

# 第一步：先读 references/cms-match-businessunit.md
python3 scripts/cms-match-businessunit.py \
  --app-key "\x3CAppKey>" \
  --title "周报" \
  --content "\x3Cp>本周完成 API 联调\x3C/p>" \
  --content-type html \
  --dry-run

反向示例（不要这样做）

未获取 AppKey 就直接执行 scripts/*.py。
没读对应 references/*.md 就起调脚本。
发送汇报时一次性带 --confirm-send 直接发出（缺少草稿确认步骤）。
保存/更新草稿时不带 --confirm-save-draft（未获用户确认即落草稿）。
cms-match-businessunit.py 返回未匹配后，擅自猜测接收人继续发送。
测试/调试汇报默认发给无关同事（应优先 --test-mode + 当前用户本人或测试账号）。
用户明确在配置汇报节点（如建议/决策）却调用 cwork-create-task.py 创建任务。

错误处理与通用参数

通用错误格式、特殊字符处理、--params-file 用法请查看 references/common-params.md。

目录结构

cms-cwork-workflow/
├── SKILL.md                          ← 本文件（意图级接口文档）
├── scripts/
│   ├── cwork_client.py               ← 共享 API 客户端（HTTP 封装 + 所有 API 方法）
│   ├── cwork-search-emp.py           ← 0. 搜索员工
│   ├── cwork-send-report.py          ← 1. 发送汇报
│   ├── cwork-query-report.py         ← 2. 查询汇报
│   ├── cwork-create-task.py          ← 3. 创建任务
│   ├── cwork-review-report.py        ← 4. 审阅汇报
│   ├── cwork-query-tasks.py          ← 5. 查询任务
│   ├── cwork-nudge-report.py         ← 6. 催办闭环
│   ├── cwork-todo.py                 ← 7. 待办管理
│   ├── cwork-templates.py            ← 8. 模板管理
│   ├── cwork-draft-box.py            ← 9. 草稿箱列表 / 批量删除（API 5.24 / 5.28）
│   ├── cwork-business-unit.py        ← 10. 业务单元管理
│   ├── cms-match-businessunit.py     ← 11. 正文匹配业务单元并发汇报
│   └── cwork-virtual-employee.py     ← 12. 虚拟员工管理
└── references/
    ├── auth.md
    ├── cwork-search-emp.md
    ├── cwork-send-report.md
    ├── cwork-query-report.md
    ├── cwork-create-task.md
    ├── cwork-review-report.md
    ├── cwork-query-tasks.md
    ├── cwork-nudge-report.md
    ├── cwork-todo.md
    ├── cwork-templates.md
    ├── cwork-draft-box.md
    ├── cwork-business-unit.md
    ├── cms-match-businessunit.md
    ├── cwork-virtual-employee.md
    ├── report-virtual-identity.md
    ├── edge-cases.md
    ├── agent-patterns.md
    ├── common-params.md
    └── maintenance.md                ← Skill 维护/发布参考（非 Cursor 规则）

安全使用建议

这是一个面向 CWork 平台的完整自动化工具集——在安装前请确认：1) 你信任提供 AppKey 的 cms-auth-skills（因为该 AppKey 授予对 CWork 的读写权限）；2) 用于注入的 AppKey 应限权（避免使用全管理员凭证），并只赋予 Skill 所需的最小权限；3) 测试时优先使用 dry-run/测试账号，避免在生产环境下直接运行有 --confirm-send/批量删除等写操作；4) 检查并确认 BASE_URL（https://sg-al-cwork-web.mediportal.com.cn）是你组织的合法服务端点；5) 如果你不希望 Skill 自动发起写操作，限制其在 agent 中的自动调用或在调用策略中强制人工确认。总体来看，功能与要求一致，但由于它会执行高权限的写操作，务必在受控环境下试用并限制凭证权限。

功能分析

Type: OpenClaw Skill Name: cms-cwork-workflow Version: 1.0.12 The bundle provides a legitimate set of tools for interacting with the CWork enterprise collaboration platform, covering reports, tasks, to-dos, and employee management. The scripts utilize a shared API client (cwork_client.py) to communicate with a specific endpoint (sg-al-cwork-web.mediportal.com.cn) using an AppKey obtained via a trusted dependency (cms-auth-skills). The instructions in SKILL.md and the references/ directory are well-structured, emphasizing mandatory authentication, strict workflow adherence, and explicit user confirmation before performing sensitive actions like sending reports or deleting data. No evidence of malicious intent, data exfiltration, or harmful prompt injection was found; the capabilities are entirely consistent with the stated purpose of workflow automation.

能力标签

requires-sensitive-credentials

能力评估

✓ Purpose & Capability

Skill 名称与描述（工作协同全流程执行）与包含的脚本（发送/查询汇报、任务查询/创建、草稿箱管理、业务单元/虚拟员工管理等）一致。需要对 CWork 后端发起读写操作，因此脚本要求鉴权（AppKey）是合理的，且 SKILL.md 明确依赖 cms-auth-skills 提供 AppKey。

✓ Instruction Scope

SKILL.md 明确定义了必须先读取 references 文档和先从 cms-auth-skills 获取 AppKey 的前置条件，随后按文档参数执行 scripts/*.py。脚本源代码所做的网络调用、读写操作与这些说明一致；没有发现说明中未授权的文件读取、环境变量收集或向不相关外部端点发送数据的步骤。

✓ Install Mechanism

该 Skill 无安装脚本/下载步骤（代码随 Skill 包含），因此不存在来自不受信任 URL 的运行时下载或 extract 风险。脚本都是本地 Python 脚本，使用标准库 urllib 发起 HTTP 请求，未见使用不明二进制或外部包管理器拉取代码。

ℹ Credentials

Skill 本身在 registry 元数据中未声明需要环境变量或主凭证，但 SKILL.md 与脚本都要求且强制依赖一个 AppKey（通过 cms-auth-skills 注入为 --app-key 参数）。这不是矛盾的安全问题，但应注意：Skill 将执行有破坏性/写权限的操作（删除草稿、提交汇报、创建/删除业务单元、透传 virtualEmpId 等），因此所用的 AppKey 应限权且来自可信的 cms-auth-skills。

✓ Persistence & Privilege

Skill 未设置 always:true，默认允许模型自主调用（平台默认）。Skill 也不包含修改其他技能或系统范围配置的代码。脚本会在运行时执行写操作到 CWork 后端，但这些属于其声明的功能范围。

版本历史

v1.0.12