CX-07 Plugins / Connectors 完整指南：App 能力扩展与账号连接

安装 Plugin
  -> 查看它带来的 Skills / MCP / Apps / 配置
  -> 对外部服务单独授权
  -> 在线程中引用或调用
  -> 工具或外部动作按权限和审批执行
  -> 不用时撤销授权或卸载

读取这个 GitHub issue 和当前仓库代码，判断问题是否已经被修复。只读，不修改文件。

读取这个 PR 的描述、评论和当前本地 diff，判断是否还有未处理 review 意见。只读，不评论、不修改文件。

codex
# 在交互界面输入 /plugins
 
codex plugin marketplace list
codex plugin marketplace add owner/repo
codex plugin marketplace upgrade
codex plugin marketplace remove marketplace-name

Plugin
  Apps / Connector: GitHub
  Skills: issue-triage, pr-review
  MCP: GitHub tool server
  Config: allowed repository patterns

读取这个 PR 的标题、描述、评论和当前本地 diff。只读总结：还有哪些 review 意见没处理。不要评论 PR，不要修改文件。

说明当前已安装的这个插件能提供哪些工作流，以及第一次使用时应该先做哪个只读试跑。不要调用外部写操作。

使用已安装的 GitHub 相关插件或连接器，结合当前项目规则，帮我做一次 issue triage。只读读取 issue 和本地代码，输出：问题是否可复现、可能涉及文件、建议下一步。不要创建分支，不要评论 issue。

App 中禁用或卸载插件
  -> 外部服务后台撤销 OAuth / app grant
  -> 删除或禁用相关 MCP 配置
  -> 检查 Automations 是否还引用它
  -> 检查 Skills 是否还依赖它
  -> 更新团队登记表

发现需求
  ↓
判断是否需要 Plugin
  ↓
阅读插件说明、权限、来源
  ↓
小范围安装
  ↓
第一次显式调用
  ↓
观察输出和工具调用
  ↓
沉淀团队使用模板
  ↓
定期复盘是否保留
  ↓
禁用、升级或移除

帮我看看有什么好用的插件。

我每周要整理 GitHub PR 评论、Slack 讨论和项目 README 的差异。
请判断这个任务是否适合用 Codex Plugin、MCP、Skill 或普通 App 线程完成。
先解释选择理由，再给我最小可行流程。

请使用 GitHub 相关连接能力读取当前 PR 的标题、描述和评论。
只做摘要，不修改分支，不发表评论，不创建 issue。
输出：
1. PR 当前讨论焦点
2. 仍未解决的问题
3. 需要我人工决定的事项

@github 请读取当前仓库的 PR 上下文。
只总结评论，不改文件，不调用写操作。
如果你无法访问 PR，请告诉我缺少哪一步配置。

请复盘刚才这次插件任务：
1. 你使用了哪些插件或工具能力？
2. 哪些信息来自外部系统？
3. 哪些结论是你根据上下文推断的？
4. 有没有权限、网络、认证或数据范围限制？

codex plugin marketplace add owner/repo
codex plugin marketplace add owner/repo --ref main
codex plugin marketplace add https://github.com/example/plugins.git --sparse .agents/plugins
codex plugin marketplace add ./local-marketplace-root
codex plugin marketplace list
codex plugin marketplace upgrade
codex plugin marketplace upgrade marketplace-name
codex plugin marketplace remove marketplace-name

{
  "name": "team-codex-plugins",
  "plugins": [
    {
      "name": "pr-review-pack",
      "source": {
        "source": "local",
        "path": "./plugins/pr-review-pack"
      },
      "policy": {
        "installation": "AVAILABLE",
        "authentication": "ON_INSTALL"
      },
      "category": "Engineering"
    },
    {
      "name": "docs-drift-pack",
      "source": {
        "source": "local",
        "path": "./plugins/docs-drift-pack"
      },
      "policy": {
        "installation": "AVAILABLE",
        "authentication": "ON_USE"
      },
      "category": "Documentation"
    }
  ]
}

repo-root/
  .agents/
    plugins/
      marketplace.json
  plugins/
    pr-review-pack/
      .codex-plugin/
        plugin.json
      skills/
        pr-review/
          SKILL.md
    docs-drift-pack/
      .codex-plugin/
        plugin.json
      skills/
        docs-drift/
          SKILL.md

{
  "name": "pr-review-pack",
  "version": "1.0.0",
  "description": "Reusable PR review workflow for Codex.",
  "skills": "./skills/"
}

---
name: pr-review
description: Review a pull request for correctness, security risk, missing tests, and maintainability. Use when the user asks for PR or diff review.
---
 
Review the pull request like an owner.
 
Workflow:
 
1. Read the diff and nearby code before giving findings.
2. Prioritize behavior regressions, security issues, and missing test coverage.
3. Cite file paths and line references when available.
4. Separate confirmed issues from questions.
5. Keep the final response concise and actionable.

@pr-review-pack 请审查当前分支相对 main 的改动。
重点看：
1. 真实 bug
2. 安全风险
3. 缺失测试
4. 破坏现有行为的可能性
 
不要重写代码。先给 findings，再给我建议下一步。

Plugin: GitHub 连接能力
Skill: PR review 工作流
Automation: 每天上午检查未处理评论
Review pane: 查看本地 diff
Human: 决定是否提交和推送

$pr-review
请读取当前 PR 的评论和本地 diff。
输出：
1. 评论按主题分组
2. 哪些评论已经在本地改动中处理
3. 哪些评论仍需人工判断
4. 建议下一次最小修改范围
 
不要提交，不要推送，不要回复 GitHub 评论。

Plugin: Google Drive 或内部文档连接
MCP: 官方 API 文档查询
Skill: docs-drift 工作流
Automation: 每周一生成漂移报告

$docs-drift
请比较项目 README、docs/ 目录和外部设计说明中的关键事实。
只列出不一致点、可能过期的段落和建议更新位置。
不要直接改文档，先给我报告。

Plugin: Codex Security 或团队安全插件
Rules: 限制危险命令
Skill: security-triage
Review pane: 人工看 diff

$security-triage
请检查当前改动是否引入敏感信息泄露、认证绕过、危险依赖或日志暴露。
只基于当前仓库和允许读取的上下文。
把结果分成：需要立刻处理、建议跟进、无法判断。

# Plugin Adoption Note
 
Plugin: pr-review-pack
Owner: Engineering Productivity
Primary workflow: PR comment triage and local diff review
First users: frontend team
Expected use: before PR update and after reviewer comments arrive
Human decision points: commit, push, external comment replies

# Engineering Use Notes
 
Allowed:
 
- Read PR context
- Summarize comments
- Suggest local fix plan
- Run project tests when user approves
 
Needs human action:
 
- Stage files
- Commit
- Push
- Reply to external reviewers
 
Not for:
 
- Broad refactors
- Secret handling
- Unreviewed production changes

1. 它会读取哪些系统？
2. 它会不会写文件或写外部系统？
3. 数据会经过哪个 app、connector 或 MCP server？
4. 失败时会留下什么状态？
5. 项目或 workspace 能不能禁用它？

[plugins."gmail@openai-curated"]
enabled = false

我安装或配置了一个 Codex Plugin，但在当前线程里看不到。
请按顺序帮我排查：
1. 插件来源是否应该出现在 App Plugins 页面或 CLI `/plugins`
2. marketplace 路径或配置是否可能没被发现
3. 是否需要重启 Codex 或新建线程
4. 是否是 workspace sharing 或账号权限问题
5. 下一步我应该查看哪个文件或界面

刚才的插件任务结果不符合预期。
请不要继续调用外部写操作。
先复盘：
1. 你是否真的调用了目标插件
2. 你读取了哪些外部上下文
3. 哪些结论缺少证据
4. prompt 中哪些边界不清楚
5. 下一轮我应该怎样改写任务

插件升级后，同样的任务输出变了。
请帮助我比较：
1. 插件版本或 marketplace 来源是否变化
2. bundled skills 的说明是否变化
3. MCP 或外部 app 权限是否变化
4. 旧 prompt 是否依赖了未说明的默认行为
5. 是否需要把团队使用模板更新

repo-root/
  .agents/
    plugins/
      marketplace.json
  plugins/
    course-authoring-pack/
      .codex-plugin/
        plugin.json
      skills/
        zh-course-review/
          SKILL.md

{
  "name": "course-authoring-pack",
  "version": "1.0.0",
  "description": "Reusable Codex workflows for Chinese technical course authoring.",
  "skills": "./skills/"
}

{
  "name": "course-team",
  "plugins": [
    {
      "name": "course-authoring-pack",
      "source": {
        "source": "local",
        "path": "./plugins/course-authoring-pack"
      },
      "policy": {
        "installation": "AVAILABLE",
        "authentication": "ON_INSTALL"
      },
      "category": "Documentation"
    }
  ]
}

1. 重启 Codex。
2. 打开 App Plugins 页面或 CLI `/plugins`。
3. 找到 course-team marketplace。
4. 安装 course-authoring-pack。
5. 新开线程显式调用 bundled skill。

@course-authoring-pack
请审查 docs/codex/CX-06-Codex-Skills可复用工作流完整指南.md。
只做课程质量和事实边界审查，不修改文件。

每天提醒我喝水。

团队每周都要检查 PR 评论、生成风险摘要、附带 GitHub 连接能力和 PR review skill。

一次性修复 checkout bug。

公司内部设计规范审查，需要读取 Figma、团队设计术语表和 UI review workflow。

请帮我为这个插件设计一次个人试用任务。
要求：
1. 只读
2. 不写外部系统
3. 不涉及真实客户数据
4. 结束后能判断是否值得团队试点

# Team Plugin Catalog
 
## Engineering
 
- PR Review Pack
- CI Triage Pack
 
## Documentation
 
- Docs Drift Pack
- Course Authoring Pack
 
## Product
 
- Release Notes Pack
- Spec Review Pack
 
## Security
 
- Security Triage Pack

- 使用场景
- bundled skills
- 是否需要 external app
- 是否有 MCP
- 默认是否只读
- owner

pr-risk-review
用途：审查 PR diff 的行为风险、安全风险、测试缺口和 scope creep。

$pr-risk-review
请审查当前 diff，重点看认证、权限和测试覆盖。

1. 谁维护这个 Skill？
2. 哪些项目默认启用？
3. 是否需要 GitHub connector 或 MCP？
4. 输出是否适合进入 PR 描述？
5. 如何禁用或回滚？

# PR Review Pack
 
## Purpose
 
Provide reusable PR review workflows for local diff review, PR comment triage, and pre-merge risk checks.
 
## Bundled Skills
 
- pr-risk-review
- pr-comment-triage
- pr-description-writer
 
## Optional Integrations
 
- GitHub connector for PR context.
- Read-only docs MCP for architecture references.
 
## Default Behavior
 
- Read-only review by default.
- No staging, commit, push, or external replies.
- Human decides all Git and GitHub actions.
 
## Owner
 
Engineering Productivity

试点范围：
- frontend team
- 只用于 UI bugfix PR
- 只读 review
- 两周后复盘输出质量和噪音

使用 PR Review Pack 帮我审查当前 UI bugfix PR。
 
重点：
1. 用户可见行为是否清楚。
2. 是否有无关样式重构。
3. 测试或手测路径是否缺失。
4. PR 描述是否能让 reviewer 快速判断。
 
不要修改文件。

请把 PR Review Pack 的输出压缩成：
1. Blocking
2. Should fix before merge
3. Follow-up
 
每类最多 3 条。

- 输出质量下降，误导用户。
- 依赖的外部系统权限变化。
- bundled Skill 过期。
- 插件扩大了不该有的数据访问范围。
- 新版本和团队配置冲突。

请帮我写一份 Plugin rollback note。
 
插件：
PR Review Pack
 
问题：
新版输出包含大量无关 style comment。
 
需要回答：
1. 哪些团队正在使用。
2. 是否要禁用整个插件，还是只禁用某个 Skill。
3. 回滚后用户该用哪个替代流程。
4. 需要通知谁。
5. 什么时候重新评估。

# PR Review Pack Temporary Rollback
 
What changed:
 
- We are temporarily disabling the latest PR Review Pack update.
 
Why:
 
- The new review workflow produces too many non-blocking style comments.
 
What to use instead:
 
- Continue using the previous local PR review prompt.
- For high-risk PRs, use manual Review pane checks.
 
What not to do:
 
- Do not install unreviewed plugin copies from personal sources.
 
Next:
 
- Engineering Productivity will revise the bundled skill and run a small trial again.

Skill 层：
- 它会触发什么工作流？
- 输出是什么？
- 是否会修改文件？
 
MCP 层：
- 它会读取哪些外部系统？
- 哪些 tool 默认启用？
- 是否存在写入 tool？
 
Connector 层：
- 是否需要 GitHub、Slack、Gmail 或浏览器权限？
- 数据会进入哪个上下文？
- 用户如何撤销授权？

# Release Notes Pack
 
## Skills
 
- release-note-draft
- changelog-risk-review
 
## MCP / External Reads
 
- Read-only issue tracker search.
- Read-only GitHub PR metadata.
 
## Writes
 
- No external writes.
- Local markdown edits only after user confirms.
 
## Human Decisions
 
- Publishing release notes.
- Replying to external comments.
- Tagging releases.