这份免费包提供一张 15 项插件上架核验表和一个仅用 Python 标准库运行的 ZIP 静态检查脚本。可先检查路径穿越、软链接、文件数量与解压体积，并确认 Skill 根目录有 SKILL.md 或 MCP 教学包根目录有 server.json。
下载后解压，在命令行运行 python check_bundle.py your-plugin.zip skill，MCP 包将末项改为 mcp。PDF 适合让发布、审核、运维三方记录证据。脚本不验证签名、不扫描恶意代码，也不能证明插件可安全运行；请把结果作为人工审查起点。
配套完整教程将讲解发布者信任、签名、审批、隔离安装与回滚。资料仅供学习和内部评估。