把 checklist.md 放进 Claude Code 安全审查工作流

今天这段checklist.md最有意思的地方，不是它列了几条安全检查项，而是它刚好揭示了 Claude Code Skills 设计里一个很实用的分层思路，我们不应该把所有内容都塞进SKILL.md，而是把主流程、触发方式、关键指令留在SKILL.md，把安全清单、参考模板、脚本、案例资料这些细节放进同一个 skill 目录下，等 Claude 真正运行这个 skill 的时候再按需读取。

Claude Code 官方文档对 Skills 的定位很直接，skill 是给 Claude 扩展能力的一种机制，可以由我们手动用/skill-name调用，也可以在相关任务出现时由 Claude 自动选择调用。它和CLAUDE.md最大的差别在加载策略，CLAUDE.md更像常驻上下文，而 skill 的正文只有在被使用时才进入上下文，所以长参考材料不会在每轮对话里反复消耗 token。这个设计对代码审查、安全审查、发布流程特别重要，因为这些场景往往有大量 checklist、模板和规则，但并不是每次会话都需要全部加载。(Claude Platform Docs)

checklist.md正是这种思路下的一个辅助文件。它不是入口文件，也不是命令本身。真正的入口仍然是