取证 Agent Skill 制作手册

Skill 将一类取证任务的处理方法写入可加载的指令文件。它应说明任务何时适用、需要什么输入、如何选择和检查工具结果，以及何时停止。编写的难点通常在字段解释、异常处理和结束条件；这些内容决定 Agent 能否在下一份检材上正确使用同一方法。

本篇以 SQLite 记录查询为例。数据库统计、WAL、时间解释和工具接入分别有独立实验与文章，正文只保留编写 Skill 必需的内容。

确定一个可以完成的任务范围

“负责所有手机取证”包含应用识别、数据恢复、数据库分析、媒体检验等多种工作，不适合作为第一个 Skill 的范围。较易验证的起点是：在指定检材中定位数据库，检查实际结构，按已确认的字段含义查询记录，并返回可定位的依据。

编写前应手动完成一个代表性案例，保留用过的路径、SQL、参数、错误和修正原因。由此区分固定步骤与条件步骤：检查结构几乎每次都需要，WAL 处理只在对应文件状态下出现，时间转换只在问题涉及时间字段时出现。

输入中至少要有问题原文、检材标识、目标对象、允许使用的工具和输出目录。题目没有说明“条数”是记录数还是不同对象数时，应先根据业务上下文确认；仍无法确定，就保留歧义，不在 Skill 中固定一种猜法。

文件结构与触发描述

通用 Agent Skills 格式以 SKILL.md 为入口，文件开头为 YAML 元数据，后接 Markdown 正文。采用该规范时，name 为 1 至 64 个小写字母、数字或连字符，不能以连字符开头或结尾、不能连续使用连字符，并与目录名一致；description 为非空文本，最多 1024 个字符。完整约束见 Agent Skills 格式规范。

本例的最小文件是 sqlite-record-query/SKILL.md。下面的描述同时包含适用数据、任务动作和输出要求。

name: sqlite-record-query
description: 用于电子数据取证中的 SQLite 记录查询、关联和统计。检查当前数据库结构与字段含义，执行已授权的只读分析，返回查询、参数、结果及原始记录位置。

这段描述用于