Add XDFX skill data artifacts

skills-data/xdfx-step4-pathway-vulns/SKILL.md

@@ -0,0 +1,38 @@
+---
+name: xdfx-step4-pathway-vulns
+description: xdfx 拆分流程 step4，为已入库关键传播节点抽取并保存最多3个脆弱点。
+---
+
+# Step4 传播节点脆弱点抽取与入库
+
+前置条件：`xdfx-flow-state.json` 中已有 Step2 写入的 `topPathways[*].pathwayAccountId`。
+
+不要手写接口调用，直接运行：
+
+```bash
+python scripts/xdfx_flow.py --mode step4 --input xdfx-input.json --state xdfx-flow-state.json --summary xdfx-flow-summary.md
+```
+
+鉴权和证书由脚本兜底处理：缺少 `Authorization` 或接口返回 401 时，自动用 `admin / ch@user` 登录获取 `access_token` 并重试原接口一次；HTTPS 默认不校验证书，需校验证书时追加 `--verify-ssl`。
+
+本步骤由脚本完成：
+
+- 对每个已入库关键传播节点抽取最多 3 个脆弱点。
+- 流式模型接口首次空响应、模型无响应或超时类返回会自动再调用一次。
+- 自动修复和解析模型 JSON。
+- 调用传播节点脆弱点保存接口。
+- 只有保存成功并返回 `id` 的脆弱点才进入后续策略阶段。
+- 同步前端步骤状态 `step-analysis-weakpoint`。
+- 单个节点失败不影响其他节点。
+
+完成后查看 `pathwayVulns` 和 `errors`。
+
+## 步骤反馈
+
+命令结束会输出 `STEP_FEEDBACK {...}`。必须先根据这行反馈告诉用户 Step4 的完成状态、当前传播节点脆弱点数量和新增错误数，再决定是否继续下一步。
+
+执行过程中会输出 `OP_FEEDBACK {...}`。每出现一次都要告诉用户当前操作和接口 URL。
+
+如果出现 `ERROR_FEEDBACK {...}`，必须立即告诉用户失败阶段、接口 URL、状态码、请求摘要和响应摘要。
+
+如果出现 `JSON_PARSE_REVIEW {...}`，必须查看 `responseExcerpt`，判断是否能识别传播节点脆弱点 JSON；无法确认时重跑 Step4。