onboard-growth-lab

# Growth Lab 统一 onboarding 这是整个系统唯一的 onboarding 入口。不要要求各业务 Skill 各自重复审计，也不要创建页面、注册全局 command 或维护配置状态机。 ## 工作方式 1. 完整读取 [依赖清单](references/dependencies.md)。 2. 只读检查当前机器、进程环境、根目录 `.env.local` / `.env`、已声明的第三方 Client 目录和认证 profile。不得输出 secret、cookie、token 或认证文件内容。 3. 向用户给出一张统一状态表：`已就绪`、`缺失`、`可选`、`本轮绕过`。 4. 用自然语言询问用户要启用哪些缺失能力、哪些本轮绕过。不要替用户安装所有可选项。 5. 对用户选择启用的项目逐项处理： - API key：解释用途、获取地址和变量名，再请用户提供或在本地配置；写入 `.env.local` 前取得明确同意；永不回显完整值。 - 第三方 CLI/Client：必须有用户可直接访问的官方来源和安装方式；说明来源、许可证、安装位置与命令，用户确认后安装并检查版本。 - 登录认证：启动上游或业务 Skill 已定义的原生交互流程，让用户本人扫码、OAuth 或输入验证码；认证材料不得进入仓库或 Memory。 6. 每完成一项就重新执行对应的只读检查。结束时再次输出统一状态表和本轮绕过项。 ## MediaCrawler 风险确认与就绪门禁 MediaCrawler 的安装、登录和实际抓取必须在本统一 onboarding 中完成，不得把“已安装”或“有 profile”报告为可用。 1. 在启动 Chrome、二维码登录或任何真实抓取前，通过 Agent 对话原意告知： - 自动化抓取可能触发平台风控，导致限流、验证、登录失效或封号。 - 不要使用正式账号、主账号或承载重要资产的账号；使用者应准备可损失的专用账号。 - 账号被封后，部分公开内容在不需要该账号的路径上仍可能采集，但不保证持续可用，也不得尝试绕过平台风控。 2. 请用户明确回复类似“我已了解封号风险，并确认使用非正式、可损失的专用账号”。沉默、模糊回复或仅要求“继续”不构成确认。未取得确认就停在风险门禁，不启动登录和抓取。 3. 确认后，让用户选择需要启用的平台：小红书、抖音、快手、B 站、微博、贴吧、知乎。未启用的平台必须由用户明确说“本轮绕过”，不得默认忽略。 4. 只要启用任一 MediaCrawler 平台，必须先完成不可绕过的 Chrome CDP onboarding：Chrome 版本至少 144；为 MediaCrawler 启动一个使用仓库外持久化 profile 的专用 Chrome 实例，同时显式传入 `--remote-debugging-port=<port>` 和 `--user-data-dir=<profile-dir>`；`curl --noproxy '*' http://127.0.0.1:<port>/json/version` 必须返回可解析的 Chrome DevTools JSON；MediaCrawler 配置为 `ENABLE_CDP_MODE = True`、`CDP_CONNECT_EXISTING = True` 且 `CDP_DEBUG_PORT = <port>`。Chrome 144+ 在 `chrome://inspect/#remote-debug...