pi-opa-net
基于OPA策略的Pi生态bash命令守卫，提供结构化决策输出。
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：pi-opa-net。 它的用途是：基于OPA策略的Pi生态bash命令守卫，提供结构化决策输出。 完整的 Skill 内容见：https://321skill.com/skills/pi-opa-net/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
“请帮我清理一下项目的docker旧镜像。”，当AI通过Claude Code尝试执行`docker image prune -f`命令时，pi-opa-net会介入评估，若策略允许则放行，若策略禁止（如禁止强制删除）则会返回拒绝的决策结果，并可能建议更安全的命令。
介绍
pi-opa-net 旨在解决AI助手（如Claude Code）在Pi生态中执行bash命令时的安全与可控性问题。它通过集成开放策略代理（OPA），对即将执行的命令进行策略评估，防止潜在的危险或非授权操作，为自动化流程增加了一道安全护栏。
使用时，您需要配置OPA策略文件来定义允许或拒绝的命令规则。当AI助手（如通过Claude Code hook协议）请求执行命令时，该工具会拦截请求，根据策略生成结构化的decision-output.v1 JSON决策结果（允许或拒绝），并默认采用“故障开放”原则以确保可用性。它同时提供CLI工具，方便独立测试和集成。
该工具非常适合在Pi生态内进行开发、运维或使用AI编码助手的开发者、DevOps工程师和安全工程师。他们需要在自动化脚本或AI驱动的代码生成与执行环节，引入细粒度的命令执行控制，以平衡效率与安全。
建议在使用前仔细规划和测试您的OPA策略规则，确保其能准确反映您的安全需求，避免过度限制影响正常开发流程。同时，理解其“故障开放”的默认行为意味着在策略引擎本身出现问题时命令可能被放行，在极高安全要求的场景下需考虑额外的安全层。
核心特点
核心区别在于其专为Pi生态与Claude Code hook协议设计，并输出标准化的decision-output.v1 JSON格式；同时采用“故障开放”默认设计，优先保障自动化流程的可用性，而非同类工具可能采用的严格阻断模式。
注意事项
不适合对命令执行有绝对阻断要求、或策略决策必须100%可靠不可降级的极端安全场景。
常见问题
pi-opa-net 和普通的命令权限管理有什么区别？
它通过OPA提供声明式、可编程的精细策略，并能与AI助手工作流（如Claude Code）深度集成，进行实时、结构化的决策。
它需要依赖Pi平台吗？
核心引擎是Agent无关的，但其设计（如hook协议兼容）优先服务于Pi生态，在其他环境使用可能需要适配。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/pi-opa-net/raw/index.md 读取 pi-opa-net 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/pi-opa-net/raw/index.md（查看排版版本）