Skills & Tri thức nội bộ (Stage 3: Build)

1. Bắt đầu: Skills & Tri thức nội bộ

Trong SDLC truyền thống, tiêu chuẩn kỹ thuật (chuẩn bảo mật API, logging PII, convention thiết kế) thường nằm trên wiki hoặc tài liệu tĩnh mà kỹ sư ít khi tra cứu lại. Vi phạm tiêu chuẩn thường chỉ phát hiện muộn ở khâu PR review, gây chậm tiến độ.

Trong AI-Native SDLC, Skills vận hành hóa (operationalize) Institutional Knowledge: chỉ thị rõ ràng, kiểm soát phiên bản trong Git, áp dụng rộng rãi và cập nhật tập trung khi chính sách thay đổi. Agent tự động nạp Skill vào Context Window khi prompt khớp với điều kiện kích hoạt.

2. Cấu trúc Skill & Cơ chế Auto-Trigger

Cấu trúc một Skill (thư mục chứa file SKILL.md), cơ chế auto-trigger theo ngữ nghĩa và sự phối hợp giữa Advisory Skill (khuyến nghị) với Deterministic Hook (chốt chặn bắt buộc):

3. Các bước thực thi

Quy trình 6 bước đưa một chính sách kỹ thuật thành Skill vận hành trong codebase:

4. Cấu trúc mẫu SKILL.md

Cấu trúc file .claude/skills/secure-api-review/SKILL.md mẫu:

---
name: secure-api-review
description: Apply the API security standard. Use whenever creating or
  modifying an external-facing endpoint, reviewing API code, or
  generating an OpenAPI spec.
---
# Secure API review
When you create or change an API endpoint:
1. Authentication: every endpoint requires the gateway JWT;
   no anonymous routes outside /health.
2. Input validation: validate request bodies against the OpenAPI
   schema and reject unknown fields.
3. Audit: every state-changing endpoint emits an audit event with
   actor, action, entity and timestamp.
4. Data classification: fields tagged pii in the schema must never
   appear in logs or error messages.
Run scripts/check-endpoints.sh and include its output in your summary.

5. Hooks làm Build Guardrails

Skill là một cơ chế kiểm soát khuyến nghị (advisory control): định hướng Agent áp dụng chính sách khi viết code, nhưng không cưỡng chế 100% mọi tình huống. Chính sách bắt buộc không có ngoại lệ cần Deterministic Hook đứng sau để chặn đứng hành vi vi phạm.

Trong giai đoạn Build, Agent liên tục sửa file và chạy shell commands. Các hook tại Build phase (PreToolUse) có nhiệm vụ:

• Chặn sửa file được bảo vệ: ngăn sửa generated classes hoặc module đóng băng.
• Tự động format và lint: chạy sau mỗi lần sửa file để không tích tụ drift.
• Ngăn commit credentials: quét secret ngay trong diff trước khi ghi nhận.
• Hậu thuẫn chính sách bắt buộc: đóng vai trò chốt chặn cứng cho các Skill không có ngoại lệ.

6. Kiểm soát & Đo lường hiệu quả

Lượt gọi Skill được ghi nhận trong session traces. policy owner review và phê duyệt các thay đổi của Skill như review code trong PR.