---

name: jira-server-pat-cli description: 通用 Jira Server / Data Center REST CLI 工作流：通过随附的 scripts/jira_cli.py 安全地探测实例、鉴权（PAT / Cookie / Basic Auth / OAuth）、发现项目与字段元数据、执行 JQL 搜索与 issue CRUD、transition、指派、评论、工时、附件、issue link、watcher、vote、权限与用户查询，并输出可直接被脚本解析的 JSON。仅访问用户自行配置的 Jira 实例 origin（无内置实例、无固定端点），适用于自托管 Jira、2FA、SSO、内部 CA、自签证书与 context path 场景。触发场景：用户要求用 CLI/脚本管理 Jira Server 或 Data Center、批量创建或更新 issue、按 JQL 导出、查 Jira 字段/transition 元数据；触发词：Jira Server CLI、Jira Data Center 脚本、Jira PAT、jira_cli、Jira Data Center REST、Jira 自托管接口。硬约束：禁止硬编码实例域名、内部路径、项目 Key、用户名、凭证、自定义字段 ID 或 issue type ID；不得用于 Jira Cloud（API token、accountId、REST v3、ADF 语义不同）。

Jira Server / Data Center CLI

Purpose

为任意 Jira Server / Data Center 实例提供可迁移、可审计、无环境隐私的命令行管理方案。优先使用 Jira 官方 REST API 与运行时元数据发现，绝不把单个组织的配置写进本 Skill。产出是可复现的命令 序列与结构化 JSON 结果，而不是绑定某个实例的一次性脚本。

When to Use

• 用户要求通过脚本或 CLI 管理 Jira Server / Data Center。
• 实例使用 PAT、2FA、SSO、Cookie、Basic Auth、内部 CA 或自签证书。
• 任务涉及项目、issue、JQL、transition、评论、工时、附件、链接、watcher、权限或字段元数据。
• 触发词：Jira Server CLI、Jira Data Center 脚本、Jira PAT、jira_cli、Jira 自托管 REST。

When NOT to Use

• Jira Cloud — API token、accountId、REST v3 与 Atlassian Document Format 语义不同，本 Skill 的 payload 与鉴权假设不成立。
• 用户只要 Jira Web 页面操作、不需要 REST 或 CLI。
• 目标接口属于第三方 Jira 插件，且尚未核对插件文档与版本。

Workflow

1. 确认产品与版本。先确认目标是 Server / DC 而非 Cloud，再调用 python3 scripts/jira_cli.py server-info。记录但不持久化：Jira 版本与 build number、Base URL 是否含 context path（如 /jira）、是否安装 Jira Software / Service Management、REST 版本与目标 endpoint 是否存在。不要用 /login.jsp 作为 Server/DC 的唯一识别依据。
2. 选择鉴权。按 ## Decision Rules 的优先级选定鉴权方式；用户一旦提供 PAT 立即持久化，后续 直接读取配置，不再重复索取。
3. 配置 TLS。默认走系统信任链，其次指定组织 CA PEM，--insecure 仅限临时诊断。
4. 先探测，再写入。至少执行 whoami、server-info、projects、 permissions --project PROJ 四个只读命令，确认身份、实例与权限后再考虑写入。
5. 发现运行时元数据。构造 create / update / transition payload 前，先按 references/field-metadata.md 发现 issue type、字段、transition 的 ID 与可用字段集合。禁止使用 跨实例固定回退 ID。
6. 处理分页与输出。所有列表与 JQL 搜索都要处理 startAt、maxResults、total，不能假设一次 返回全部结果。默认输出 JSON，便于 jq、脚本与 Agent 做确定性解析；不要把面向人的表格文本当作 程序输入。
7. 写操作先 dry-run 或读后写。创建、更新、transition 都支持 --dry-run，例如 create PROJ Bug "Example" --dry-run、update PROJ-123 --summary "Updated" --dry-run、 transition PROJ-123 "In Progress" --dry-run。真实写入前逐项确认：当前用户身份、项目与 issue 是否正确、权限是否满足、字段是否在 create metadata 或 edit metadata 中、transition 是否在当前 issue 的可用列表中、destructive 操作是否得到用户明确确认。
8. 交付前自检。执行 ## Verification 的命令，并复述实际访问的实例类型与只读/写入范围。

Decision Rules

• 目标判定为 Cloud -> 停止并说明本 Skill 不适用，不要尝试用 Server/DC 假设绕过。
• 鉴权优先级：OAuth 2.0 > PAT Bearer > Basic Auth > 浏览器 Cookie（Cookie 仅为临时排障兜底）。 PAT 通过 Authorization: Bearer <token> 发送，不附加用户名；新实例先用 whoami 验证。
• whoami 返回 401 / 403 -> 按 references/auth-and-tls.md 的五步顺序排查，不要直接断言被 SSO 接管。
• 需要 TLS 定制、context path、反向代理或 2FA/SSO 细节 -> 读 references/auth-and-tls.md。
• 需要字段 / issue type / transition 的 ID 发现、名称本地化与歧义处理 -> 读 references/field-metadata.md。
• 需要判断 API 根路径、create metadata 版本行为、用户字段或描述格式差异 -> 读 references/version-differences.md。
• 收到非 2xx 状态码、需要判断是否重试 -> 读 references/troubleshooting.md。
• 目标能力没有专用子命令（agile、Service Management、插件端点、管理类接口）-> 用 request 发起受控 REST 调用，并在执行前核对目标版本文档。
• 需要具体命令、参数与配置字段 -> 读 references/command-reference.md。

Constraints

• 绝不硬编码实例域名、IP、用户名、邮箱、项目 Key、issue Key、PAT、Cookie、自定义字段 ID、 issue type ID、transition ID 或内部目录——无论出现在 Skill、脚本、示例、测试还是日志中。
• 示例只使用 jira.example.com、PROJ、PROJ-123、alice、customfield_12345 等明确占位值。
• 不主动要求用户把 PAT 发到聊天中；优先让用户通过 JIRA_PAT、权限 0600 的配置文件或 secret manager 注入。若用户已在对话中提供 PAT，立即持久化到本地配置，后续直接读取；不得把 PAT 写入 Skill 文件、脚本、日志、命令行参数或输出。
• 不输出请求头、Cookie、PAT 或包含凭证的配置全文；报错与 debug 输出必须脱敏。
• 不把实例探测结果写回 Skill，实例元数据只用于当前执行。
• destructive 命令必须显式确认：附带 CLI 对 issue、评论、工时、附件、链接删除以及所有 raw POST / PUT / DELETE 使用 --yes 门禁。
• 字段优先用 ID 提交，但 ID 必须来自当前实例的运行时发现；名称匹配只用于交互便利。

Priority

规则冲突时按此顺序取舍，序号越小越具约束力：

1. 隐私与安全约束 高于任务完成。任何需要写入真实域名、凭证或内部标识才能继续的方案，改为 报错并向用户说明。
2. 只读探测 高于写入。未确认身份、权限与字段可用性之前，不得执行写入。
3. 运行时发现的元数据 高于任何默认值或历史记忆中的 ID。
4. destructive 显式确认 高于用户的进度诉求，未确认不得凭 --yes 之外的隐含授权执行。

Stop Conditions

• 鉴权按 references/auth-and-tls.md 的排查顺序走完仍为 401 / 403 -> 停止，把排查结论交回用户， 不要循环重试或猜测凭证。
• 目标实为 Jira Cloud，或必需能力依赖未核对文档的第三方插件 -> 停止并说明缺口。
• 需要 destructive 操作但用户未明确确认 -> 停止，等待确认。
• 同一写操作在 409 / 429 / 5xx 后仍无法确认服务端状态 -> 停止，不要重复提交非幂等写入。

Verification

交付或修改 Jira CLI 后必须完成：

python3 -c "import ast,pathlib; ast.parse(pathlib.Path('scripts/jira_cli.py').read_text())"
python3 scripts/jira_cli.py --help
python3 scripts/jira_cli.py create --help
python3 scripts/jira_cli.py request --help
python3 -m unittest scripts/test_jira_cli.py

• 所有命令可运行，帮助信息完整。
• 离线契约测试通过。
• 无真实域名、凭证、项目 Key 或内部字段 ID 出现在任何改动文件中。
• 工作区未留下 __pycache__ 等字节码缓存（py_compile 会在 scripts/ 下生成，改用上面的 ast.parse 检查即可避免）。

有可用测试实例时，再做只读 smoke test：server-info、whoami、projects。真实写入测试必须使用 专用测试项目与无敏感内容的临时 issue，完成后按用户确认清理测试数据，不把真实结果写回 Skill。

Output

• Outcome：一组可复现的 jira_cli.py 命令及其 JSON 结果，或对目标实例能力的明确结论。
• Done when：命令已实际运行、结果以 JSON 形式返回并解释、## Verification 清单全绿、未落盘任何 实例私有信息。
• Evidence：命令与参数（脱敏后）、返回状态与关键字段、只读/写入范围说明。

References

按需加载，不要预先全读：

• references/command-reference.md — 需要具体子命令、参数、配置文件字段或环境变量清单时读；查 版本相关能力分组与官方依据时也读这里。
• references/auth-and-tls.md — 实例自托管、启用 2FA/SSO、位于反向代理后、使用内部 CA/自签证书， 或 whoami 返回 401/403 时读。
• references/field-metadata.md — 构造 create/update/transition payload 前读，用于发现字段与 issue type ID 并处理本地化与同名歧义。
• references/version-differences.md — 选择 API 根路径、create metadata 行为异常、用户字段或描述 格式在版本间不一致时读。
• references/troubleshooting.md — 收到非 2xx 响应、需要决定是否重试时读。

Scripts

• scripts/jira_cli.py — 无第三方依赖的 REST CLI。用 python3 scripts/jira_cli.py <command> --help 查看子命令，返回 JSON 到 stdout；非零退出码表示失败。断言实例信息、构造 payload、执行 CRUD 前 以它为准。
• scripts/test_jira_cli.py — 离线契约测试，用内置 HTTP stub 验证分页、issue type 解析、transition 名称解析、destructive --yes 门禁与配置加载。改动 jira_cli.py 后运行它，不需要真实实例。