align: 第二批：把技能包播种进租户 codex-home

仿 websearch MCP 播种，默认关：
- cloud/skill_seed.py：cloud/skills/ 的 SKILL.md 拷进租户
  codex-home/.agents/skills/（个人级技能路径，见模块
  文档的路径依据与诚实边界）；幂等，租户改过的文件
  绝不覆盖（上报 differs），缺包不阻塞任务。
- cloud/worker.py：新增 --seed-skills，_tenant_dirs 里
  调用播种；老租户下一次任务自动合并；播种失败只记
  日志、不阻塞任务（技能是可选流程说明）。
- cloud/tests/test_skill_seed_worker.py：播种助手 + worker
  开关，仿 test_websearch_worker.py 的结构。
- docs/chatgpt-codex-alignment.md：补第二批说明与实测
  待办（真实 Docker 任务 skills/list + $live-info 调用，
  通过前不宣称生产任务已能用这些技能）。

验证：skill_seed + chatgpt skills + websearch worker
共 14 项全过。本批不改生产配置、不部署，autoscaler
加 --seed-skills 是部署时另行的主机步骤。

cloud/worker.py

@@ -166,6 +166,7 @@ from cloud.peer_messages import peer_message_prefix as _peer_prefix
 from cloud.peer_messages import row_get as _row_get
 from cloud.sub2api import ensure_user_gateway_key as _ensure_sub2api_key
 from cloud.websearch import ensure_codex_home_websearch as _ensure_websearch_mcp
+from cloud.skill_seed import ensure_codex_home_skills as _ensure_skills
 from cloud.sub2api import gateway_name as _gateway_name
 from cloud.sub2api import gateway_origin as _gateway_origin
 from cloud.sub2api import list_gateway_models as _list_gateway_models
@@ -412,7 +413,7 @@ class Worker:
                  tenant_isolation=False, tenants_root=None,
                  tenant_template_home=None, tenant_template_repo=None,
                  egress_proxy_port=0, claim_executor_only=False,
-                 websearch_mcp=False,
+                 websearch_mcp=False, seed_skills=False,
                  host_name=None, pr_jobs_only=False,
                  upload_dir=None,
                  digest_interval_seconds=3600,
@@ -565,6 +566,14 @@ class Worker:
         # [mcp_servers.websearch]（容器内路径，见 _tenant_dirs）。
         # 老租户下一次任务自动合并，已有 section 不重写。
         self.websearch_mcp = bool(websearch_mcp)
+        # 技能播种：默认关（老行为：租户 codex-home 只有模板
+        # config.toml + 可选的 websearch MCP）。开启后
+        # _tenant_dirs 在 websearch 播种之后调用 skill_seed
+        # 的播种助手，把 cloud/skills/ 的 SKILL.md 拷进租户
+        # codex-home/.agents/skills/（个人级技能路径，见
+        # skill_seed.py 的路径说明）。老租户下一次任务自动
+        # 合并；租户改过的技能文件绝不覆盖，只上报 differs。
+        self.seed_skills = bool(seed_skills)
         # HA 阶段 1：本 worker 所在主机名。认领任务时写进
         # tasks.worktree_host，/pr 据此判断 worktree 在哪台主机。
         # 容器内 worker 的 socket.gethostname() 是容器名、不是宿主名，
@@ -2403,6 +2412,24 @@ class Worker:
                     "python3",
                     "/var/lib/codex-app-server/codex-home/"
                     "websearch_mcp.py"])
+        if self.seed_skills:
+            # 技能播种失败绝不阻塞任务：技能是可选的流程
+            # 说明，不是 websearch 那种“已宣传就必须有”的
+            # 工具；播种助手本身对缺包、已存在、租户改动
+            # 都是静默处理，只在文件系统本身出错时才抛，
+            # 那种情况下任务仍应派发（技能缺失只影响流程，
+            # 不影响 agent 本身跑起来）。
+            try:
+                _ensure_skills(dirs["codex_home"])
+            except Exception as exc:
+                # 只记日志不阻塞：技能缺失只影响流程说明，
+                # 不应把一次可选播种失败变成任务派发失败。
+                # 但绝不静默吞掉——日志里要留下来供排查。
+                try:
+                    self.logger.warning(
+                        "skill seeding failed: %s", exc)
+                except Exception:
+                    pass
         if not os.path.exists(os.path.join(dirs["test_repo"], ".git")) \
                 and not os.path.exists(dirs["test_repo"] + "/sample.py"):
             # 目标为空目录（刚 mkdir 出来的）才播种；已有内容
@@ -5672,6 +5699,12 @@ def main(argv=None):
                              " [mcp_servers.websearch] 并拷入"
                              " websearch.py / websearch_mcp.py；"
                              "默认关，老租户不受影响")
+    parser.add_argument("--seed-skills", action="store_true",
+                        help="租户 codex-home 自动播种对齐技能包："
+                             "_tenant_dirs 把 cloud/skills/ 的 SKILL.md"
+                             " 拷进租户 codex-home/.agents/skills/；"
+                             "默认关，老租户不受影响；租户改过的"
+                             "技能文件绝不覆盖")
     parser.add_argument("--task-timeout", type=float, default=1800,
                         help="每任务截止时间（秒，默认 1800）；0 表示不限时"
                              "（与 host --turn-timeout 0 同约定，worker 级"
@@ -5733,7 +5766,8 @@ def main(argv=None):
                     tenant_template_repo=args.tenant_template_repo,
                     egress_proxy_port=args.egress_proxy_port,
                     claim_executor_only=args.claim_executor_only,
-                    websearch_mcp=args.websearch_mcp)
+                    websearch_mcp=args.websearch_mcp,
+                    seed_skills=args.seed_skills)
     # CLI 启动清理兜底（常驻与单次都做）：清掉上一轮残留容器。
     worker.cleanup_stale_containers()
     # CLI 起 worker 前先建表/迁移：全新库直接起循环不应因缺表而炸。