Growth Lab 统一 onboarding

这是整个系统唯一的 onboarding 入口。不要要求各业务 Skill 各自重复审计，也不要创建页面、注册全局 command 或维护配置状态机。

工作方式

1. 完整读取 依赖清单。
2. 先运行 python models/onboard-growth-lab/scripts/check_configuration.py，再只读检查当前机器、已声明的第三方 Client 和认证 profile。脚本与回复都不得输出 secret、cookie、token 或认证文件内容。
3. 向用户给出一张统一状态表：已就绪、缺失、可选、本轮绕过。
4. 用自然语言询问用户要启用哪些缺失能力、哪些本轮绕过。不要替用户安装所有可选项。
5. 对用户选择启用的项目逐项处理：
   • API key：解释用途、官方获取入口、变量名和 CONFIGURATION.md 中的本地配置步骤。默认请用户在 .env.local 或系统密钥管理器中自行配置；只有用户明确授权写入时才可修改 .env.local，且永不回显完整值。
   • 第三方 CLI/Client：必须有用户可直接访问的官方来源和安装方式；说明来源、许可证、安装位置与命令，用户确认后安装并检查版本。
   • 登录认证：启动上游或业务 Skill 已定义的原生交互流程，让用户本人扫码、OAuth 或输入验证码；认证材料不得进入仓库或 Memory。
6. 每完成一项就重新执行对应的只读检查。结束时再次输出统一状态表和本轮绕过项。

小红书 browser-first 就绪门禁

小红书不再经过 MediaCrawler。需要小红书采集时，按 xiaohongshu-mcp 独立检查：

1. 告诉用户首次默认采集 25 条，数量可调整，但建议 25 条。
2. 检查 XHS_MCP_ENDPOINT、XHS_MCP_BINARY、XHS_MCP_LOGIN_BINARY 和仓库外 XHS_MCP_COOKIES_PATH，不读取或输出登录态内容。
3. 缺少配置时显示 CONFIGURATION.md 的准确位置、需要填写的字段及用途，然后停下等待用户配置或选择本轮绕过。
4. 服务未运行时先说明将启动本机只读服务；登录缺失时说明授权边界并在用户确认后打开可见二维码登录窗口。
5. 只有本机 health check、登录状态和一次低频最小读取全部成功，才报告 已就绪，可立即抓取。遇到风控、验证、超时或空响应立即停止，不自动重试或规避平台控制。

小红书登录只授权读取公开研究证据，不授权点赞、收藏、评论、关注、上传或发布。

MediaCrawler 风险确认与就绪门禁

MediaCrawler 的安装、登录和实际抓取必须在本统一 onboarding 中完成，不得把“已安装”或“有 profile”报告为可用。