Remove private implementation hints from marketplace docs

Constraint: Public marketplace documentation must not identify private implementation sources or unpublished capabilities.

Rejected: Explaining omitted MCP servers in public README | the explanation itself exposes private context.

Confidence: high

Scope-risk: narrow

Directive: Public docs should describe only published plugins and generic marketplace rules.

Tested: python scripts/validate_marketplace.py; hidden content and filename scan for private identifiers.

README.md

@@ -47,7 +47,7 @@ rm -rf "$tmp_home"
 
 ## MCP 插件
 
-当前公开仓库只发布 `mcp-playwright`。KeyInfo 主项目里还维护了内部知识库、Firecrawl、Outline 等 MCP，但这些依赖内部地址、项目 Key、shared key 或用户私有 token，不能进入公开 Git 仓库。
+当前公开 MCP 插件是 `mcp-playwright`。
 
 `mcp-playwright` 是本地 MCP 插件：
 
@@ -63,8 +63,6 @@ rm -rf "$tmp_home"
 enabled = true
 ```
 
-后端自动同步公开 MCP 时只读取 `SKILL_MARKET_PUBLIC_MCP_IDS` allowlist，默认值是 `playwright`。除非确认目标 MCP 可公开、无内部 URL/密钥泄露风险，否则不要加入 allowlist。
-
 ## 官方插件能力
 
 本市场按 Codex 官方插件能力校验和发布，插件可以包含：
@@ -102,7 +100,7 @@ scripts/validate_marketplace.py
 - 每次新增、替换、重命名、移除 public skill/plugin，或新增 hooks/MCP/apps/assets 等能力后，都要同步更新本 README 和 `plugins/codex/README.md`。
 - 不要同步 README-only 预览 GIF/截图。skill/reference 真正需要的图片保留并压缩为 WebP。
 - 第三方插件本地化写入 `config/external-sources.json` 的 `manifestOverrides` 和 `skillDescriptions`，不要直接手改生成 manifest。
-- KeyInfo 内部 MCP 默认不公开。公开 MCP 必须经过 `SKILL_MARKET_PUBLIC_MCP_IDS` allowlist，并确认无内部 URL、shared key、项目 key 或用户 token 泄露风险。
+- 公共仓库只描述已发布插件，不写未发布能力、内部系统名、私有地址、鉴权方式或密钥来源。
 
 ## 第三方同步