diff --git a/SKILL.md b/SKILL.md
index 87bab69..510aa80 100644
--- a/SKILL.md
+++ b/SKILL.md
@@ -42,6 +42,15 @@ description: 用于 Windows 电脑端的嵌入式应用调试，包括远程编
 
 用户如果只要求“显示串口”或“实时看日志”，仅打开只读串口监测；用户希望在页面持续查看时可以使用本地串口网页控制台，但不自动发送命令、搜索设备、登录、打包、传输文件或升级。
 
+### 串口登录与凭据获取
+
+- 只有用户明确要求登录设备或执行需要登录的诊断时才登录；仅要求查看串口输出时保持只读。
+- 需要登录且当前任务可访问对应项目工程时，优先从该工程的 `product.json` 查找登录名和密码配置。先确认项目路径/版本与目标设备型号、固件版本相符；若存在多个可能配置，不能按相似型号或历史记忆猜测。只读取与当前设备匹配的必要字段，并仅在当前会话中使用。
+- 若无法访问对应项目仓库，或 `product.json` 中没有可与目标设备和固件版本匹配的配置，则暂停登录并向用户说明缺少的来源或匹配信息；不得尝试默认密码、相似机型密码或从截图/历史聊天复制密码。
+- 串口登录必须按当前可见提示逐步进行：只在 `login:` 提示发送用户名；收到 `Password:` 后才发送密码；密码无回显时等待登录结果；只有看到已登录 shell 提示符后才发送诊断命令。不得把用户名、密码和命令连成一串发送，也不得在提示阶段不明时盲发命令。
+- 登录失败一次后停止尝试，先核对当前提示阶段、键盘输入字符、设备型号/固件与配置来源。若无法由现有证据解释，不连续试密码，向用户报告并等待新的凭据或指示。
+- 不将真实密码、密钥或 Token 写入本 skill、脚本、示例、摘要或交付表格。按当前调试约定，原始串口日志保留发送记录；在复制、上传或转发日志前，先提醒用户检查其中是否含有凭据，并遵循该目的地的授权要求。不得为了分享而覆盖或改写原始证据日志。
+
 ## Git 与构建边界
 
 - 不执行编译前 `git status` 检查，不因未提交修改阻止打包。