@agile-team/wl-skills-gate 0.10.0 → 0.12.0

package/CHANGELOG.md

@@ -1,3 +1,22 @@
+# 变更记录
+
+## [0.12.0] — 2026-10-19
+
+- 完整接入固定code-scan-kit 1.1.0六引擎，提供离线分发打包、自动缓存与逐文件完整性核验；保留BD组织规则、原生HTML/CSV和统一指标。
+- 前端增加类型感知、安全/凭据、重复代码、依赖图、漏洞与许可证；固定专业分析器，隔离超时，规则抑制注释不能绕过，复用业务工具版本。
+- 既有生产前端业务脚本和Node必测自动登记；本轮真实JUnit、命名用例、必测计划及脚本摘要校验；批准升级0.11预设并保留自定义检查。
+- blocker/error不接受历史基线或豁免；批准机械修复仍可执行并复扫。增强目录文件详情、行区间/筛选、提交追溯、阶段标识和不可覆盖归档。
+- 飞书阻断卡片支持技术经理与执行人真实ID映射和去重，缺强制映射停止投递并由故障渠道处理；人员/群/SSO/CI现场验收仍需真实环境。
+- 中央认证、独立签发和构建前重验共同执行技术经理确认策略；经理为执行人仍需非作者复核。UAT独立smoke回流后自动生成固定版本HTML/JSON客户Review报告，恢复补报与防篡改有原件约束。
+- Node范围更新为22.13+或24+。新增依赖固定版本；新增同项目多个批准采集器及六分支接线助手，目标scope隔离、发布按scope选报告；动态MR采集与现场权限/送达仍独立验收。
+
+## [0.11.0] — 2026-10-16
+
+- 修复早期warning摘要未被常驻任务消费、首次来源失联/回流异常静默及旧环境复验可复用的断链，增加可靠执行异常与恢复提醒。
+- 正式构建前自动按SHA选择中央最新九维Review并重查CI；组合签发与部署强制重验真实签名、独立授权及原件，旧组合需补证重新生成。
+- CI按中央批准工作副本清单/锁准备依赖，禁任意生命周期脚本，仅用固定必要适配；质量报告与Review失败均保留原件。
+- 已接项目按受管资产摘要批准升级，保留自定义策略、必测与POM；复用已提交自有版本锁并由实际首扫核验，修复当前Review草稿入口路径。
+
 ## [0.10.0] — 2026-10-15
 
 - 新增可启动的质量接入菜单和跨系统启动器，首次接入逐阶段展示、确认、执行、复扫与HTML反馈，不再要求人工传递计划摘要。

package/README.md

@@ -9,8 +9,7 @@
 
 <p align="center">
   <a href="https://www.npmjs.com/package/@agile-team/wl-skills-gate"><img src="https://img.shields.io/npm/v/@agile-team/wl-skills-gate?color=087A7D&label=npm" alt="npm version" /></a>
-  <img src="https://img.shields.io/badge/Node.js-%E2%89%A522.12-172634" alt="Node.js 22.12 or later" />
-  <img src="https://img.shields.io/badge/runtime_dependencies-0-087A7D" alt="Zero runtime dependencies" />
+  <img src="https://img.shields.io/badge/Node.js-22.13%2B_or_24%2B-172634" alt="Node.js 22.13+ / 24+" />
 </p>
 
 <p align="center">
@@ -23,6 +22,7 @@ Gate 是质量执行与裁决层，复用项目已有检查器和适用的 WL
 
 | 场景 | Gate 提供什么 | 能看到什么 |
 | --- | --- | --- |
+| 完整检测 | Java参考六引擎＋BD组织规则；前端类型语义、安全、密钥、重复、架构和依赖 | 原件、覆盖范围、指标与具体位置 |
 | 日常提交 | Hook 自动运行分档检查 | 问题位置、规则、修复建议与阻断原因 |
 | 问题整改 | 预览方案 → 本人确认 → 白名单脚本 → 复扫 | 修前修后变化、剩余问题与回归项 |
 | Code Review | 汇总九维证据，生成待确认草稿 | 非作者逐维确认后的正式 Review |
@@ -33,12 +33,13 @@ Gate 是质量执行与裁决层，复用项目已有检查器和适用的 WL
 
 ## 快速接入
 
-技术经理拿到批准的 Gate 完整包后，打开 `templates/launchers/setup.command`（macOS）、`setup.cmd`（Windows）或 `setup.sh`（Linux），按菜单选择任务。先提供 Node.js ≥22.12、项目固定的包管理器及原有构建工具。
+技术经理拿到批准的 Gate 完整包后，打开 `templates/launchers/setup.command`（macOS）、`setup.cmd`（Windows）或 `setup.sh`（Linux），按菜单选择任务。先提供 Node.js 22.13+ 或 24+、项目固定的包管理器及原有构建工具。
 
 | 任务 | 人只需做什么 | 脚本完成什么 |
 | --- | --- | --- |
 | 首次接入项目 | 选择 Git 项目根、批准安装源，确认各阶段差异 | 识别范围、安装固定依赖、同步规则、Hook、POM/锁、首扫及提交说明正反验证 |
 | 新成员初始化 | 选择已接项目，在安装与激活计划上确认 | 按仓库已提交清单恢复本机环境，保留项目策略，再验真实 Hook |
+| 六分支接线 | 选择批准基础配置，确认完整差异 | 自动生成目标分支独立scope与Review接线；保留验证来源，权限与作业仍由运维配置 |
 | 运维接线 | 选择批准配置目录，预检后选择启动 | 核对配置/身份/凭据存在性/旧状态，启动中央采集与操作入口；消息默认预览 |
 | 组合发布输入 | 选择批准配置，确认组件与输出 | 从真实采集原件生成输入，核验来源、SHA、制品与兼容证据 |
 
@@ -47,7 +48,7 @@ Gate 是质量执行与裁决层，复用项目已有检查器和适用的 WL
 ```bash
 npx --yes --ignore-scripts --registry https://registry.npmjs.org/ \
   --@agile-team:registry=https://registry.npmjs.org/ \
-  @agile-team/wl-skills-gate@0.10.0 setup project
+  @agile-team/wl-skills-gate@0.12.0 setup project
 ```
 
 | 项目 | 依赖装在哪里 | 业务构建 |
@@ -57,6 +58,8 @@ npx --yes --ignore-scripts --registry https://registry.npmjs.org/ \
 
 `quality-tools/` 是 Java 仓库内的 Node 工具依赖目录。内置后端配套针对 `wl-produce` PL；其他 Maven 项目先由负责人配置模块与必测。移动端、UniApp 不套用 PC 配套。
 
+已接项目升级仍选同一接入任务：识别旧受管脚本并展示差异，保留项目自定义策略、必测和 POM。
+
 首次接入反馈在 `quality-reports/setup/<sessionId>/result.html`，质量报告在 `quality-reports/quality-report.html`。只有真实首扫及 Hook 正反验证通过，才返回 `local-validated-awaiting-remote-acceptance`。GitLab/Jenkins 强制检查、独立 Review、真实到群及部署另做现场验收。
 
 接线配置、非交互任务参数与失败处理见 [接入指南](./docs/17-onboarding.md)。
@@ -86,6 +89,8 @@ npx --yes --ignore-scripts --registry https://registry.npmjs.org/ \
 | 真实 CI 证据、身份与 Review | [可信 CI 采集](./docs/18-ci-source.md) · [九维 Review](./docs/19-nine-dimension-review.md) | 旧报告、缺证据、自审与过期批准被拒绝 |
 | 飞书通知、认领、超时与复验 | [中央执行接线](./templates/platform/README.md) | 实际送达、失败重试、认领和独立关闭均留记录 |
 
+流水线按批准的工作副本清单和依赖锁准备环境，不运行任意生命周期脚本。构建前自动匹配本次 SHA 的正式 Review 并重查 CI；组合与部署再次核验签名及原件，缺失就阻断。普通警告按周期汇总，首次采集故障、持续异常和恢复也有提醒。
+
 项目检查作业与受控签发、部署、通知作业隔离。Hook 提供早反馈；服务端强制检查负责防绕过。
 
 ## 按需深入