@aibyzero/byz 0.1.1 → 0.1.3

package/workflows/cm-plugin/templates/rules/git-workflow.md

@@ -0,0 +1,25 @@
+---
+description: {一句话：本项目的分支与提交约定}
+---
+
+<!-- 模板骨架 · 生成时从 git 历史推断实际风格，{占位符} 结合项目填充。
+     按 CLAUDE.md 版本控制字段裁剪：none → 不生成本文件；local → 删除 PR/合入 与 保护分支 相关内容，只留 commit 规范 -->
+
+# Git 工作流
+
+## 分支
+
+- 命名：{feature/xxx、fix/xxx——从现有分支推断}
+- 保护分支：{main/master}，禁止直接 push
+- 合并方式：{squash / merge commit / rebase——从历史推断}
+
+## Commit
+
+- 风格：{conventional commits（feat/fix/chore…）或项目实际风格，附 3 个历史真实示例}
+- 一次 commit 一个逻辑变更；禁止 "wip"、"fix" 这类无信息量消息
+- {是否要求关联 issue/任务编号，如 "feat: xxx (T-003)"}
+
+## PR / 合入
+
+- PR 描述：{模板位置或最低要求}
+- 合入前置：{CI 通过 / review 通过 / 覆盖率不降}

package/workflows/cm-plugin/templates/rules/security.md

@@ -0,0 +1,31 @@
+---
+description: {一句话：本项目的安全红线}
+---
+
+<!-- 模板骨架 · 生成时遵守四原则，检查维度对照 OWASP Top 10，{占位符} 结合项目填充 -->
+
+# 安全规范
+
+## 密钥与配置
+
+- 密钥/连接串一律环境变量或密钥管理服务，**禁止硬编码**；`.env` 必须在 .gitignore
+- `.env.example` 只放 key 不放值，与实际环境变量保持同步
+- {项目使用的密钥管理方式：Vault / 云 KMS / CI secrets}
+
+## OWASP 对照清单（按项目暴露面裁剪）
+
+- 注入：一律参数化查询/ORM，模板输出转义；{项目具体的入口清单}
+- 失效的访问控制：权限检查靠近资源，新路由必须显式声明鉴权要求
+- 认证失效：{会话/token 方案的具体约束：过期时间、刷新策略、存储位置}
+- 敏感数据泄露：日志禁止输出密码/token/证件号；传输一律 TLS
+- 安全配置错误：{CORS 白名单、安全响应头清单}
+- 不安全依赖：{依赖审计命令，如 npm audit / cargo audit}，高危漏洞阻断合入
+
+## 输入验证
+
+- 边界层统一校验（{项目使用的校验库}），内层信任已校验数据
+- 文件上传：{类型白名单、大小上限、存储位置}
+
+## 敏感操作
+
+- {支付/删除/导出等操作的审计日志与二次确认要求}

package/workflows/cm-plugin/templates/rules/testing.md

@@ -0,0 +1,36 @@
+---
+description: {一句话：本项目的测试约定与覆盖率要求}
+---
+
+<!-- 模板骨架 · 生成时遵守四原则（可执行/Bad-Good/量化/现代实践），{占位符} 结合项目填充 -->
+
+# 测试规范
+
+## 框架与命令
+
+- 单元/组件测试：{Vitest/Jest/pytest…，附运行命令}
+- E2E：{Playwright/Cypress…，附运行命令}
+- 覆盖率：`{coverage 命令}`
+
+## 覆盖率要求（QA 与 skill 默认值以本节为准）
+
+- 整体行覆盖 ≥ {N}%
+- 核心模块（{列出目录}）≥ {N}%
+- 纯类型/配置文件排除：{coverage 配置的 exclude 清单}
+
+## 文件与命名约定
+
+- 测试文件位置：{同目录 __tests__ / 独立 tests/ 目录}
+- 命名：{*.test.ts / test_*.py}
+
+## 分类要求
+
+- 工具函数：输入输出全覆盖含边界值
+- API/服务层：正常流 + 异常流 + 边界
+- 组件：渲染 + 交互 + props 边界
+- 禁止：测试内固定延时（用 waitFor）、测试间共享可变状态
+
+## 可视化回归（如有 UI）
+
+- browser_driver: {playwright | chrome-mcp | ask}（cm-plugin-qa-engineer 读取本字段）
+- 基准截图位置：{路径}

package/workflows/cm-plugin/templates/scripts/cm-plugin-codex.sh

@@ -0,0 +1,52 @@
+#!/usr/bin/env bash
+# cm-plugin Codex 审查封装——一处收齐 codex exec 的正确调用姿势 + 输出清洗 + 凭证落盘。
+# 存在理由（实测教训）：全程调 codex 十几次,每次都要记得 --skip-git-repo-check --sandbox read-only、
+# 手动加超时、再 tail 清洗它探索源码的 stdout 转储才拿到结论。本脚本一把封装。
+# 用法:
+#   cm-plugin-codex.sh "<提示词>" [凭证落盘路径]
+#   echo "<提示词>" | cm-plugin-codex.sh - [凭证落盘路径]
+# 输出: 清洗后的 Codex 结论到 stdout；给了凭证路径则同时 tee 落盘(N4/prd/scout 凭证纪律)。
+# 退出码: 0=拿到结论, 2=codex 未装(调用方按降级链处理)。
+set -uo pipefail
+
+PROMPT="${1:?用法: cm-plugin-codex.sh \"<提示词>\" [凭证路径]}"
+CRED="${2:-}"
+TIMEOUT="${CM_CODEX_TIMEOUT:-480}"
+
+if [ "$PROMPT" = "-" ]; then PROMPT=$(cat); fi
+
+if ! command -v codex >/dev/null 2>&1; then
+  echo "codex 未安装——按 N4 三级降级链处理(对抗式子代理/核验类自审)" >&2
+  exit 2
+fi
+
+# 正确调用姿势封装:read-only 沙箱 + 跳过 git 检查 + 从 stdin 关闭交互 + 超时。
+# 超时用「输出落临时文件 + 轮询 PID」实现——把 codex 后台化再 $() 捕获会丢输出(实测踩过),
+# 落文件最稳,且 macOS 无 GNU timeout 也能跑。
+TMP=$(mktemp)
+codex exec --skip-git-repo-check --sandbox read-only "$PROMPT" </dev/null >"$TMP" 2>&1 &
+CODEX_PID=$!
+i=0
+while kill -0 "$CODEX_PID" 2>/dev/null; do
+  i=$((i+1))
+  [ "$i" -ge "$TIMEOUT" ] && { kill "$CODEX_PID" 2>/dev/null; echo "(codex 超时 ${TIMEOUT}s,已终止)" >>"$TMP"; break; }
+  sleep 1
+done
+wait "$CODEX_PID" 2>/dev/null || true
+RAW=$(cat "$TMP"); rm -f "$TMP"
+
+# 输出清洗:codex 常把探索源码的过程转储进 stdout,真正结论在末尾 "tokens used" 之前。
+# ① 去掉 tokens 计数行 ② 去掉已知噪音(stdin 提示/codex 标记/提示词回显) ③ 取末段。
+CLEAN=$(printf '%s\n' "$RAW" | grep -vxF "$PROMPT" | grep -vE '^(codex|user|Reading additional input.*|tokens used|[0-9,]+|\(codex 超时.*|OpenAI Codex .*|-{3,}|workdir:.*|model:.*|provider:.*|approval:.*|sandbox:.*|reasoning .*|session id:.*)$' | awk '
+  { buf = buf $0 "\n" }
+  END {
+    n = split(buf, lines, "\n")
+    start = n - 20; if (start < 1) start = 1
+    for (i = start; i <= n; i++) if (lines[i] != "") print lines[i]
+  }')
+[ -z "$CLEAN" ] && CLEAN=$(printf '%s\n' "$RAW" | tail -15)
+
+if [ -n "$CRED" ]; then
+  { echo "# Codex 审查凭证 · $(date +%Y-%m-%dT%H:%M:%S%z)"; echo; printf '%s\n' "$CLEAN"; } > "$CRED"
+fi
+printf '%s\n' "$CLEAN"

package/workflows/cm-plugin/templates/scripts/cm-plugin-log.sh

@@ -0,0 +1,41 @@
+#!/usr/bin/env bash
+# cm-plugin JSONL 日志助手——让运行日志由工具写,而非手打 bash echo。
+# 存在理由（实测教训）：手写 `echo '{...}' >> log` 犯过两类错——先记账后落盘(report_saved 早于文件存在)、
+# 攒批导致多条挤同一秒时间线失真。本脚本自动 ISO8601 时间戳、原子追加、事件名非空校验。
+# 用法:
+#   cm-plugin-log.sh <日志文件> <event> <detail> [k=v ...]
+# 例:
+#   cm-plugin-log.sh run.jsonl fetch "reviews 页成功" channel=webfetch dim=D1 n=10
+# 纪律: 每个事件在其步骤**完成后**立即单独调一次,禁止攒批(每次调用即一次原子追加)。
+set -euo pipefail
+
+LOG="${1:?用法: cm-plugin-log.sh <日志文件> <event> <detail> [k=v ...]}"
+EVENT="${2:?缺 event}"
+DETAIL="${3:?缺 detail}"
+shift 3
+
+TS=$(date +%Y-%m-%dT%H:%M:%S%z)
+
+# 用 python 组装 JSON,保证特殊字符(引号/换行/中文)被正确转义——手写 echo 最容易在此翻车
+python3 - "$LOG" "$TS" "$EVENT" "$DETAIL" "$@" <<'PY'
+import json, sys, os
+logfile, ts, event, detail = sys.argv[1:5]
+row = {"at": ts, "event": event, "detail": detail}
+for kv in sys.argv[5:]:
+    if "=" not in kv:
+        continue
+    k, v = kv.split("=", 1)
+    # 数字字段转 int/float,其余留字符串
+    if v.lstrip("-").isdigit():
+        row[k] = int(v)
+    else:
+        try:
+            row[k] = float(v)
+        except ValueError:
+            row[k] = v
+line = json.dumps(row, ensure_ascii=False)
+# 原子追加(单次 write,追加模式)
+with open(logfile, "a", encoding="utf-8") as f:
+    f.write(line + "\n")
+print(line)
+PY

package/workflows/cm-plugin/templates/scripts/cm-plugin-preflight.sh

@@ -0,0 +1,60 @@
+#!/usr/bin/env bash
+# cm-plugin 环境预检——开跑前一次性探明本机能不能跑 Chrome 扩展开发的全链路。
+# 存在理由（实测教训）：/cm-plugin:rewrite 全程最吃时间的不是设计不是逻辑,是环境地雷——
+# 系统 Chrome 静默屏蔽 --load-extension、codex 要 --skip-git-repo-check、playwright 浏览器下载被墙。
+# 这些报错什么都不给。开跑前跑一遍本脚本,把地雷提前引爆。
+# 用法: cm-plugin-preflight.sh   (退出码 0=全通过或仅提示, 1=有阻塞项)
+set -uo pipefail
+
+pass(){ printf '  \033[32m✓\033[0m %s\n' "$1"; }
+warn(){ printf '  \033[33m⚠\033[0m %s\n' "$1"; WARN=$((WARN+1)); }
+fail(){ printf '  \033[31m✗\033[0m %s\n' "$1"; FAIL=$((FAIL+1)); }
+WARN=0; FAIL=0
+
+echo "🔎 cm-plugin 环境预检"
+
+# 1. Node / npm（脚手架与构建）
+if command -v node >/dev/null 2>&1; then
+  major=$(node -p 'process.versions.node.split(".")[0]' 2>/dev/null || echo 0)
+  if [ "${major:-0}" -ge 18 ]; then pass "Node $(node -v)"; else fail "Node 版本过低($(node -v)),需 ≥18"; fi
+else fail "Node 未安装（WXT 脚手架/构建依赖）"; fi
+command -v npm >/dev/null 2>&1 && pass "npm $(npm -v)" || fail "npm 未安装"
+
+# 2. git（每任务提交/审计链）
+command -v git >/dev/null 2>&1 && pass "git $(git --version | awk '{print $3}')" || warn "git 未安装（审计链降级为 NO_GIT）"
+
+# 3. Codex（N4 双模型复审主通道）—— 实测:调用必须带 --skip-git-repo-check
+if command -v codex >/dev/null 2>&1; then
+  pass "Codex $(codex --version 2>/dev/null | head -1) —— 调用记得带 --skip-git-repo-check --sandbox read-only"
+else
+  warn "Codex 未装 —— N4 将降级为对抗式子代理(次优)。装: npm i -g @openai/codex"
+fi
+
+# 4. 扩展加载能力（最大地雷）—— 系统 Chrome 屏蔽 --load-extension,只有 Chrome for Testing 能加载
+CACHE="$HOME/Library/Caches/ms-playwright"
+CFT=""
+if [ -d "$CACHE" ]; then
+  CFT=$(find "$CACHE" -maxdepth 6 -name 'Google Chrome for Testing' -type f 2>/dev/null | head -1)
+fi
+if [ -n "$CFT" ]; then
+  pass "Chrome for Testing 就绪（E2E 用它加载扩展；系统 Chrome 2026 版屏蔽 --load-extension）"
+else
+  warn "未找到 Chrome for Testing。E2E 无法真实加载扩展。装: npx playwright install chromium"
+  echo "     （下载被墙时:改用其他项目已装的 CfT,或本机 Chrome 仅供手动 chrome://extensions 加载）"
+fi
+
+# 5. 系统 Chrome（手动形态确认兜底）
+if [ -f "/Applications/Google Chrome.app/Contents/MacOS/Google Chrome" ]; then
+  pass "系统 Chrome 存在（手动 chrome://extensions 加载可用；自动化用 CfT）"
+else
+  warn "无系统 Chrome（手动形态确认需要它）"
+fi
+
+echo
+if [ "$FAIL" -gt 0 ]; then
+  echo "结论: $FAIL 项阻塞 / $WARN 项提示 —— 阻塞项先解决再开跑"
+  exit 1
+else
+  echo "结论: 通过（$WARN 项提示,不阻塞）"
+  exit 0
+fi

package/workflows/cm-plugin/templates/statusline/cm-plugin-statusline.sh

@@ -0,0 +1,73 @@
+#!/usr/bin/env bash
+# cm 工作流状态条 · Claude Code 底部实时显示（官方 statusLine 机制）
+# 输出原则: 大白话,路过的人扫一眼能懂;工程细节收在行尾暗色角标
+input=$(cat)
+
+PTR="$HOME/.claude/cm-plugin-current-specs"
+if [ -f "$PTR" ]; then
+  SPECS=$(cat "$PTR" 2>/dev/null)
+  ST="$SPECS/.cm-status.json"
+  if [ -f "$ST" ]; then
+    python3 - "$ST" "$SPECS" <<'EOF' && exit 0
+import json, sys, os, re, time
+try:
+    s = json.load(open(sys.argv[1]))
+except Exception:
+    sys.exit(1)
+SPECS = sys.argv[2]
+G, Y, B, R, D = "\033[32m", "\033[33m", "\033[1m", "\033[0m", "\033[2m"
+
+PHASE = {  # 节点 → 人话阶段
+    "N1": ("🚀", "启动准备"), "N2": ("📋", "规划任务"), "N3": ("🔨", "开发中"),
+    "N4": ("🔍", "检查代码"), "N5": ("💾", "保存进度"), "N6": ("🧪", "质量检测"),
+    "N7": ("🧹", "整理现场"), "N8": ("📦", "收尾总结"),
+}
+age = time.time() - os.path.getmtime(sys.argv[1])   # 状态新鲜度
+node = s.get("node", ""); st = s.get("state", "")
+if st == "done" and age > 3600:
+    sys.exit(1)   # 完成态过期 1 小时 → 回落默认显示,不再霸屏
+det = s.get("detail", "")[:44]; feat = s.get("feature", ""); task = s.get("task", "")
+feat_name = re.sub(r"^\d+\.", "", feat)  # 去掉编号前缀
+
+def progress(feature):
+    """当前 feature 的任务进度: (完成数, 总数, 当前序号)"""
+    try:
+        md = open(os.path.join(SPECS, feature, "tasks.md"), encoding="utf-8").read()
+        items = re.findall(r"^- \[( |x)\] (T-\d+)", md, re.M)
+        active = [(c, t) for c, t in items]
+        done = sum(1 for c, _ in active if c == "x")
+        cur = next((i + 1 for i, (c, _) in enumerate(active) if c == " "), len(active))
+        return done, len(active), cur
+    except Exception:
+        return None
+
+icon, phase = PHASE.get(node, ("⚙", "运行中"))
+tag = f"{D} ·{node}{' '+task if task else ''}{R}"   # 工程角标,暗色收尾
+
+if st not in ("paused_for_human", "done") and age > 600:
+    # 崩溃残留检测: 运行态超 10 分钟无更新,大概率已中断——错误的仪表比没有仪表危险
+    print(f"{Y}⚠ 可能已中断{R}（最后更新 {int(age//60)} 分钟前,去会话确认）{D}原状态: {phase}·{det[:20]}{R}{tag}")
+elif st == "paused_for_human":
+    print(f"{Y}🖐 等你确认：{det} —— 流程已暂停,回 Claude Code 回复即可{R}{tag}")
+elif st == "done":
+    print(f"{G}✅ 全部完成!{R} 所有任务已交付,收尾报告见会话{tag}")
+else:
+    p = progress(feat) if feat else None
+    prog = f"（进度 {p[0]}/{p[1]}）" if p else ""
+    body = f"{det}" if det else phase
+    fpart = f"{B}{feat_name}{R} · " if feat_name else ""
+    print(f"{G}{icon} {phase}{R} {fpart}{body}{D}{prog}{R}{tag}")
+EOF
+  fi
+fi
+
+# 兜底：无 cm 执行时显示模型与目录
+echo "$input" | python3 -c '
+import json, sys
+try:
+    d = json.load(sys.stdin)
+    m = d.get("model", {}).get("display_name", "")
+    w = d.get("workspace", {}).get("current_dir", "").rstrip("/").split("/")[-1]
+    print(f"{m} · {w}")
+except Exception:
+    print("cm")' 2>/dev/null || echo "cm"

package/workflows.lock.json

@@ -27,9 +27,10 @@
 			"name": "CM Plugin Workflow",
 			"packageName": "@aibyzero/cm-plugin-workflow",
 			"version": "0.5.0",
-			"bundled": false,
-			"private": true,
-			"sourceEnv": "BYZ_CM_PLUGIN_WORKFLOW_SOURCE",
+			"source": "github:kingxiaozhe/cm-plugin-workflow#d9158aa5c6e143b6a39bfba415cb1d8a2a4051b1",
+			"license": "MIT",
+			"bundled": true,
+			"bundledPath": "workflows/cm-plugin",
 			"envRoot": "BYZ_CM_PLUGIN_WORKFLOW_ROOT",
 			"skillsPaths": ["skills"],
 			"promptsPath": "commands",