@bovinphang/frontend-craft 2.8.0 → 3.0.0

package/localized/zh-CN/skills/fec-refactoring-move-features/references/moving-refactorings.md

@@ -0,0 +1,453 @@
+# 搬移特性类重构
+
+这些卡片以用户提供的标准重构目录为知识基线，转换为面向前端 Agent 的操作指南。保留标准 ID/中英文名称，框架适配和示例为项目原创内容。
+
+## RF-MOVE-FUNCTION — 搬移函数（Move Function）
+
+### 意图
+把函数搬到拥有其主要数据或变化责任的模块。
+
+### 典型信号
+- 当前结构出现与本手法目标一致的重复、耦合、命名、职责、数据所有权或控制流问题，并有具体代码证据。
+
+### 不适用条件
+- 当前结构已经清晰，或该变换会制造更强耦合、隐藏依赖、破坏公共契约且没有兼容方案时，不使用。
+
+### 前置条件
+- 已明确当前可观察行为、受影响调用者和公共契约。
+- 目标位于声明的差异预算内，并且这个单一主要变换完成后能够立即验证。
+
+### 操作步骤
+1. 确认当前行为、调用者和边界，并锁定本步骤只处理这一项主要结构意图。
+2. 创建最小的新结构/位置/接口，让旧行为可以逐步迁移而不是一次性大改。
+3. 一次迁移一个调用点或职责片段，并保持兼容边界。
+4. 运行窄范围验证；若变红，先回滚本步骤，再缩小变换。
+
+### 行为保持检查点
+- 对比输入、输出、异常、副作用、执行顺序和公共契约。
+- 前端还要核对 UI 状态、事件、焦点、网络请求、生命周期/状态迁移，以及相关对象身份语义。
+
+### 相关坏味道
+- `SMELL-DIVERGENT-CHANGE`
+- `SMELL-SHOTGUN-SURGERY`
+- `SMELL-FEATURE-ENVY`
+- `SMELL-TEMPORARY-FIELD`
+- `SMELL-MESSAGE-CHAINS`
+- `SMELL-INSIDER-TRADING`
+- `SMELL-ALTERNATIVE-CLASSES-DIFFERENT-INTERFACES`
+- `SMELL-DATA-CLASS`
+
+### 常见组合
+- 不建立固定流水线；下一步必须重新依据证据选择。
+
+### JavaScript 注意事项
+- 模块初始化顺序、循环依赖、闭包和动态 import 会让“搬文件”变成行为变化。
+
+### TypeScript 注意事项
+- 保持导出类型、路径别名、包边界以及 type-only/runtime import 区别。
+
+### React 注意事项
+- 检查 Hook 规则、Server/Client 边界、lazy/Suspense、路由和事件顺序。
+
+### Vue 注意事项
+- 检查 composable 生命周期、Pinia 所有权、async setup、route guard 和 auto-import。
+
+### Frontend-Craft 前端适配
+- 行为应跟随数据所有权和变化责任；死代码实际删除必须经过专门 cleanup lane 的动态引用证明。
+
+### 原创前端变换示例
+- 把“Move Function”应用到一个局部组件/Hook/Composable/Service 范围内，先记录行为契约，只迁移一个职责片段，并立即验证输出、事件与状态变化保持不变。
+
+## RF-MOVE-FIELD — 搬移字段（Move Field）
+
+### 意图
+把数据搬到真正拥有该概念、并与其共同变化的对象或模块。
+
+### 典型信号
+- 当前结构出现与本手法目标一致的重复、耦合、命名、职责、数据所有权或控制流问题，并有具体代码证据。
+
+### 不适用条件
+- 当前结构已经清晰，或该变换会制造更强耦合、隐藏依赖、破坏公共契约且没有兼容方案时，不使用。
+
+### 前置条件
+- 已明确当前可观察行为、受影响调用者和公共契约。
+- 目标位于声明的差异预算内，并且这个单一主要变换完成后能够立即验证。
+
+### 操作步骤
+1. 确认当前行为、调用者和边界，并锁定本步骤只处理这一项主要结构意图。
+2. 创建最小的新结构/位置/接口，让旧行为可以逐步迁移而不是一次性大改。
+3. 一次迁移一个调用点或职责片段，并保持兼容边界。
+4. 运行窄范围验证；若变红，先回滚本步骤，再缩小变换。
+
+### 行为保持检查点
+- 对比输入、输出、异常、副作用、执行顺序和公共契约。
+- 前端还要核对 UI 状态、事件、焦点、网络请求、生命周期/状态迁移，以及相关对象身份语义。
+
+### 相关坏味道
+- `SMELL-SHOTGUN-SURGERY`
+- `SMELL-INSIDER-TRADING`
+
+### 常见组合
+- 不建立固定流水线；下一步必须重新依据证据选择。
+
+### JavaScript 注意事项
+- 模块初始化顺序、循环依赖、闭包和动态 import 会让“搬文件”变成行为变化。
+
+### TypeScript 注意事项
+- 保持导出类型、路径别名、包边界以及 type-only/runtime import 区别。
+
+### React 注意事项
+- 检查 Hook 规则、Server/Client 边界、lazy/Suspense、路由和事件顺序。
+
+### Vue 注意事项
+- 检查 composable 生命周期、Pinia 所有权、async setup、route guard 和 auto-import。
+
+### Frontend-Craft 前端适配
+- 行为应跟随数据所有权和变化责任；死代码实际删除必须经过专门 cleanup lane 的动态引用证明。
+
+### 原创前端变换示例
+- 把“Move Field”应用到一个局部组件/Hook/Composable/Service 范围内，先记录行为契约，只迁移一个职责片段，并立即验证输出、事件与状态变化保持不变。
+
+## RF-MOVE-STATEMENTS-INTO-FUNCTION — 搬移语句到函数（Move Statements into Function）
+
+### 意图
+把所有调用者都必须伴随执行的公共语句移入被调用函数，使公共操作完整。
+
+### 典型信号
+- 当前结构出现与本手法目标一致的重复、耦合、命名、职责、数据所有权或控制流问题，并有具体代码证据。
+
+### 不适用条件
+- 当前结构已经清晰，或该变换会制造更强耦合、隐藏依赖、破坏公共契约且没有兼容方案时，不使用。
+
+### 前置条件
+- 已明确当前可观察行为、受影响调用者和公共契约。
+- 目标位于声明的差异预算内，并且这个单一主要变换完成后能够立即验证。
+
+### 操作步骤
+1. 确认当前行为、调用者和边界，并锁定本步骤只处理这一项主要结构意图。
+2. 创建最小的新结构/位置/接口，让旧行为可以逐步迁移而不是一次性大改。
+3. 一次迁移一个调用点或职责片段，并保持兼容边界。
+4. 运行窄范围验证；若变红，先回滚本步骤，再缩小变换。
+
+### 行为保持检查点
+- 对比输入、输出、异常、副作用、执行顺序和公共契约。
+- 前端还要核对 UI 状态、事件、焦点、网络请求、生命周期/状态迁移，以及相关对象身份语义。
+
+### 相关坏味道
+- 不要求先存在某一种固定坏味道；以具体结构证据为准。
+
+### 常见组合
+- 不建立固定流水线；下一步必须重新依据证据选择。
+
+### JavaScript 注意事项
+- 模块初始化顺序、循环依赖、闭包和动态 import 会让“搬文件”变成行为变化。
+
+### TypeScript 注意事项
+- 保持导出类型、路径别名、包边界以及 type-only/runtime import 区别。
+
+### React 注意事项
+- 检查 Hook 规则、Server/Client 边界、lazy/Suspense、路由和事件顺序。
+
+### Vue 注意事项
+- 检查 composable 生命周期、Pinia 所有权、async setup、route guard 和 auto-import。
+
+### Frontend-Craft 前端适配
+- 行为应跟随数据所有权和变化责任；死代码实际删除必须经过专门 cleanup lane 的动态引用证明。
+
+### 原创前端变换示例
+- 把“Move Statements into Function”应用到一个局部组件/Hook/Composable/Service 范围内，先记录行为契约，只迁移一个职责片段，并立即验证输出、事件与状态变化保持不变。
+
+## RF-MOVE-STATEMENTS-TO-CALLERS — 搬移语句到调用者（Move Statements to Callers）
+
+### 意图
+把只对部分调用者成立或因上下文而变化的语句移回调用端。
+
+### 典型信号
+- 当前结构出现与本手法目标一致的重复、耦合、命名、职责、数据所有权或控制流问题，并有具体代码证据。
+
+### 不适用条件
+- 当前结构已经清晰，或该变换会制造更强耦合、隐藏依赖、破坏公共契约且没有兼容方案时，不使用。
+
+### 前置条件
+- 已明确当前可观察行为、受影响调用者和公共契约。
+- 目标位于声明的差异预算内，并且这个单一主要变换完成后能够立即验证。
+
+### 操作步骤
+1. 确认当前行为、调用者和边界，并锁定本步骤只处理这一项主要结构意图。
+2. 创建最小的新结构/位置/接口，让旧行为可以逐步迁移而不是一次性大改。
+3. 一次迁移一个调用点或职责片段，并保持兼容边界。
+4. 运行窄范围验证；若变红，先回滚本步骤，再缩小变换。
+
+### 行为保持检查点
+- 对比输入、输出、异常、副作用、执行顺序和公共契约。
+- 前端还要核对 UI 状态、事件、焦点、网络请求、生命周期/状态迁移，以及相关对象身份语义。
+
+### 相关坏味道
+- 不要求先存在某一种固定坏味道；以具体结构证据为准。
+
+### 常见组合
+- 不建立固定流水线；下一步必须重新依据证据选择。
+
+### JavaScript 注意事项
+- 模块初始化顺序、循环依赖、闭包和动态 import 会让“搬文件”变成行为变化。
+
+### TypeScript 注意事项
+- 保持导出类型、路径别名、包边界以及 type-only/runtime import 区别。
+
+### React 注意事项
+- 检查 Hook 规则、Server/Client 边界、lazy/Suspense、路由和事件顺序。
+
+### Vue 注意事项
+- 检查 composable 生命周期、Pinia 所有权、async setup、route guard 和 auto-import。
+
+### Frontend-Craft 前端适配
+- 行为应跟随数据所有权和变化责任；死代码实际删除必须经过专门 cleanup lane 的动态引用证明。
+
+### 原创前端变换示例
+- 把“Move Statements to Callers”应用到一个局部组件/Hook/Composable/Service 范围内，先记录行为契约，只迁移一个职责片段，并立即验证输出、事件与状态变化保持不变。
+
+## RF-REPLACE-INLINE-CODE-WITH-FUNCTION-CALL — 以函数调用取代内联代码（Replace Inline Code with Function Call）
+
+### 意图
+用已经存在且语义等价的函数调用替代重复的内联逻辑。
+
+### 典型信号
+- 当前结构出现与本手法目标一致的重复、耦合、命名、职责、数据所有权或控制流问题，并有具体代码证据。
+
+### 不适用条件
+- 当前结构已经清晰，或该变换会制造更强耦合、隐藏依赖、破坏公共契约且没有兼容方案时，不使用。
+
+### 前置条件
+- 已明确当前可观察行为、受影响调用者和公共契约。
+- 目标位于声明的差异预算内，并且这个单一主要变换完成后能够立即验证。
+
+### 操作步骤
+1. 确认当前行为、调用者和边界，并锁定本步骤只处理这一项主要结构意图。
+2. 创建最小的新结构/位置/接口，让旧行为可以逐步迁移而不是一次性大改。
+3. 一次迁移一个调用点或职责片段，并保持兼容边界。
+4. 运行窄范围验证；若变红，先回滚本步骤，再缩小变换。
+
+### 行为保持检查点
+- 对比输入、输出、异常、副作用、执行顺序和公共契约。
+- 前端还要核对 UI 状态、事件、焦点、网络请求、生命周期/状态迁移，以及相关对象身份语义。
+
+### 相关坏味道
+- 不要求先存在某一种固定坏味道；以具体结构证据为准。
+
+### 常见组合
+- 不建立固定流水线；下一步必须重新依据证据选择。
+
+### JavaScript 注意事项
+- 模块初始化顺序、循环依赖、闭包和动态 import 会让“搬文件”变成行为变化。
+
+### TypeScript 注意事项
+- 保持导出类型、路径别名、包边界以及 type-only/runtime import 区别。
+
+### React 注意事项
+- 检查 Hook 规则、Server/Client 边界、lazy/Suspense、路由和事件顺序。
+
+### Vue 注意事项
+- 检查 composable 生命周期、Pinia 所有权、async setup、route guard 和 auto-import。
+
+### Frontend-Craft 前端适配
+- 行为应跟随数据所有权和变化责任；死代码实际删除必须经过专门 cleanup lane 的动态引用证明。
+
+### 原创前端变换示例
+- 把“Replace Inline Code with Function Call”应用到一个局部组件/Hook/Composable/Service 范围内，先记录行为契约，只迁移一个职责片段，并立即验证输出、事件与状态变化保持不变。
+
+## RF-SLIDE-STATEMENTS — 移动语句（Slide Statements）
+
+### 意图
+在不跨越可观察依赖的前提下移动语句，让相关代码相邻，为后续提炼或简化创造条件。
+
+### 典型信号
+- 当前结构出现与本手法目标一致的重复、耦合、命名、职责、数据所有权或控制流问题，并有具体代码证据。
+
+### 不适用条件
+- 当前结构已经清晰，或该变换会制造更强耦合、隐藏依赖、破坏公共契约且没有兼容方案时，不使用。
+
+### 前置条件
+- 已明确当前可观察行为、受影响调用者和公共契约。
+- 目标位于声明的差异预算内，并且这个单一主要变换完成后能够立即验证。
+
+### 操作步骤
+1. 确认当前行为、调用者和边界，并锁定本步骤只处理这一项主要结构意图。
+2. 创建最小的新结构/位置/接口，让旧行为可以逐步迁移而不是一次性大改。
+3. 一次迁移一个调用点或职责片段，并保持兼容边界。
+4. 运行窄范围验证；若变红，先回滚本步骤，再缩小变换。
+
+### 行为保持检查点
+- 对比输入、输出、异常、副作用、执行顺序和公共契约。
+- 前端还要核对 UI 状态、事件、焦点、网络请求、生命周期/状态迁移，以及相关对象身份语义。
+
+### 相关坏味道
+- `SMELL-DUPLICATED-CODE`
+- `SMELL-MUTABLE-DATA`
+
+### 常见组合
+- 不建立固定流水线；下一步必须重新依据证据选择。
+
+### JavaScript 注意事项
+- 模块初始化顺序、循环依赖、闭包和动态 import 会让“搬文件”变成行为变化。
+
+### TypeScript 注意事项
+- 保持导出类型、路径别名、包边界以及 type-only/runtime import 区别。
+
+### React 注意事项
+- 检查 Hook 规则、Server/Client 边界、lazy/Suspense、路由和事件顺序。
+
+### Vue 注意事项
+- 检查 composable 生命周期、Pinia 所有权、async setup、route guard 和 auto-import。
+
+### Frontend-Craft 前端适配
+- 行为应跟随数据所有权和变化责任；死代码实际删除必须经过专门 cleanup lane 的动态引用证明。
+
+### 原创前端变换示例
+- 把“Slide Statements”应用到一个局部组件/Hook/Composable/Service 范围内，先记录行为契约，只迁移一个职责片段，并立即验证输出、事件与状态变化保持不变。
+
+## RF-SPLIT-LOOP — 拆分循环（Split Loop）
+
+### 意图
+把同时承担多个独立任务的循环拆成多个聚焦循环。
+
+### 典型信号
+- 当前结构出现与本手法目标一致的重复、耦合、命名、职责、数据所有权或控制流问题，并有具体代码证据。
+
+### 不适用条件
+- 当前结构已经清晰，或该变换会制造更强耦合、隐藏依赖、破坏公共契约且没有兼容方案时，不使用。
+
+### 前置条件
+- 已明确当前可观察行为、受影响调用者和公共契约。
+- 目标位于声明的差异预算内，并且这个单一主要变换完成后能够立即验证。
+
+### 操作步骤
+1. 确认当前行为、调用者和边界，并锁定本步骤只处理这一项主要结构意图。
+2. 创建最小的新结构/位置/接口，让旧行为可以逐步迁移而不是一次性大改。
+3. 一次迁移一个调用点或职责片段，并保持兼容边界。
+4. 运行窄范围验证；若变红，先回滚本步骤，再缩小变换。
+
+### 行为保持检查点
+- 对比输入、输出、异常、副作用、执行顺序和公共契约。
+- 前端还要核对 UI 状态、事件、焦点、网络请求、生命周期/状态迁移，以及相关对象身份语义。
+
+### 相关坏味道
+- `SMELL-LONG-FUNCTION`
+
+### 常见组合
+- 不建立固定流水线；下一步必须重新依据证据选择。
+
+### JavaScript 注意事项
+- 模块初始化顺序、循环依赖、闭包和动态 import 会让“搬文件”变成行为变化。
+
+### TypeScript 注意事项
+- 保持导出类型、路径别名、包边界以及 type-only/runtime import 区别。
+
+### React 注意事项
+- 检查 Hook 规则、Server/Client 边界、lazy/Suspense、路由和事件顺序。
+
+### Vue 注意事项
+- 检查 composable 生命周期、Pinia 所有权、async setup、route guard 和 auto-import。
+
+### Frontend-Craft 前端适配
+- 行为应跟随数据所有权和变化责任；死代码实际删除必须经过专门 cleanup lane 的动态引用证明。
+
+### 原创前端变换示例
+- 把“Split Loop”应用到一个局部组件/Hook/Composable/Service 范围内，先记录行为契约，只迁移一个职责片段，并立即验证输出、事件与状态变化保持不变。
+
+## RF-REPLACE-LOOP-WITH-PIPELINE — 以管道取代循环（Replace Loop with Pipeline）
+
+### 意图
+当循环本质是集合过滤、映射或聚合时，用意图更清晰的管道表达。
+
+### 典型信号
+- 当前结构出现与本手法目标一致的重复、耦合、命名、职责、数据所有权或控制流问题，并有具体代码证据。
+
+### 不适用条件
+- 当前结构已经清晰，或该变换会制造更强耦合、隐藏依赖、破坏公共契约且没有兼容方案时，不使用。
+
+### 前置条件
+- 已明确当前可观察行为、受影响调用者和公共契约。
+- 目标位于声明的差异预算内，并且这个单一主要变换完成后能够立即验证。
+
+### 操作步骤
+1. 确认当前行为、调用者和边界，并锁定本步骤只处理这一项主要结构意图。
+2. 创建最小的新结构/位置/接口，让旧行为可以逐步迁移而不是一次性大改。
+3. 一次迁移一个调用点或职责片段，并保持兼容边界。
+4. 运行窄范围验证；若变红，先回滚本步骤，再缩小变换。
+
+### 行为保持检查点
+- 对比输入、输出、异常、副作用、执行顺序和公共契约。
+- 前端还要核对 UI 状态、事件、焦点、网络请求、生命周期/状态迁移，以及相关对象身份语义。
+
+### 相关坏味道
+- `SMELL-LOOPS`
+
+### 常见组合
+- 不建立固定流水线；下一步必须重新依据证据选择。
+
+### JavaScript 注意事项
+- 模块初始化顺序、循环依赖、闭包和动态 import 会让“搬文件”变成行为变化。
+
+### TypeScript 注意事项
+- 保持导出类型、路径别名、包边界以及 type-only/runtime import 区别。
+
+### React 注意事项
+- 检查 Hook 规则、Server/Client 边界、lazy/Suspense、路由和事件顺序。
+
+### Vue 注意事项
+- 检查 composable 生命周期、Pinia 所有权、async setup、route guard 和 auto-import。
+
+### Frontend-Craft 前端适配
+- 行为应跟随数据所有权和变化责任；死代码实际删除必须经过专门 cleanup lane 的动态引用证明。
+
+### 原创前端变换示例
+- 把“Replace Loop with Pipeline”应用到一个局部组件/Hook/Composable/Service 范围内，先记录行为契约，只迁移一个职责片段，并立即验证输出、事件与状态变化保持不变。
+
+## RF-REMOVE-DEAD-CODE — 移除死代码（Remove Dead Code）
+
+### 意图
+移除已经证明不存在运行时或受支持工具链用途的代码；实际发现和删除由现有 cleanup lane 执行。
+
+### 典型信号
+- 代码疑似无引用，但必须进一步检查 dynamic import、route、Storybook、i18n key、Tailwind 动态 class、runtime template 和外部消费者。
+
+### 不适用条件
+- 没有完成动态引用与外部消费者证明时，不执行删除。
+
+### 前置条件
+- 已明确当前可观察行为、受影响调用者和公共契约。
+- 目标位于声明的差异预算内，并且这个单一主要变换完成后能够立即验证。
+
+### 操作步骤
+1. 确认当前行为、调用者和边界，并锁定本步骤只处理这一项主要结构意图。
+2. 创建最小的新结构/位置/接口，让旧行为可以逐步迁移而不是一次性大改。
+3. 一次迁移一个调用点或职责片段，并保持兼容边界。
+4. 运行窄范围验证；若变红，先回滚本步骤，再缩小变换。
+
+### 行为保持检查点
+- 对比输入、输出、异常、副作用、执行顺序和公共契约。
+- 前端还要核对 UI 状态、事件、焦点、网络请求、生命周期/状态迁移，以及相关对象身份语义。
+
+### 相关坏味道
+- `SMELL-SPECULATIVE-GENERALITY`
+
+### 常见组合
+- 不建立固定流水线；下一步必须重新依据证据选择。
+
+### JavaScript 注意事项
+- 模块初始化顺序、循环依赖、闭包和动态 import 会让“搬文件”变成行为变化。
+
+### TypeScript 注意事项
+- 保持导出类型、路径别名、包边界以及 type-only/runtime import 区别。
+
+### React 注意事项
+- 检查 Hook 规则、Server/Client 边界、lazy/Suspense、路由和事件顺序。
+
+### Vue 注意事项
+- 检查 composable 生命周期、Pinia 所有权、async setup、route guard 和 auto-import。
+
+### Frontend-Craft 前端适配
+- 行为应跟随数据所有权和变化责任；死代码实际删除必须经过专门 cleanup lane 的动态引用证明。
+
+### 原创前端变换示例
+- 某组件看似未使用时，先检查 lazy import、路由、Storybook、i18n、动态样式和 runtime template；实际删除交给 `fec-refactor-clean`。

package/localized/zh-CN/skills/fec-refactoring-validation/SKILL.md

@@ -0,0 +1,52 @@
+---
+name: fec-refactoring-validation
+description: 用于证明前端重构保持了既有行为、选择合适的安全网、逐步验证结构修改，或依据证据给出 PASS、PARTIAL、NOT PROVEN 的行为保持结论。
+---
+
+# 技能：重构验证
+
+## 用途
+
+定义可观察行为契约，并为每个结构步骤选择足够且不过度的验证证据。
+
+## 流程
+
+1. 在重要编辑前记录相关行为契约。
+2. 将安全网分为 A、B、C 三个等级。
+3. 运行并记录修改前基线。
+4. 根据当前步骤的风险和边界选择验证方式。
+5. 每个结构步骤后立即运行最小有效检查。
+6. 新增失败出现时先回滚当前步骤，再扩大排查。
+7. 最后运行与影响面匹配的更广门禁。
+8. 只按证据给出 PASS、PARTIAL 或 NOT PROVEN。
+
+纯结构重构使用 **GREEN → REFACTOR → GREEN**。
+
+## 安全网等级
+
+| 等级 | 证据 | 执行建议 |
+| --- | --- | --- |
+| A — 强 | 既有测试直接覆盖相关行为 | 直接作为主要安全网 |
+| B — 部分 | 重要行为覆盖不完整 | 高风险步骤前补当前行为的特征测试 |
+| C — 无 | 没有有效自动化覆盖 | 不自动安装框架；CAUTION/DANGER 默认只规划，除非已授权补最小安全网 |
+
+## 前端行为契约清单
+
+按实际范围检查：函数输入输出、异常和错误映射；DOM、可见状态、焦点、键盘和无障碍语义；props、emits、slots、Hook/Composable 返回值和事件顺序；请求、载荷、取消、重试、缓存键和加载/错误状态；store、持久化、对象身份、memoization、响应式和生命周期；路由、URL、guard、包导出、序列化字段和后端 DTO。
+
+## 参考资料
+
+- 构建行为契约和证明等级见 [behavior-preservation.md](references/behavior-preservation.md)。
+- 按前端风险选择目标验证见 [refactoring-test-checklist.md](references/refactoring-test-checklist.md)。
+
+## 约束
+
+- 无关测试通过不能证明行为保持。
+- 只在修改后新增并通过的测试，证据弱于可比较的修改前基线。
+- 不因为重构改变了行为就改测试期望值。
+- 证据不足时不能用 PASS 掩盖缺口。
+- 未经明确授权不安装新的测试框架。
+
+## 预期输出
+
+输出行为契约、基线状态、安全网等级、逐步验证、最终门禁、覆盖缺口，以及 PASS、PARTIAL 或 NOT PROVEN 结论。

package/localized/zh-CN/skills/fec-refactoring-validation/references/behavior-preservation.md

@@ -0,0 +1,15 @@
+# 行为保持
+
+## 构建行为契约
+
+开始结构修改前，只记录受影响边界真正需要保持的观察结果：输入和归一化、返回值和顺序、异常/错误、副作用、UI 状态、焦点和事件、请求与状态迁移、持久化、React/Vue 身份语义、公开导出、路由和序列化字段。
+
+## 特征测试
+
+重要行为缺乏覆盖时，在风险较高的结构修改前补一个描述当前实际行为的窄范围测试。它首次运行可以直接通过，因为目标是锁定既有行为，不是增加新要求。
+
+## 结论等级
+
+- **PASS**：相关契约明确，修改前后基线可比较，要求的检查通过。
+- **PARTIAL**：检查通过，但仍有重要路径缺乏足够自动化或可重复证据。
+- **NOT PROVEN**：依赖无法安装、工具无法运行、基线不清或安全网不足，不能可信证明行为保持。

package/localized/zh-CN/skills/fec-refactoring-validation/references/refactoring-test-checklist.md

@@ -0,0 +1,25 @@
+# 重构验证检查表
+
+## 局部函数/模块
+
+检查目标单测、受影响模块类型、调用方契约以及公开导出是否保持。
+
+## React
+
+检查 Hook 顺序和依赖、闭包时效、受控/非受控状态所有权、memoization/引用相等、effect 清理和请求取消、事件顺序以及相关 Server/Client 与水合边界。
+
+## Vue
+
+检查 `ref`/`reactive` 身份和解包、computed 是否仍保持派生语义、watch source/flush/cleanup、props/emits/slots/expose 以及 Pinia 状态和持久化。
+
+## API 与数据
+
+检查请求形状、header、认证刷新、取消、重试和错误；字段改名是否越过 DTO/存储/URL/后端契约；排序和过滤是否保留顺序、重复项和边界值；值对象/引用对象转换是否保持必要身份。
+
+## 路由与运行时注册
+
+检查 route name/path/guard、dynamic import、lazy 注册、Storybook、i18n、CSS/Tailwind 动态 class、运行时模板和生成 metadata。
+
+## 最终阶梯
+
+按“目标测试 → 受影响集成 → lint/typecheck → 全量测试 → build → 实际受影响的 E2E/SSR/视觉/无障碍/性能门禁”逐步扩大验证。

package/localized/zh-CN/skills/fec-security-review/SKILL.md

@@ -5,6 +5,22 @@ description: 用于审查前端安全风险，如 XSS、CSRF、敏感数据暴
 
 # 前端安全审查
 
+## 评审模式与覆盖范围
+
+用户明确指定的范围优先于默认行为。采用以下三种审核模式：
+
+- **改动审核**：仅在明确要求或当前任务已明确最近改动、本次修改、暂存区、PR 或提交上下文时，审核这些改动及必要上下文。本地模式在请求范围内检查暂存、未暂存差异及相关未跟踪项目文件；仅要求暂存区时只审核暂存改动。无改动时说明没有可审核的改动，不自动切换到最近提交或扩大范围。
+- **指定范围审核**：用户指定文件或目录时，建立范围内文件清单，审核其中现有代码，包括未改动代码；不要求 Git 差异。
+- **全项目审核（默认）**：未指定范围或改动上下文，或明确要求审核整个项目时，建立项目自有前端代码、相关测试、配置和依赖声明的清单，再按模块分批审核，包括未改动代码；不要求 Git 差异。
+
+先选择范围，再收集差异。仅指定文件或目录表示全量审核该范围；路径与明确改动请求同时出现时，仅增量审核该路径的改动。未限定的调用即使存在 Git 改动也默认全项目审核。开始审核时说明选定模式和目标范围。修改后自动委托审核时，显式传入本次改动范围，避免无范围调用触发全项目审核。
+
+默认排除依赖目录、构建产物、缓存、生成文件和第三方代码，并记录排除项。保持前端职责边界，不宣称完成后端专项审核。目标不存在或范围内无相关文件时，明确说明，不替换为其他范围。
+
+跨批次合并同根因发现。报告记录**审核模式、目标范围、已审核文件或模块、排除项、未覆盖文件或模块、完成状态及验证命令和结果**。受上下文或执行预算限制时，标记部分完成并列出剩余模块，不宣称已完成全项目覆盖。为理解上下文而读取调用方或执行全项目 lint/类型检查，不计为完成这些文件的人工审核。
+
+改动审核保留合并建议；指定范围和全项目审核使用风险评估（低 / 中 / 高，并标明阻塞问题），不宣称合并就绪。保留严重程度、证据要求和报告文件命名。除非用户明确要求修复，否则仅输出报告。
+
 ## 用途
 
 识别前端代码中的客户端安全风险，并给出可执行修复建议。
@@ -36,3 +52,7 @@ description: 用于审查前端安全风险，如 XSS、CSRF、敏感数据暴
 ## 预期输出
 
 输出 CRITICAL/HIGH/MEDIUM/LOW 分级安全审查报告，每个问题关联具体文件和行号，给出修复建议；报告保存为 `reports/security-review-YYYY-MM-DD-HHmmss.md`。
+
+## 工程实践
+
+按当前任务读取[本入口工程细则](references/engineering-practices.md)，再按链接选择公共原则。规则级别与例外以实际项目契约为准；不因产品前后端标签限制语言或职责。