@boyingliu01/xp-gate 0.32.1 → 0.32.3

package/plugins/claude-code/skills/sprint-flow/references/phase-3-build.md

@@ -236,6 +236,27 @@ Without these events, the Harness can only infer changes from file diffs and has
 
 ---
 
+## 工具调用效率自检（P2 硬性 — 2026-10-30 诊断）
+
+> BUILD 阶段是工具调用最密集的阶段，也是"等待时间长"的主要来源。依据
+> `docs/plans/2026-10-30-dev-speed-diagnosis.md`：工具延迟占总耗时 58%，其中 32.7% 的
+> shell 调用是纯读取/搜索、calls/step 仅 1.03、`job_output` 阻塞 66.5 h。以下四条在 BUILD
+> 期间是硬性自检项，不满足不得宣称 REQ 完成。
+
+| ❌ 低效做法 | ✅ 正确做法 |
+|------------|------------|
+| `cat` / `Get-Content` / `sed -n` / `head` 读文件 | 用 `read` 原生工具（毫秒级，可并发） |
+| `grep` / `rg` / `Select-String` / `findstr` 搜内容 | 用 `grep` 原生工具 |
+| `find` / `ls` / `Get-ChildItem` 找文件 | 用 `glob` 原生工具 |
+| 一个一个发独立调用（改完再想下一个） | 多个互不依赖的调用放进**同一步**并发发出 |
+| 用 `job_output wait:true` / `sleep` 反复阻塞等长任务 | `run_in_background` + 完成通知，需要时短超时取一次 |
+| 打包/发布/插件改动只靠 CI 发现契约破坏 | 先写契约测试（`plugins/dsh/src/contract.test.ts` 范式），本地先红 |
+
+**验收目标**：纯读取 shell 占比 <5%（现 32.7%）；calls/step ≥2.0（现 1.03）；`job_output`
+调用数下降 ≥50%。这三项在 `xp-gate retro` 的 activity 统计里可复查。
+
+---
+
 ## Blind Review — Read-Only Subagent Convention (v0.18.0+, 证据型标准步骤)
 
 **Purpose**: Code review by an isolated subagent with read-only tool access. Replaces the former `freeze/unfreeze` mechanism.

package/plugins/claude-code/skills/test-specification-alignment/AGENTS.md

@@ -1,9 +1,9 @@
 # SKILLS/TEST-SPECIFICATION-ALIGNMENT KNOWLEDGE BASE
 
-**Generated:** 2026-10-29
-**Commit:** 101a0ff3
+**Generated:** 2026-10-30
+**Commit:** e5ca7d9d
 **Branch:** main
-**Version:** 0.32.1.0
+**Version:** 0.32.3.0
 
 ## OVERVIEW
 Test-Specification Alignment Engine — two-stage validation ensuring tests accurately reflect requirements and design specs.

package/plugins/dsh/README.md

@@ -124,6 +124,48 @@ Delphi 方法的价值**完全建立在「评审者是不同模型」之上**。
 `{ ok: true }` 是**无条件**返回的常量，"把退出码契约换成了一个常量，而不是真正的结果信号"。
 机制**拒绝**给出共识，而不是盖章通过 —— 这正是它该有的行为。
 
+## 配置界面（Plugins 页）
+
+插件声明了 `dsh.client`（`platform: web`），在 Web GUI 里注册一个**行配置页**：
+
+**侧边栏 Plugins → `@boyingliu01/dsh-plugin-xp-gate` → 组件 `tool-xp-gate` → 配置**
+
+该页面可以编辑 Delphi 三席（角色 / 模型）、网关、密钥引用与共识参数；模型可从
+**宿主已配置的 provider 目录**下拉选择，也可手填。
+
+### 来源优先级
+
+| 优先级 | 来源 | 说明 |
+|---|---|---|
+| 1 | 本插件配置里的 `delphi` 段（本页写入） | 一旦保存了席位，评审就用它 |
+| 2 | 项目根 `.delphi-config.json` | 席位为空时自动回落，老项目**无需改动** |
+
+页面上如果 `seats` 为空，评审继续走 `.delphi-config.json`，所以**打开页面不会静默改变行为**。
+
+### 宿主强制的不变量（不是表单装饰）
+
+表单只是方便，**宿主是权威**。每次评审前 `seatsFromSettings` 重新校验：
+
+- 恰好 3 席
+- 3 个 model 去空白后两两不同
+- 模型不得为空或未展开的 `${...}` 占位符
+- 配了席位就必须有 `base_url`
+- `api_key` 必须是**凭据引用**（`${VAR}` / `{env:VAR}`）；写入明文 token 会被拒绝，
+  因为那会把密钥落到 profile 文件里
+
+> 为什么不在表单里就拦死：DSH 的 settings 表单只能编辑 `.volatile()` 字段，
+> 而 volatile 意味着**保存即热生效**。对"每次运行都花钱"的配置来说，前端校验不够，
+> 所以校验放在宿主、在发出任何请求之前。
+
+### 关于 `bash` 守卫
+
+`delphiGuard` 用**只读工具白名单**判定：只有 `read` / `grep` / `glob` / `read_image` /
+XP-Gate 自己的报告类工具算只读，**其余一律视为可写**（包括 `bash`、`pwsh` 和将来新增的工具）。
+
+早期版本用"已知写工具黑名单"（`write` / `edit` / `str_replace_editor`），
+`bash` 一条命令就能改文件，等于这道 HARD-GATE 可绕过。白名单的代价是可能**误拦**新加的
+只读工具——那会表现为"拦得太狠"，而不是"悄悄放行"。
+
 ## Skills
 
 本包在 publish 时通过 `scripts/prepack.cjs` 捆绑仓库 `skills/`（当前 12 个）。
@@ -171,7 +213,7 @@ subagent model selection:
 
 ```bash
 npm install --ignore-scripts   # --ignore-scripts 绕过 esbuild postinstall（受限环境会 EBUSY）
-npm run build                  # tsc -> lib/
+npm run build                  # tsc -> lib/，并把 client/client.js 复制成 lib/client.js
 npm run prepare-skills         # 从仓库 skills/ 复制
 npm test                       # vitest
 ```
@@ -182,9 +224,16 @@ npm test                       # vitest
 npm run build:dsh-plugin       # = node scripts/build-plugin.mjs --platform dsh
 ```
 
+> `client/client.js` 是**手写**的浏览器 bundle，不走 tsc：它以 DSH 的客户端模块格式
+> (`window.__ModuleLoader__.load`) 编写，引用了浏览器全局，不是 TypeScript 模块。
+> `npm run build` 的第二步（`scripts/copy-client.cjs`）负责把它放进 `lib/`。
+
 ## 注意
 
-- `lib/` 与 `skills/` 是**构建产物**（已 gitignore），不提交。
+- `lib/` 与 `skills/` 是**构建产物**（已 gitignore），不提交；`client/client.js` 是**源文件**，要提交。
 - `scripts/prepack.cjs` 的 skill 列表为**动态发现**（读取仓库 `skills/`），不硬编码。
 - `plugins/dsh/package.json` 的 peerDeps 仍 pin `0.1.1-rc.2`，但实测运行在 `0.2.0-rc.2` 上
   `defineTool` / `TOOL_ABORTED` / `HarnessError` 签名未变，无需改写。
+- **配置项只有在导出 `Config` 之后才会显示。** 0.31.4 及更早的构建没有导出
+  `Config`，所以 `dsh --profile <name> --dump-config-schema` 里该行落在
+  `unknownConfig`，Plugins 页也就没有可编辑的字段。安装 0.32.x 后这一项自愈。