@colin4k1024/tsp 2.4.0

package/rules/cpp/patterns.md

@@ -0,0 +1,51 @@
+---
+paths:
+  - "**/*.cpp"
+  - "**/*.hpp"
+  - "**/*.cc"
+  - "**/*.hh"
+  - "**/*.cxx"
+  - "**/*.h"
+  - "**/CMakeLists.txt"
+---
+# C++ Patterns
+
+> This file extends [common/patterns.md](../common/patterns.md) with C++ specific content.
+
+## RAII (Resource Acquisition Is Initialization)
+
+Tie resource lifetime to object lifetime:
+
+```cpp
+class FileHandle {
+public:
+    explicit FileHandle(const std::string& path) : file_(std::fopen(path.c_str(), "r")) {}
+    ~FileHandle() { if (file_) std::fclose(file_); }
+    FileHandle(const FileHandle&) = delete;
+    FileHandle& operator=(const FileHandle&) = delete;
+private:
+    std::FILE* file_;
+};
+```
+
+## Rule of Five/Zero
+
+- **Rule of Zero**: Prefer classes that need no custom destructor, copy/move constructors, or assignments
+- **Rule of Five**: If you define any of destructor/copy-ctor/copy-assign/move-ctor/move-assign, define all five
+
+## Value Semantics
+
+- Pass small/trivial types by value
+- Pass large types by `const&`
+- Return by value (rely on RVO/NRVO)
+- Use move semantics for sink parameters
+
+## Error Handling
+
+- Use exceptions for exceptional conditions
+- Use `std::optional` for values that may not exist
+- Use `std::expected` (C++23) or result types for expected failures
+
+## Reference
+
+See skill: `cpp-coding-standards` for comprehensive C++ patterns and anti-patterns.

package/rules/cpp/security.md

@@ -0,0 +1,51 @@
+---
+paths:
+  - "**/*.cpp"
+  - "**/*.hpp"
+  - "**/*.cc"
+  - "**/*.hh"
+  - "**/*.cxx"
+  - "**/*.h"
+  - "**/CMakeLists.txt"
+---
+# C++ Security
+
+> This file extends [common/security.md](../common/security.md) with C++ specific content.
+
+## Memory Safety
+
+- Never use raw `new`/`delete` — use smart pointers
+- Never use C-style arrays — use `std::array` or `std::vector`
+- Never use `malloc`/`free` — use C++ allocation
+- Avoid `reinterpret_cast` unless absolutely necessary
+
+## Buffer Overflows
+
+- Use `std::string` over `char*`
+- Use `.at()` for bounds-checked access when safety matters
+- Never use `strcpy`, `strcat`, `sprintf` — use `std::string` or `fmt::format`
+
+## Undefined Behavior
+
+- Always initialize variables
+- Avoid signed integer overflow
+- Never dereference null or dangling pointers
+- Use sanitizers in CI:
+  ```bash
+  cmake -DCMAKE_CXX_FLAGS="-fsanitize=address,undefined" ..
+  ```
+
+## Static Analysis
+
+- Use **clang-tidy** for automated checks:
+  ```bash
+  clang-tidy --checks='*' src/*.cpp
+  ```
+- Use **cppcheck** for additional analysis:
+  ```bash
+  cppcheck --enable=all src/
+  ```
+
+## Reference
+
+See skill: `cpp-coding-standards` for detailed security guidelines.

package/rules/cpp/testing.md

@@ -0,0 +1,44 @@
+---
+paths:
+  - "**/*.cpp"
+  - "**/*.hpp"
+  - "**/*.cc"
+  - "**/*.hh"
+  - "**/*.cxx"
+  - "**/*.h"
+  - "**/CMakeLists.txt"
+---
+# C++ Testing
+
+> This file extends [common/testing.md](../common/testing.md) with C++ specific content.
+
+## Framework
+
+Use **GoogleTest** (gtest/gmock) with **CMake/CTest**.
+
+## Running Tests
+
+```bash
+cmake --build build && ctest --test-dir build --output-on-failure
+```
+
+## Coverage
+
+```bash
+cmake -DCMAKE_CXX_FLAGS="--coverage" -DCMAKE_EXE_LINKER_FLAGS="--coverage" ..
+cmake --build .
+ctest --output-on-failure
+lcov --capture --directory . --output-file coverage.info
+```
+
+## Sanitizers
+
+Always run tests with sanitizers in CI:
+
+```bash
+cmake -DCMAKE_CXX_FLAGS="-fsanitize=address,undefined" ..
+```
+
+## Reference
+
+See skill: `cpp-testing` for detailed C++ testing patterns, TDD workflow, and GoogleTest/GMock usage.

package/rules/csharp/coding-style.md

@@ -0,0 +1,72 @@
+---
+paths:
+  - "**/*.cs"
+  - "**/*.csx"
+---
+# C# Coding Style
+
+> This file extends [common/coding-style.md](../common/coding-style.md) with C#-specific content.
+
+## Standards
+
+- Follow current .NET conventions and enable nullable reference types
+- Prefer explicit access modifiers on public and internal APIs
+- Keep files aligned with the primary type they define
+
+## Types and Models
+
+- Prefer `record` or `record struct` for immutable value-like models
+- Use `class` for entities or types with identity and lifecycle
+- Use `interface` for service boundaries and abstractions
+- Avoid `dynamic` in application code; prefer generics or explicit models
+
+```csharp
+public sealed record UserDto(Guid Id, string Email);
+
+public interface IUserRepository
+{
+    Task<UserDto?> FindByIdAsync(Guid id, CancellationToken cancellationToken);
+}
+```
+
+## Immutability
+
+- Prefer `init` setters, constructor parameters, and immutable collections for shared state
+- Do not mutate input models in-place when producing updated state
+
+```csharp
+public sealed record UserProfile(string Name, string Email);
+
+public static UserProfile Rename(UserProfile profile, string name) =>
+    profile with { Name = name };
+```
+
+## Async and Error Handling
+
+- Prefer `async`/`await` over blocking calls like `.Result` or `.Wait()`
+- Pass `CancellationToken` through public async APIs
+- Throw specific exceptions and log with structured properties
+
+```csharp
+public async Task<Order> LoadOrderAsync(
+    Guid orderId,
+    CancellationToken cancellationToken)
+{
+    try
+    {
+        return await repository.FindAsync(orderId, cancellationToken)
+            ?? throw new InvalidOperationException($"Order {orderId} was not found.");
+    }
+    catch (Exception ex)
+    {
+        logger.LogError(ex, "Failed to load order {OrderId}", orderId);
+        throw;
+    }
+}
+```
+
+## Formatting
+
+- Use `dotnet format` for formatting and analyzer fixes
+- Keep `using` directives organized and remove unused imports
+- Prefer expression-bodied members only when they stay readable

package/rules/csharp/hooks.md

@@ -0,0 +1,25 @@
+---
+paths:
+  - "**/*.cs"
+  - "**/*.csx"
+  - "**/*.csproj"
+  - "**/*.sln"
+  - "**/Directory.Build.props"
+  - "**/Directory.Build.targets"
+---
+# C# Hooks
+
+> This file extends [common/hooks.md](../common/hooks.md) with C#-specific content.
+
+## PostToolUse Hooks
+
+Configure in `~/.claude/settings.json`:
+
+- **dotnet format**: Auto-format edited C# files and apply analyzer fixes
+- **dotnet build**: Verify the solution or project still compiles after edits
+- **dotnet test --no-build**: Re-run the nearest relevant test project after behavior changes
+
+## Stop Hooks
+
+- Run a final `dotnet build` before ending a session with broad C# changes
+- Warn on modified `appsettings*.json` files so secrets do not get committed

package/rules/csharp/patterns.md

@@ -0,0 +1,50 @@
+---
+paths:
+  - "**/*.cs"
+  - "**/*.csx"
+---
+# C# Patterns
+
+> This file extends [common/patterns.md](../common/patterns.md) with C#-specific content.
+
+## API Response Pattern
+
+```csharp
+public sealed record ApiResponse<T>(
+    bool Success,
+    T? Data = default,
+    string? Error = null,
+    object? Meta = null);
+```
+
+## Repository Pattern
+
+```csharp
+public interface IRepository<T>
+{
+    Task<IReadOnlyList<T>> FindAllAsync(CancellationToken cancellationToken);
+    Task<T?> FindByIdAsync(Guid id, CancellationToken cancellationToken);
+    Task<T> CreateAsync(T entity, CancellationToken cancellationToken);
+    Task<T> UpdateAsync(T entity, CancellationToken cancellationToken);
+    Task DeleteAsync(Guid id, CancellationToken cancellationToken);
+}
+```
+
+## Options Pattern
+
+Use strongly typed options for config instead of reading raw strings throughout the codebase.
+
+```csharp
+public sealed class PaymentsOptions
+{
+    public const string SectionName = "Payments";
+    public required string BaseUrl { get; init; }
+    public required string ApiKeySecretName { get; init; }
+}
+```
+
+## Dependency Injection
+
+- Depend on interfaces at service boundaries
+- Keep constructors focused; if a service needs too many dependencies, split responsibilities
+- Register lifetimes intentionally: singleton for stateless/shared services, scoped for request data, transient for lightweight pure workers

package/rules/csharp/security.md

@@ -0,0 +1,58 @@
+---
+paths:
+  - "**/*.cs"
+  - "**/*.csx"
+  - "**/*.csproj"
+  - "**/appsettings*.json"
+---
+# C# Security
+
+> This file extends [common/security.md](../common/security.md) with C#-specific content.
+
+## Secret Management
+
+- Never hardcode API keys, tokens, or connection strings in source code
+- Use environment variables, user secrets for local development, and a secret manager in production
+- Keep `appsettings.*.json` free of real credentials
+
+```csharp
+// BAD
+const string ApiKey = "sk-live-123";
+
+// GOOD
+var apiKey = builder.Configuration["OpenAI:ApiKey"]
+    ?? throw new InvalidOperationException("OpenAI:ApiKey is not configured.");
+```
+
+## SQL Injection Prevention
+
+- Always use parameterized queries with ADO.NET, Dapper, or EF Core
+- Never concatenate user input into SQL strings
+- Validate sort fields and filter operators before using dynamic query composition
+
+```csharp
+const string sql = "SELECT * FROM Orders WHERE CustomerId = @customerId";
+await connection.QueryAsync<Order>(sql, new { customerId });
+```
+
+## Input Validation
+
+- Validate DTOs at the application boundary
+- Use data annotations, FluentValidation, or explicit guard clauses
+- Reject invalid model state before running business logic
+
+## Authentication and Authorization
+
+- Prefer framework auth handlers instead of custom token parsing
+- Enforce authorization policies at endpoint or handler boundaries
+- Never log raw tokens, passwords, or PII
+
+## Error Handling
+
+- Return safe client-facing messages
+- Log detailed exceptions with structured context server-side
+- Do not expose stack traces, SQL text, or filesystem paths in API responses
+
+## References
+
+See skill: `security-review` for broader application security review checklists.

package/rules/csharp/testing.md

@@ -0,0 +1,46 @@
+---
+paths:
+  - "**/*.cs"
+  - "**/*.csx"
+  - "**/*.csproj"
+---
+# C# Testing
+
+> This file extends [common/testing.md](../common/testing.md) with C#-specific content.
+
+## Test Framework
+
+- Prefer **xUnit** for unit and integration tests
+- Use **FluentAssertions** for readable assertions
+- Use **Moq** or **NSubstitute** for mocking dependencies
+- Use **Testcontainers** when integration tests need real infrastructure
+
+## Test Organization
+
+- Mirror `src/` structure under `tests/`
+- Separate unit, integration, and end-to-end coverage clearly
+- Name tests by behavior, not implementation details
+
+```csharp
+public sealed class OrderServiceTests
+{
+    [Fact]
+    public async Task FindByIdAsync_ReturnsOrder_WhenOrderExists()
+    {
+        // Arrange
+        // Act
+        // Assert
+    }
+}
+```
+
+## ASP.NET Core Integration Tests
+
+- Use `WebApplicationFactory<TEntryPoint>` for API integration coverage
+- Test auth, validation, and serialization through HTTP, not by bypassing middleware
+
+## Coverage
+
+- Target 80%+ line coverage
+- Focus coverage on domain logic, validation, auth, and failure paths
+- Run `dotnet test` in CI with coverage collection enabled where available

package/rules/escalation-policy.md

@@ -0,0 +1,16 @@
+# Escalation Policy
+
+## 必须升级到 `tech-lead` 的场景
+
+- 需求范围、优先级或时间目标发生冲突。
+- 两个及以上角色对方案、质量或放行结论不一致。
+- 存在明显的跨团队依赖、外部阻塞或资源不足。
+- 线上故障影响范围扩大或超出既定止血窗口。
+
+## 升级信息最少要求
+
+- 发生了什么。
+- 影响了谁。
+- 已做了什么。
+- 现在卡在哪里。
+- 建议决策选项和推荐方案。

package/rules/frontend-design-knowledge-base.md

@@ -0,0 +1,43 @@
+# Frontend Design Knowledge Base
+
+## 用途
+
+- 作为公司级前端设计知识库索引，统一连接共享 Skill、规则、模板和专题 runbook。
+- 帮助 `tech-lead`、`frontend-engineer`、`qa-engineer` 在同一套词汇和标准下协作。
+
+## 共享 Skill
+
+- [frontend-engineering](../skills/frontend-engineering/SKILL.md)
+- [frontend-ui-ux-system](../skills/frontend-ui-ux-system/SKILL.md)
+
+## 参考资料
+
+- [React/Next 基线](../skills/frontend-engineering/references/react-next-baseline.md)
+- [组件模式](../skills/frontend-engineering/references/component-patterns.md)
+- [工程质量检查表](../skills/frontend-engineering/references/quality-checklist.md)
+- [产品类型与风格映射](../skills/frontend-ui-ux-system/references/product-style-map.md)
+- [设计 Token 体系](../skills/frontend-ui-ux-system/references/design-tokens.md)
+- [交互、无障碍与反馈](../skills/frontend-ui-ux-system/references/interaction-accessibility.md)
+- [交付前清单](../skills/frontend-ui-ux-system/references/delivery-checklist.md)
+- [DESIGN.md Token 字段映射](../skills/frontend-ui-ux-system/references/design-md-integration.md)
+
+## 模板
+
+- [design-system-brief.md](../templates/design-system-brief.md)
+- [ui-implementation-plan.md](../templates/ui-implementation-plan.md)
+- [ui-review-checklist.md](../templates/ui-review-checklist.md)
+- [DESIGN.md 主模板](../templates/DESIGN.md)
+
+## 使用建议
+
+1. `tech-lead` 在 intake 和 plan 阶段先用本索引确定需要哪些前端资产。
+2. `frontend-engineer` 实施前优先阅读共享 Skill 和参考资料，而不是临时发明规则。
+3. `qa-engineer` 评审时以门禁和清单为准，不只凭主观观感给结论。
+
+## DESIGN.md 品牌参考库
+
+- **官方仓库**：[awesome-design-md](https://github.com/VoltAgent/awesome-design-md)（69+ 品牌，持续更新）
+- **在线预览**：[getdesign.md](https://getdesign.md/)
+- **使用工作流**：[docs/runbooks/design-md-workflow.md](../docs/runbooks/design-md-workflow.md)
+- **推荐命令**：`npx getdesign@latest add <brand>`（在项目根目录执行，生成 DESIGN.md）
+- **企业管理类推荐**：`notion`（温暖极简）、`linear.app`（SaaS 超极简）、`hashicorp`（企业简洁）

package/rules/frontend-engineering-standards.md

@@ -0,0 +1,55 @@
+# Frontend Engineering Standards
+
+## 默认技术基线
+
+- 第一优先基线为 `TypeScript + React + Next.js + Tailwind`。
+- 若项目不是该栈，优先迁移“组件边界、状态分层、语义化、可访问性、性能”这些原则，不强行照搬具体 API。
+- 前端需求默认要求复用共享能力 `frontend-engineering` 与 `frontend-ui-ux-system`。
+- 企业内部应用若受集团架构白皮书约束，还需要显式确认统一框架、基础组件库、数据流方案和兼容性基线。
+
+## 组件与目录约束
+
+- 一个组件只承担一个主职责；容器编排、展示渲染、数据适配不要混成超大文件。
+- 页面级文件负责路由、数据入口和组合；复杂交互逻辑下沉到 hooks 或 service 层。
+- 组件命名和目录结构要让人能从路径直接看懂“页面、区块、基础组件、数据适配”的层次。
+- 优先使用组合而不是深层继承式封装。
+
+## React / Next 实现约束
+
+- 能在服务端获取的数据优先在服务端获取；只有确实需要浏览器能力或即时交互时才进入 client 组件。
+- 本地 state 只保留 UI 状态；服务端数据、表单状态、临时派生状态不要无序混放。
+- 明确 loading、empty、error、success 四类状态，不允许只处理成功态。
+- 路由、布局、权限和导航状态要可追溯，不把关键页面行为藏在副作用里。
+
+## 企业内控补充
+
+- 内部应用默认优先使用集团认可的前端框架、基础组件和公共能力，不单独发明重复的基础设施层。
+- 浏览器兼容性、静态资源、监控埋点和统一登录等企业能力，需要在实现计划里说明是否复用集团方案。
+- 如果需要引入新的前端基础库、状态管理方案或非集团标准组件，必须在 ADR 或实现计划中记录原因、影响面和回退方案。
+
+## 语义化与可访问性
+
+- 结构优先使用语义化 HTML，表单控件必须有显式标签。
+- 交互元素必须支持键盘访问、焦点可见和屏幕阅读器可理解的名称。
+- 图标按钮、图片、图表、状态提示都要有非颜色依赖的说明方式。
+- 任何“为了好看去掉 focus ring”的做法都视为回归。
+
+## 样式与设计 Token
+
+- 组件中不要写散落的原始色值、字号、圆角、阴影、层级和间距常量。
+- 所有视觉值优先走 token 或约定变量；新增样式前先检查是否已有同类 token。
+- 响应式优先移动端基线，再向更大断点增强，不靠固定像素宽容器兜底。
+- 不允许用大面积覆盖式 `!important`、魔法数字 `z-index` 或硬编码布局修补设计缺口。
+
+## 性能与质量
+
+- 首屏内容、关键交互和滚动列表要显式考虑包体、渲染次数和资源加载顺序。
+- 图片和媒体必须考虑尺寸预留、压缩格式和懒加载策略，避免布局抖动。
+- 列表、图表、大表单要有性能策略，不默认接受“以后再优化”。
+- 每次前端交付都要留下自测证据，至少覆盖主路径、边界态、异常态和响应式结果。
+
+## 代码评审基线
+
+- 评审不只看“能不能跑”，还要看边界、语义、复用、可维护性和体验退化。
+- 若改动引入新的设计 token、组件模式或交互范式，必须在交付中说明原因和适用范围。
+- 进入 QA 前应补齐 [ui-review-checklist.md](../templates/ui-review-checklist.md)。

package/rules/frontend-quality-gates.md

@@ -0,0 +1,38 @@
+# Frontend Quality Gates
+
+## 适用范围
+
+- 任何包含页面、组件、样式、交互、导航、表单、图表或前端资源发布的变更，都必须经过本门禁。
+
+## `/team-intake` 与 `/team-plan`
+
+- 已锁定目标端、核心页面/组件、产品类型和设计约束。
+- 已明确设计 token 是否沿用、扩展还是重构。
+- 已定义响应式基线、可访问性红线和前端性能关注点。
+- 已指定需要产出的前端模板：`design-system-brief`、`ui-implementation-plan`、`ui-review-checklist` 中的哪些项。
+
+## `/team-execute`
+
+- 实现与接口/方案一致，关键 loading、empty、error、success 状态完整。
+- 视觉值遵循 token 体系，没有新增无来源的散装样式常量。
+- 响应式、键盘访问、标签说明、焦点状态和交互反馈自测完成。
+- 已通过 [ui-review-checklist.md](../templates/ui-review-checklist.md) 留下证据。
+
+## `/team-review`
+
+- QA 已验证视觉一致性、交互完整性、边界态、异常态、可访问性和前端性能。
+- 阻塞问题与非阻塞风险分级清晰，且指向具体页面、组件或用户路径。
+- 放行建议包含前端特有风险，例如小屏适配、资源加载、导航回退、图表可读性。
+
+## `/team-release`
+
+- 已定义上线后的关键页面 smoke 范围和回滚触发条件。
+- 已明确静态资源、缓存、监控指标和用户反馈观察项。
+- 若性能预算或体验门禁未达标，必须由 `tech-lead` 显式接受风险，不能默认放行。
+
+## 一票否决项
+
+- 只实现成功态，没有边界态或异常态。
+- 可点击目标过小、焦点不可见、标签缺失或颜色成为唯一状态标识。
+- 关键页面出现明显布局抖动、横向滚动或不可恢复的交互死路。
+- 没有交付可追溯的前端自测/评审证据。

package/rules/frontend-ui-ux-standards.md

@@ -0,0 +1,49 @@
+# Frontend UI/UX Standards
+
+## 视觉方向
+
+- 每个前端需求都要先确定产品类型、视觉目标、信息密度和品牌语气。
+- 同一条链路中的页面与组件必须共享一套设计 token，不允许“页面各自选风格”。
+- 图标、插图、阴影、边框和留白要统一语言；不混搭互相冲突的视觉风格。
+
+## 布局与响应式
+
+- 以移动端优先的断点策略组织布局，再向平板和桌面增强。
+- 页面不得出现无意的横向滚动，关键操作不能只在某一端可用。
+- 信息层级靠栅格、留白和字号建立，不靠堆颜色或堆边框制造层次。
+- 对表格、图表、过滤器和多列布局要定义小屏降级策略。
+
+## 字体与颜色
+
+- 正文基线不低于 `16px`，常规段落行高建议 `1.5` 左右。
+- 文本和背景对比度必须满足可访问性要求；正文内容按 `4.5:1` 作为默认红线。
+- 颜色必须通过语义 token 表达状态和层级，不在组件内直接散写原始颜色。
+- 不把颜色作为唯一状态信号，重要反馈要同时依赖文案、图标或形态。
+
+## 交互与动效
+
+- 微交互要有明确目的，用于提示状态变化、空间关系或操作结果。
+- 常规动效时长控制在 `150ms-300ms`，过渡不应影响任务完成速度。
+- 动效优先使用不触发布局抖动的属性，并考虑 `prefers-reduced-motion`。
+- 加载、提交、保存、删除等关键动作必须给出即时反馈和可理解的进行中状态。
+
+## 表单与反馈
+
+- 字段要有可见标签、帮助信息、错误提示和成功反馈，不能只靠 placeholder。
+- 错误信息要靠近字段并说明如何修正，不只在页面顶部堆一段总提示。
+- 对高风险操作使用渐进式披露和二次确认，不要一次把所有复杂度抛给用户。
+- 空态、异常态、无权限态和加载态都属于正式设计范围。
+
+## 导航与数据展示
+
+- 导航层级要稳定，返回路径可预测，不因为页面类型变化而改变基本导航位置。
+- 导航项需要文本标签；仅图标导航只能用于用户已高度熟悉的极小范围。
+- 图表与数据视图必须兼顾可读性和可访问性，图例、单位、异常值说明不能缺失。
+- 图表在小屏上要有简化或重排策略，不默认要求用户横向滚动。
+
+## 硬性门禁
+
+- 交互目标触达面积至少满足移动端可点击基线，默认以 `44x44` 为下限。
+- 焦点状态不能被移除；键盘路径、屏幕阅读器标签和状态播报必须可用。
+- 设计稿或视觉方案不能作为跳过性能、异常态和无障碍要求的理由。
+- 前端交付进入 QA 前必须完成 [ui-review-checklist.md](../templates/ui-review-checklist.md)。

package/rules/golang/README.md

@@ -0,0 +1,8 @@
+# Golang Rules
+
+本目录覆盖 Go 专项规则。
+
+## 入口
+
+- 代码风格：[coding-style.md](coding-style.md)
+- 测试：[testing.md](testing.md)

package/rules/golang/coding-style.md

@@ -0,0 +1,12 @@
+# Golang Coding Style
+
+## 默认实践
+
+- 错误显式处理，不隐藏在层层包装后失去上下文。
+- context 传递和取消语义保持一致，不把它当万能参数包。
+- 包边界清楚，避免循环依赖和超大 util 包。
+
+## 并发
+
+- goroutine 生命周期可追踪，资源释放和退出条件明确。
+- channel 用来表达明确协作关系，不把它当临时全局总线。

package/rules/golang/testing.md

@@ -0,0 +1,12 @@
+# Golang Testing
+
+## 默认重点
+
+- handler、service、repository 边界和错误路径。
+- 并发逻辑的取消、超时、竞态和资源回收。
+- 配置、环境变量和依赖注入的可测性。
+
+## 建议
+
+- 用表驱动测试覆盖分支组合。
+- 对高风险并发逻辑优先设计可重复、可观察的验证方式。