@dforce2055/dai 0.8.2 → 0.10.0

package/{.env.example → .env.dai.example}

@@ -1,6 +1,6 @@
-# dai · configuración del adaptador de PM (copiar a .env y completar).
-# El .env está gitignoreado para no filtrar secretos. Este .example SÍ se versiona.
-# Las variables ya exportadas en la shell/CI ganan sobre el .env.
+# dai · configuración del adaptador de PM (copiar a .env.dai y completar).
+# El .env.dai NO se versiona (evita filtrar secretos) y el .env del equipo no se toca
+# (ADR-0017). Este .example SÍ se versiona. Precedencia: shell/CI > .env.dai > .env.
 
 # ── Backend del tracker ──────────────────────────────────────────────────────
 # md | jira | clickup

package/CHANGELOG.md

@@ -3,6 +3,85 @@
 Formato basado en [Keep a Changelog](https://keepachangelog.com/). Versionado semver
 (ver `VERSION`).
 
+## [0.10.0] — 2026-07-18
+
+**La config de dai deja de vivir en el `.env` del equipo y pasa a un `.env.dai` propio (no
+versionado). Resuelve el caso de las empresas que versionan el `.env` como política: dai no
+toca ese archivo y guarda sus secretos donde git realmente los ignora. Y `dai init` estrena
+una bienvenida con el Sol de Mayo en bloques.**
+
+### Agregado
+- **Banner de bienvenida en `dai init`**: el Sol de Mayo de dai en bloques (cuerpo y rayos
+  rectos en oro, rayos ondulados en celeste) junto al título, más un preview de lo que se va
+  a configurar. Cero dependencias (solo ANSI); degrada a ASCII sin color en no-TTY o con
+  `NO_COLOR`.
+- **`dai skills install --from npm:@scope/pkg`** — nueva fuente para skills externas
+  ([ADR-0013](docs/adr/0013-skills-externas-install-from.md)): además de git URL y path
+  local, ahora un **paquete npm**. dai hace `npm install` a un temp (respetando el `.npmrc`
+  del repo, así resuelve **registries privados con scope**; `npm pack` no sirve con los
+  registries de grupo de GitLab). Es común distribuir skills como paquete npm; antes había
+  que materializarlo a mano.
+- **Descripciones en bloque YAML (`|` / `>`) en el frontmatter de las skills.** El parser
+  de frontmatter ahora lee bloques literales/plegados multilínea (antes tomaba solo la
+  primera línea `|` y el validador lo rechazaba). Es como se escriben las skills reales:
+  descripciones ricas con "USAR CUANDO / NO USAR CUANDO" que el agente usa para elegirlas.
+
+### Cambiado
+- **`dai init` escribe en `.env.dai` + `.env.dai.example`, no en `.env`/`.env.example`**
+  ([ADR-0017](docs/adr/0017-env-dai.md)). El `.env` del equipo queda intacto (dai solo lo
+  lee). `.env.dai` (secretos) se gitignorea; `.env.dai.example` (plantilla) se versiona.
+  En un repo sin `.env`, dai ya no crea uno: es del equipo, no de dai.
+- **El loader lee `.env.dai` y `.env`** con precedencia **shell/CI > `.env.dai` > `.env`**.
+  Seguir leyendo `.env` mantiene la compatibilidad: los repos que ya tenían los `DAI_*` ahí
+  no se rompen.
+- **`.gitignore`**: dai ignora `.env.dai` (su archivo), no `.env`. Ya no fuerza un ignore
+  sobre un archivo que muchas orgs versionan a propósito.
+- Se renombró el `.env.example` del paquete a `.env.dai.example`, y se actualizaron doctor,
+  mensajes de init/sync, tutoriales, constitución y README a la nueva convención.
+
+### Interno
+- **228 tests** (+4 desde 0.9.0): precedencia de `loadDaiEnv` (shell > `.env.dai` > `.env`),
+  compat con `.env`, y sin-archivos. Smokes de `dai init` con y sin `.env` preexistente.
+
+## [0.9.0] — 2026-07-17
+
+**El review de dai deja de ser un comentario al final del hilo y pasa a ser un review
+_inline_: un resumen más un comentario anclado a cada `archivo:línea`, clasificado
+low/medium/high — como el de Copilot, pero con la puerta humana y la validación que a
+Copilot le faltan.**
+
+### Agregado
+- **`dai forge review <ref> --from <review.json>`** — review inline en GitHub y GitLab.
+  La skill `dai-review` produce un `review.json` (el criterio); el CLI hace lo mecánico
+  (ADR-0002): **valida que cada `path:line` exista de verdad en el diff** —traído con git,
+  local, por SSH— antes de salir a la red. Inventar líneas es el error más común de un
+  LLM revisando código, y el forge responde `422` sin decir cuál falló; en GitHub, que es
+  atómico, un hallazgo inventado tira los buenos. Lo descartado y lo filtrado **se
+  reportan**, nunca se caen en silencio.
+- **Puerta humana explícita.** Sin `--yes` no se postea nada: se muestra el preview y se
+  corta. `--dry-run` valida sin postear. Modo desatendido para reviews simples
+  (`--yes --min-severity --min-confidence --max-comments`), pero es una **excepción que
+  el humano pide**, no un default. El review sale siempre con `event: COMMENT`, nunca
+  `APPROVE` — dai comenta, la persona firma ([Art. 5](docs/MANIFIESTO.md#art-5)).
+- **Aviso de release en Discord.** Publicar un release de GitHub dispara el workflow
+  `discord-release.yml`, que postea al canal vía el secreto `DISCORD_WEBHOOK_URL`. El
+  secreto vive en GitHub Actions, nunca en el repo; el workflow no viaja en el paquete
+  npm (`.github/` fuera de `files`), así que no le impone notificaciones a nadie que use
+  dai. Ver [ADR-0016](docs/adr/0016-review-inline.md).
+
+### Cambiado
+- **`getPR` expone `headSha`, `baseRef` y `diffRefs`** — hacían falta para anclar un
+  comentario inline (GitHub necesita el sha del head; GitLab exige los tres shas de
+  `diff_refs` en cada comentario). `dai init` agrega `.dai/reviews/` al `.gitignore` del
+  repo (un review a medio editar no se commitea; `.dai/` sigue versionándose).
+
+### Interno
+- **224 tests** (+40): el parser de diff con varios hunks y archivos borrados, el
+  descarte de líneas inventadas por lado, los filtros de severidad/confianza/tope, y la
+  asimetría GitHub (atómico) vs. GitLab (no atómico: reporta los parciales en vez de
+  fingir atomicidad). Probado end-to-end contra una PR real: el comentario quedó inline
+  en el archivo, el review salió `COMMENTED`, y el hallazgo alucinado nunca tocó la red.
+
 ## [0.8.2] — 2026-07-17
 
 **Dos agujeros que destapó el uso real, y que tienen la misma forma: dai hacía algo
@@ -366,6 +445,8 @@ ClickUp y Jira Cloud.
 - Tests de las rutas de red (jira/clickup/forge) con `fetch` mockeado. Sin links rotos;
   `files` de npm sin tests ni secretos.
 
+[0.10.0]: https://github.com/dforce2055/dai/releases/tag/v0.10.0
+[0.9.0]: https://github.com/dforce2055/dai/releases/tag/v0.9.0
 [0.8.2]: https://github.com/dforce2055/dai/releases/tag/v0.8.2
 [0.8.1]: https://github.com/dforce2055/dai/releases/tag/v0.8.1
 [0.8.0]: https://github.com/dforce2055/dai/releases/tag/v0.8.0

package/README.md

@@ -63,10 +63,10 @@ Y después, en el chat del asistente, según lo que tengas:
 
 > Las skills **te interrogan** hasta que la historia es testeable (nunca inventan
 > requerimientos: los sacan a preguntas), y la **publican en el tracker** que configuraste
-> (`DAI_PM` en el `.env`): por el **MCP** de Jira/ClickUp si está conectado, o con
+> (`DAI_PM` en el `.env.dai`): por el **MCP** de Jira/ClickUp si está conectado, o con
 > **`dai publish <us.md>`** si no (crea el issue vía token). Tú respondes y decides.
 
-¿Sin MCP, o querés publicar a mano? `dai publish` sube el `.md` al tracker y te devuelve el key:
+¿Sin MCP, o quieres publicar a mano? `dai publish` sube el `.md` al tracker y te devuelve el key:
 
 ```bash
 dai publish historia.md                                # crea la US → devuelve el key
@@ -87,7 +87,7 @@ Una vez, preparas el repo:
 ```bash
 npm i -g @dforce2055/dai
 cd mi-repo && dai init          # bootstrap: skills + tracker + OpenSpec + PR template
-# completa el token del tracker en .env  (o DAI_PM=md para probar sin credenciales)
+# completa el token del tracker en .env.dai  (o DAI_PM=md para probar sin credenciales)
 dai doctor                      # verifica que todo quedó en su lugar
 ```
 
@@ -106,18 +106,18 @@ dai check                       # ¿tu código sigue al día con la US?  ✅ /
 dai pr --assignee <compañero>   # crea la PR precargada y se la asigna a un compañero
 ```
 ```text
-/dai-review <PR>                # tu compañero deja un review estándar; un humano aprueba
+/dai-review <PR>                # tu compañero deja un review inline (comentario por línea); un humano aprueba
 ```
 ```bash
 dai stamp                       # al mergear: estampa la cobertura en el tracker
 ```
 
-> **Para que `dai pr` cree la PR/MR** necesitás el CLI del forge instalado y autenticado, una
+> **Para que `dai pr` cree la PR/MR** necesitas el CLI del forge instalado y autenticado, una
 > sola vez por máquina:
 > - **GitHub** → [`gh`](https://cli.github.com) · `gh auth login`
 > - **GitLab** → [`glab`](https://gitlab.com/gitlab-org/cli) · `glab auth login --hostname <tu-gitlab>`
 >   — en un GitLab self-hosted/corporativo el `--hostname` es **obligatorio**, y el token va con
->   scope `api`. (En Windows, tras instalar `glab` con `winget`, abrí una terminal nueva para que
+>   scope `api`. (En Windows, tras instalar `glab` con `winget`, abre una terminal nueva para que
 >   tome el PATH.)
 >
 > Sin el CLI del forge, `dai pr` **igual pushea tu branch** y te dice qué instalar — después
@@ -164,15 +164,15 @@ flowchart TD
 | 9 | **Code review propio** | revisas tu implementación (correctitud + calidad) antes de la PR | dev |
 | 10 | **Smoke test** | pides al agente un smoke local del flujo | dev + IA |
 | 11 | **Crear la PR** | `dai pr` → pregunta la branch base, arma el texto, lo muestra, confirma, pushea y crea la PR/MR | dev |
-| 12 | **Review de un partner** | skill `/dai-review <PR>` deja un comentario estándar; un humano aprueba | partner |
+| 12 | **Review de un partner** | skill `/dai-review <PR>` deja un **review inline** (resumen + un comentario por línea, low/medium/high); te muestra el preview y **espera tu OK** antes de postear; un humano aprueba | partner |
 | 13 | **Merge + estampar** | al mergear: `dai stamp` → cobertura inversa en el tracker | dev / CI |
 | 14 | **Cerrar la US** | `dai done` → vuelve a la base, actualiza y borra la branch local (si está mergeada) | dev |
 
 > **Paso 3b (publicar):** el MCP crea el issue interactivamente; `dai publish` necesita el
-> token del tracker en `.env` (Jira además `DAI_JIRA_PROJECT`, ClickUp `DAI_CLICKUP_LIST_ID`).
+> token del tracker en `.env.dai` (Jira además `DAI_JIRA_PROJECT`, ClickUp `DAI_CLICKUP_LIST_ID`).
 >
 > **Paso 7 (OpenSpec):** `dai init` te ofrece instalarlo **e inicializarlo** solo. Si los
-> comandos `/opsx:*` no aparecen en el asistente, reinicia el IDE (se cargan al arrancar).
+> comandos `/opsx:*` no aparecen en el asistente, reinicia el IDE (se cargan al iniciar).
 >
 > **Paso 11 (PR):** necesita un remoto git (`origin`) y `gh`/`glab` autenticado. Sin remoto,
 > dai no crea la PR (te deja el texto listo igual).
@@ -183,8 +183,8 @@ flowchart TD
 |---|---|
 | `dai init [<repo>]` | scaffolder interactivo del repo. Flags: `--for claude\|copilot\|both\|cursor\|all` (asistente, default `all`) · `--pm md\|jira\|clickup` (tracker) · `--openspec` |
 | `dai skills install [--global \| --local <repo>] [--force] [--dry-run] [--for claude\|copilot\|cursor\|all]` | instala/actualiza las skills de dai en Claude, Copilot y/o Cursor (`--for all` por defecto; Copilot global → `~/.copilot/skills`, local → `.github/skills/`). `--force` re-copia. Alias: **`dai install`**. Ej: `dai skills install --local . --for cursor --force` |
-| `dai skills install --from <git-url\|path>[#ref] [--for …]` | instala **skills externas** (por-stack: .NET, Java, …) desde un repo/dir, **convertidas para los 3 asistentes**. Self-service, one-off, sin registro; `dai sync` no las toca. Colisión con una skill de dai → salta ([ADR-0013](docs/adr/0013-skills-externas-install-from.md)). Ej: `dai skills install --from github.com/mi-org/net-skills` |
-| `dai sync [--dry-run] [--for <asistentes>]` | **refresca** skills, constitución, templates y PR template a la versión del CLI — **aditivo** (no pisa tu `CLAUDE.md`), no toca el `.env` ni OpenSpec. Detecta los asistentes del repo o pasás `--for`. `--dry-run` muestra qué cambiaría ([ADR-0010](docs/adr/0010-versionado-y-upgrade.md)) |
+| `dai skills install --from <git-url\|npm:pkg\|path>[#ref] [--for …]` | instala **skills externas** (por-stack: .NET, Java, …) desde un repo/dir/**paquete npm**, **convertidas para los 3 asistentes**. Self-service, one-off, sin registro; `dai sync` no las toca. Colisión con una skill de dai → salta ([ADR-0013](docs/adr/0013-skills-externas-install-from.md)). Ej: `dai skills install --from github.com/mi-org/net-skills` · `dai skills install --from npm:@mi-org/ui-skills` (usa el `.npmrc` del repo → registries privados OK) |
+| `dai sync [--dry-run] [--for <asistentes>]` | **refresca** skills, constitución, templates y PR template a la versión del CLI — **aditivo** (no pisa tu `CLAUDE.md`), no toca el `.env.dai` ni OpenSpec. Detecta los asistentes del repo o pasás `--for`. `--dry-run` muestra qué cambiaría ([ADR-0010](docs/adr/0010-versionado-y-upgrade.md)) |
 | `dai upgrade [--check] [--dry-run]` · alias `dai update` | **actualiza el CLI global** a la última publicada (`npm i -g …@latest`) — self-update. **No toca el repo**: reporta el drift del scaffold pero deja el `dai sync` al mantenedor. `--check` solo informa · `--dry-run` muestra el comando ([ADR-0012](docs/adr/0012-upgrade-self-update-del-cli.md)) |
 | `dai publish <us.md> [--parent KEY] [--issuetype T] [--field alias=valor]` | crea la US en el tracker (Jira/ClickUp/md) desde un `.md` y devuelve el key — el fallback del MCP para publicar sin el asistente. `--parent PROJ-42` la cuelga de su épica · `--issuetype Epic` publica una épica (fallback CLI de `grill-epic`) · `--field clasificacion=Mejora` (repetible) manda los campos propios que exige tu Jira, declarados en `.dai/jira-fields.json` ([ADR-0015](docs/adr/0015-jira-corporativo.md)) |
 | `dai link-us <ID> [--us <md>]` | crea branch + `implements.yaml`; sin `--us` trae la US del tracker |
@@ -195,27 +195,30 @@ flowchart TD
 | `dai stamp` | estampa la cobertura inversa en el tracker (branch + commit-ancla) |
 | `dai done [--base main] [--force]` | cierra la US: vuelve a la base, `fetch --prune` + `pull`, y borra la branch local **si está mergeada** (chequeo estricto; `--force` la borra igual). Redes: no estar en la base, sin cambios sueltos, sin commits sin pushear |
 | `dai archive [<change>] [--skip-specs]` | **funde los delta specs del change en las specs canónicas** (`openspec/specs/`) y lo archiva. Lo corre el **aprobador** de la PR (gate de aprobación, [ADR-0011](docs/adr/0011-archive-gate-de-aprobacion.md)); detecta el change activo o le pasás el nombre. Envuelve `openspec archive` |
-| `dai forge comment <ref> --body-file <f>` · `dai forge pr <ref>` | comentar / leer una PR/MR (GitHub/GitLab) |
+| `dai forge review <ref> --from <review.json>` `[--dry-run\|--yes]` | **review inline**: un resumen + un comentario anclado a cada `archivo:línea`, clasificado low/medium/high. **Valida cada posición contra el diff** (descarta lo que el modelo inventó) antes de postear; sin `--yes` muestra el preview y no postea nada. Modo desatendido: `--min-severity`/`--min-confidence`/`--max-comments`. El review sale con `event: COMMENT`, nunca `APPROVE` ([ADR-0016](docs/adr/0016-review-inline.md)) |
+| `dai forge comment <ref> --body-file <f>` · `dai forge pr <ref>` | comentar / leer una PR/MR (GitHub/GitLab) — el fallback simple, sin anclar |
 | `dai ac-hash <us.md>` | calcula el hash de los criterios de aceptación de una US |
 | `dai doctor` · `dai docs <dest>` · `dai version` | diagnóstico del entorno (incluye **version-drift** del scaffold) · copiar la doc · versión (`dai version` avisa si tu repo quedó atrás) |
 
 > **🆕 Mantené tu repo al día — `dai sync`.** Las skills, la constitución y los templates son un
 > *caché derivable* del CLI. Cuando actualizás `dai` (`dai upgrade`), **`dai doctor` y
 > `dai version` te avisan solos** si tu scaffold quedó atrás — con color y un `⬆️` —, y **`dai sync`**
-> lo refresca: **aditivo** (conserva tu `CLAUDE.md` propio), sin tocar el `.env` ni OpenSpec. Probá sin
+> lo refresca: **aditivo** (conserva tu `CLAUDE.md` propio), sin tocar el `.env.dai` ni OpenSpec. Prueba sin
 > riesgo con `dai sync --dry-run`. El versionado es semver: patch/minor no rompen nada; solo un major
 > pediría migración. ([ADR-0010](docs/adr/0010-versionado-y-upgrade.md))
 
 > **🧩 Skills de cualquier stack — `dai skills install --from`.** Además de las skills de
-> dai, cada equipo suma las suyas (por-stack: .NET, Java, Rust…) desde su propio repo:
-> `dai skills install --from github.com/tu-org/net-skills`. dai las **convierte para los 3
-> asistentes** (Claude/Cursor/Copilot) e instala. **dai es el distribuidor de skills de
-> cualquier stack, sin opinar sobre su contenido** — self-service, sin registro; `dai sync`
-> sigue siendo solo de dai. ([ADR-0013](docs/adr/0013-skills-externas-install-from.md))
+> dai, cada equipo suma las suyas (por-stack: .NET, Java, Rust…) desde su propio repo o
+> **paquete npm**: `dai skills install --from github.com/tu-org/net-skills` · `dai skills
+> install --from npm:@tu-org/ui-skills` (el paquete npm usa el `.npmrc` del repo, así
+> resuelve registries privados con scope). dai las **convierte para los 3 asistentes**
+> (Claude/Cursor/Copilot) e instala. **dai es el distribuidor de skills de cualquier stack,
+> sin opinar sobre su contenido** — self-service, sin registro; `dai sync` sigue siendo solo
+> de dai. ([ADR-0013](docs/adr/0013-skills-externas-install-from.md))
 >
 > La fuente puede ser **pública, privada (por SSH) o un path local**: dai no hace auth
-> propia, delega en git — **si podés `git clone` el repo, dai instala desde ahí**. Para
-> privados usá la forma SSH (`git@github.com:tu-org/net-skills.git`), consistente con el
+> propia, delega en git — **si puedes `git clone` el repo, dai instala desde ahí**. Para
+> privados usa la forma SSH (`git@github.com:tu-org/net-skills.git`), consistente con el
 > modelo de auth de dai ([ADR-0007](docs/adr/0007-modelo-de-autenticacion.md)). Público =
 > cero fricción entre equipos/máquinas.
 >
@@ -228,8 +231,9 @@ flowchart TD
 > en [`skills/`](skills/).
 
 Skills (se invocan en el asistente): `/doc-to-backlog` · `/grill-intent` · `/grill-epic` · `/grill-user-story` · `/link-us` ·
-`/tdd` · `/dai-review`. Config del tracker (`md`\|`jira`\|`clickup`) y tokens: en `.env` —
-ver [`.env.example`](.env.example). Auth (SSH + tokens): [ADR-0007](docs/adr/0007-modelo-de-autenticacion.md).
+`/tdd` · `/dai-review`. Config del tracker (`md`\|`jira`\|`clickup`) y tokens: en `.env.dai`
+(no versionado; el `.env` del equipo no se toca — [ADR-0017](docs/adr/0017-env-dai.md)) —
+ver [`.env.dai.example`](.env.dai.example). Auth (SSH + tokens): [ADR-0007](docs/adr/0007-modelo-de-autenticacion.md).
 
 ## El flag `--for` — ¿para qué asistente preparo el repo?
 
@@ -261,7 +265,7 @@ Después de `dai init` (con `--for all`):
 ```
 mi-repo/
 ├── CLAUDE.md                       · Constitución del proyecto (auto-cargada por Claude)
-├── .env                            · configurado con tu tracker (gitignored, completa el token)
+├── .env.dai                        · tu tracker (NO versionado, completa el token) + .env.dai.example (plantilla, sí versionada)
 ├── .claude/skills/                 · Las skills, locales al repo (el equipo las hereda)
 │   └── doc-to-backlog · grill-intent · grill-epic · grill-user-story · link-us · tdd · dai-review
 ├── .github/
@@ -328,12 +332,12 @@ Además: [`docs/glosario.md`](docs/glosario.md) · guías por rol ([`po`](docs/g
 dai/
 ├── cli/            🖥️  el binario `dai` (Node, cero dependencias) + su suite de tests
 ├── docs/           📖  la metodología: MANIFIESTO · METODOLOGIA · SCRUM-CON-IA · EJEMPLO ·
-│                       glosario · guias/ · detalle/ (10 pasos) · adr/ (0001–0009)
+│                       glosario · guias/ · detalle/ (10 pasos) · adr/ (0001–0016)
 ├── templates/      🧩  los moldes (formato-us · epica · DoR · DoD · adr · pull-request)
 ├── skills/         🤖  doc-to-backlog · grill-intent · grill-epic · grill-user-story · link-us · tdd · dai-review
 ├── governance/     🛡️  branch-naming · ci-rules · commit-convention
 ├── index.html      📊  landing autocontenido (la historia); publicable por GitHub Pages
-└── manifest.yaml · VERSION · install.sh (shim) · .env.example
+└── manifest.yaml · VERSION · install.sh (shim) · .env.dai.example
 ```
 
 ## Licencia
@@ -350,9 +354,17 @@ Detalle en [ADR-0006](docs/adr/0006-distribucion-y-licencia.md).
 
 ## Agradecimientos
 
-dai se apoya en ideas y aprendizajes de la comunidad. En particular, gracias a
-**[Matt Pocock](https://github.com/mattpocock)** por su aporte con las *skills* y por su
-[canal de YouTube](https://www.youtube.com/@mattpocockuk) explicándolas — su trabajo nos ayudó
-a construir esta herramienta.
+dai se apoya en ideas y herramientas de la comunidad.
+
+Un agradecimiento especial a **[OpenSpec](https://github.com/Fission-AI/OpenSpec)** (de
+[Fission AI](https://github.com/Fission-AI), `@fission-ai/openspec`): es la herramienta
+sobre la que se construye todo el **CÓMO** de dai — explorar la solución, proponer el diseño
+y las tareas, e implementar el change (`opsx:explore → propose → apply → archive`). dai no
+la bundlea ni la reemplaza; se apoya en ella para convertir el QUÉ en un plan técnico
+trazable. Sin OpenSpec, la mitad del método no existiría.
+
+Y gracias a **[Matt Pocock](https://github.com/mattpocock)** por su aporte con las *skills*
+y por su [canal de YouTube](https://www.youtube.com/@mattpocockuk) explicándolas — su
+trabajo nos ayudó a construir esta herramienta.
 
 Seguridad: [`SECURITY.md`](SECURITY.md) · Conducta: [`CODE_OF_CONDUCT.md`](CODE_OF_CONDUCT.md)

package/VERSION

@@ -1 +1 @@
-0.8.2
+0.10.0