@dianzhong/create-harness-app 0.1.0

package/templates/harness/full/.claude/skills/vue-best-practices/references/updated-hook-performance.md

@@ -0,0 +1,193 @@
+---
+title: Avoid Expensive Operations in Updated Hook
+impact: MEDIUM
+impactDescription: Heavy computations in updated hook cause performance bottlenecks and potential infinite loops
+type: capability
+tags: [vue3, vue2, lifecycle, updated, performance, optimization, reactivity]
+---
+
+# Avoid Expensive Operations in Updated Hook
+
+**Impact: MEDIUM** - The `updated` hook runs after every reactive state change that causes a re-render. Placing expensive operations, API calls, or state mutations here can cause severe performance degradation, infinite loops, and dropped frames below the optimal 60fps threshold.
+
+Use `updated`/`onUpdated` sparingly for post-DOM-update operations that cannot be handled by watchers or computed properties. For most reactive data handling, prefer watchers (`watch`/`watchEffect`) which provide more control over what triggers the callback.
+
+## Task List
+
+- Never perform API calls in updated hook
+- Never mutate reactive state inside updated (causes infinite loops)
+- Use conditional checks to verify updates are relevant before acting
+- Prefer `watch` or `watchEffect` for reacting to specific data changes
+- Use throttling/debouncing if updated operations are expensive
+- Reserve updated for low-level DOM synchronization tasks
+
+**BAD:**
+
+```javascript
+// BAD: API call in updated - fires on every re-render
+export default {
+  data() {
+    return { items: [], lastUpdate: null }
+  },
+  updated() {
+    // This runs after every single state change!
+    fetch('/api/sync', {
+      method: 'POST',
+      body: JSON.stringify(this.items),
+    })
+  },
+}
+```
+
+```javascript
+// BAD: State mutation in updated - infinite loop
+export default {
+  data() {
+    return { renderCount: 0 }
+  },
+  updated() {
+    // This causes another update, which triggers updated again!
+    this.renderCount++ // Infinite loop
+  },
+}
+```
+
+```javascript
+// BAD: Heavy computation on every update
+export default {
+  updated() {
+    // Expensive operation runs on every keystroke, every state change
+    this.processedData = this.heavyComputation(this.rawData)
+    this.analytics = this.calculateMetrics(this.allData)
+  },
+}
+```
+
+**GOOD:**
+
+```javascript
+import debounce from 'lodash-es/debounce'
+
+// GOOD: Use watcher for specific data changes
+export default {
+  data() {
+    return { items: [] }
+  },
+  watch: {
+    // Only fires when items actually changes
+    items: {
+      handler(newItems) {
+        this.syncToServer(newItems)
+      },
+      deep: true,
+    },
+  },
+  methods: {
+    syncToServer: debounce((items) => {
+      fetch('/api/sync', {
+        method: 'POST',
+        body: JSON.stringify(items),
+      })
+    }, 500),
+  },
+}
+```
+
+```vue
+<!-- GOOD: Composition API with targeted watchers -->
+<script setup>
+import { useDebounceFn } from '@vueuse/core'
+import { onUpdated, ref, watch } from 'vue'
+
+const items = ref([])
+const scrollContainer = ref(null)
+
+// Watch specific data - not all updates
+watch(
+  items,
+  (newItems) => {
+    syncToServer(newItems)
+  },
+  { deep: true },
+)
+
+const syncToServer = useDebounceFn((items) => {
+  fetch('/api/sync', { method: 'POST', body: JSON.stringify(items) })
+}, 500)
+
+// Only use onUpdated for DOM synchronization
+onUpdated(() => {
+  // Scroll to bottom only if content changed height
+  if (scrollContainer.value) {
+    scrollContainer.value.scrollTop = scrollContainer.value.scrollHeight
+  }
+})
+</script>
+```
+
+```javascript
+// GOOD: Conditional check in updated hook
+export default {
+  data() {
+    return {
+      content: '',
+      lastSyncedContent: '',
+    }
+  },
+  updated() {
+    // Only act if specific condition is met
+    if (this.content !== this.lastSyncedContent) {
+      this.syncContent()
+      this.lastSyncedContent = this.content
+    }
+  },
+  methods: {
+    syncContent: debounce(() => {
+      // Sync logic
+    }, 300),
+  },
+}
+```
+
+## Valid Use Cases for Updated Hook
+
+```javascript
+// GOOD: Low-level DOM synchronization
+export default {
+  updated() {
+    // Sync third-party library with Vue's DOM
+    this.thirdPartyWidget.refresh()
+
+    // Update scroll position after content change
+    this.$nextTick(() => {
+      this.maintainScrollPosition()
+    })
+  },
+}
+```
+
+## Prefer Computed Properties for Derived Data
+
+```javascript
+// BAD: Calculating derived data in updated
+export default {
+  data() {
+    return { numbers: [1, 2, 3, 4, 5] }
+  },
+  updated() {
+    this.sum = this.numbers.reduce((a, b) => a + b, 0) // Causes another update!
+  }
+}
+
+// GOOD: Use computed property instead
+export default {
+  data() {
+    return { numbers: [1, 2, 3, 4, 5] }
+  },
+  computed: {
+    sum() {
+      return this.numbers.reduce((a, b) => a + b, 0)
+    }
+  }
+}
+```

package/templates/harness/full/.editorconfig

@@ -0,0 +1,8 @@
+[*.{js,jsx,mjs,cjs,ts,tsx,mts,cts,vue,css,scss,sass,less,styl}]
+charset = utf-8
+indent_size = 2
+indent_style = space
+insert_final_newline = true
+trim_trailing_whitespace = true
+end_of_line = lf
+max_line_length = 100

package/templates/harness/full/.husky/commit-msg

@@ -0,0 +1 @@
+pnpm commitlint --edit "$1"

package/templates/harness/full/.husky/pre-commit

@@ -0,0 +1 @@
+pnpm lint-staged

package/templates/harness/full/.lintstagedrc.json

@@ -0,0 +1,4 @@
+{
+  "*.{vue,ts,mts,tsx,js,json,md,scss,css}": ["prettier --write"],
+  "*.{vue,ts,mts,tsx}": ["eslint --fix --cache", "oxlint --fix"]
+}

package/templates/harness/full/.nvmrc

@@ -0,0 +1 @@
+22.12.0

package/templates/harness/full/.oxlintrc.json

@@ -0,0 +1,11 @@
+{
+  "$schema": "./node_modules/oxlint/configuration_schema.json",
+  "plugins": ["eslint", "typescript", "unicorn", "oxc", "vue"],
+  "env": {
+    "browser": true
+  },
+  "categories": {
+    "correctness": "error"
+  },
+  "ignorePatterns": ["dist/**", "node_modules/**"]
+}

package/templates/harness/full/.prettierrc.json

@@ -0,0 +1,6 @@
+{
+  "$schema": "https://json.schemastore.org/prettierrc",
+  "semi": false,
+  "singleQuote": true,
+  "printWidth": 100
+}

package/templates/harness/full/AGENTS.md

@@ -0,0 +1,3 @@
+# Agents Guide
+
+See CLAUDE.md for the full project guide.

package/templates/harness/full/CLAUDE.md

@@ -0,0 +1,28 @@
+# Claude Code 项目指南
+
+本项目由 AI agent 辅助开发。Claude Code 是主要执行工具。
+
+## 项目事实
+- 技术栈：Vue 3、TypeScript、Vite、[在此填写 UI 库]、Pinia、Vue Router。
+- 包管理器：pnpm。
+- （在此补充：API 路径规范、路由约定、业务模型等项目专属信息）
+
+## 工作流
+- 先探索，再编辑；先读相关代码、规则和文档。
+- 优先沿用项目已有模式，不轻易创建新抽象。
+- 修改必须小而确定，可 review、可验证。
+
+## Vue 实现
+详细规则见 `.claude/rules/vue.md`。
+
+## 质量门禁与安全
+- 一般代码变更运行 `pnpm check`。
+- Harness 变更先运行 `pnpm harness:sync`，再运行 `pnpm harness:check`。
+- 不读取、不写入密钥文件（`.env*`、私钥、证书）。
+- 不自动提交；未经允许不执行破坏性操作。
+
+## Skills 与 Agent
+skill 决策见 `docs/harness-quick-reference.md`。
+
+## Git
+Commit message 使用 Conventional Commits（见 `docs/git.md`）。

package/templates/harness/full/GEMINI.md

@@ -0,0 +1,3 @@
+# Gemini Project Guide
+
+See CLAUDE.md for the full project guide.

package/templates/harness/full/commitlint.config.ts

@@ -0,0 +1,3 @@
+export default {
+  extends: ['@commitlint/config-conventional'],
+}

package/templates/harness/full/docs/ai-harness.md

@@ -0,0 +1,77 @@
+# AI Harness 规范
+
+本项目是公司第一个纯 AI 编写项目的工程底座。目标不是依赖某个最强模型的临场发挥，而是通过项目记忆、规则、hooks、subagents、skills 和自动校验，让不同模型在同一轨道上工作。
+
+这里的 harness 指 AI Harness / Claude Code Harness，不是 Harness.io，也不是测试 harness。
+
+## 目标
+
+- Claude Code 优先，同时让其他 agent 能从 `AGENTS.md` 读取同一套核心规则。
+- 每次 AI 改动都经过质量门禁和 code review subagent。
+- hooks 跨 macOS 和 Windows 可用，不依赖 `jq`、`bash` 或平台专属通知命令。
+- 重要规范进入仓库，可版本化、可 review、可复用。
+
+## 组成
+
+- `CLAUDE.md`：Claude Code 主入口，定义项目事实和执行流程。
+- `AGENTS.md`：模型通用入口，降低不同 agent 的理解差异。
+- `.claude/settings.json`：Claude Code 权限和 hooks 配置。
+- `.claude/hooks/*.cjs`：跨平台 Node hooks。
+- `.claude/agents/*.md`：项目级 review subagents。
+- `.claude/rules/*.md`：可按任务加载的细分规则。
+- `.claude/skills/`：Claude Code 项目 skills 源。
+- `.agents/skills/`：Codex 和其他 agent 使用的项目 skills 镜像。
+- `scripts/verify-skills.mjs`：校验 skills 文档和 lock 是否同步。
+- `scripts/sync-harness-docs.mjs`：校验 harness 文档入口是否完整、是否仍引用废弃清单。
+- `scripts/check-project-structure.mjs`：校验通用前端结构护栏，不固化当前占位业务。
+- `scripts/*.test.mjs`：校验 harness 脚本自身行为，防止门禁脚本静默漂移。
+- `docs/harness-quick-reference.md`：给团队和 AI agent 使用的速查表。
+- `docs/delivery-template.md`：AI 交付说明模板，要求每次交付暴露改动、影响范围、验证、人工复核项、人工决策和剩余风险。
+- `openspec/`：业务规格事实源；`specs/` 保存当前有效规格，`changes/` 保存 PRD 或口头需求变更。
+
+## 事实来源
+
+- Harness 配置以源文件为准，不维护单独的 generated 配置清单。
+- 权限和 hooks 以 `.claude/settings.json` 为准。
+- `.claude/settings.local.json` 只允许保存个人本地效率增强，不作为团队事实源。
+- Hook 行为以 `.claude/hooks/*.cjs` 为准。
+- Review agent 定义以 `.claude/agents/*.md` 为准；`.claude/settings.json` 中的 Stop agent 内联 prompt 是当前强制 review 入口。
+- Rules 以 `.claude/rules/*.md` 为准。
+- Skills 以 `.claude/skills/` 为源，`.agents/skills/` 为其他 agent 镜像，`skills-lock.json` 保存校验 hash。
+- 业务规格以 OpenSpec 的 `openspec/specs/` 为准；待确认或待实现的业务变更以 `openspec/changes/<change-id>/` 为准。
+- 人工审核交付格式以 `docs/delivery-template.md` 为准。
+
+## 执行流程
+
+1. 主 agent 探索代码和规则。
+2. 主 agent 实现变更。
+3. `Stop` hook 先运行 `pnpm format` 自动修复格式，再运行 `pnpm type-check`、`pnpm lint`、`pnpm harness:check`。注意：Stop hook 有意省略 `openspec:check`（该检查较慢，且仅在业务规格变更时有意义）；完整检查请手动运行 `pnpm check`。
+4. `Stop` agent hook 启动 review subagent。
+5. review subagent 返回 `HARNESS_REVIEW_RESULT: PASS` 或 `HARNESS_REVIEW_RESULT: FAIL`。
+6. 通过后发送系统通知；失败时阻止停止并要求主 agent 修复。
+7. 主 agent 按 `docs/delivery-template.md` 输出人工审核交接单，列出改动、影响范围、验证记录、人工复核项、人工决策和剩余风险。
+8. 即使强制 review 通过，仍需人工复核后再提交。
+
+## 质量门禁
+
+- `pnpm type-check`：Vue + TypeScript 类型校验。
+- `pnpm lint`：oxlint + ESLint。
+- `pnpm format:check`：校验 Prettier 格式一致性。
+- `pnpm check:fix`：显式执行格式化与 lint 自动修复。
+- `pnpm harness:structure`：通用前端结构护栏检查，覆盖 route meta 基础约束、动态菜单组件解析、明显第二套菜单/权限源和高风险 Element Plus 深层覆盖提示。
+- `pnpm harness:test`：运行 harness 脚本测试，覆盖结构检查、skill 校验和 hooks 基础行为。
+- `pnpm harness:check`：skills、docs、lock、入口文档、`.agents/skills` 镜像、项目结构护栏和 harness 脚本测试。
+- `pnpm build`：生产构建校验，适用于构建配置、路由、样式或依赖变更。
+
+## 维护规则
+
+- 修改 `.claude/settings.json` 时，必须同步检查 `.claude/hooks/` 和本文件。
+- 修改 `.claude/settings.local.json` 时，不得放宽敏感文件访问、破坏性 Git 或质量门禁；本地特权不写入团队默认配置。
+- 新增或更新 skill：同步规则见 `.claude/rules/skills-mcp.md`，不在此重复。
+- 修改 harness 配置后，先运行 `pnpm harness:sync` 再运行 `pnpm harness:check`。
+- 修改人工审核流程或交付要求时，同步 `docs/review-checklist.md` 和 `docs/delivery-template.md`。
+- 当前业务代码是占位实现，不允许把项目看板、审核流、mock 数据或临时页面形态沉淀为 harness 规则或工程规范。
+- 业务规格（页面布局、字段口径、状态机、角色权限矩阵、接口契约等）统一放在 OpenSpec。当前有效规格沉淀到 `openspec/specs/`；PRD 链接、钉钉文档更新或口头需求变更先建 `openspec/changes/<change-id>/`，明确来源、影响页面、接口影响、验收标准和待确认问题。
+- OpenSpec 不自动进入 Claude Code 默认上下文，由 AI 按任务需要主动 view。harness 文档（本文件、`docs/harness-quick-reference.md`、`docs/development.md`、`.claude/rules/*`、`CLAUDE.md`、`AGENTS.md`、`GEMINI.md`）只引用 OpenSpec 入口，不复制业务内容。
+- 反复使用的业务规则（全局权限矩阵、跨页面状态机）应做成 `.claude/skills/<name>/`，由 AI 按需加载。
+- `quality-gate.cjs stop` 是唯一允许自动格式化的 hook，用于 Stop 收尾；其他 hooks 不得自动格式化、暂存或改写 repo-tracked 文件。`lint-staged` 作为 pre-commit safety net 是另一处显式例外。

package/templates/harness/full/docs/delivery-template.md

@@ -0,0 +1,66 @@
+# AI 交付说明模板
+
+本模板用于让 AI 每次交付都能被人工快速审核。AI 不应只说"完成了"或"检查通过"，而要把改动、影响、验证、人工复核项和风险交代清楚。
+
+## 标准格式
+
+```text
+改动摘要：
+- ...
+
+影响范围：
+- 页面/组件：
+- 权限/角色：
+- 数据/接口：
+- 样式/路由/构建：
+
+AI 已验证：
+- pnpm check
+- pnpm build（如适用）
+- 浏览器验证（如适用，写明页面、角色、视口或交互路径）
+
+需要人工复核：
+- ...
+
+人工决策记录：
+- 已确认：
+- 待确认：
+
+剩余风险：
+- ...
+```
+
+## 填写规则
+
+- "改动摘要"写用户能读懂的行为变化，不只列文件名。
+- "影响范围"必须覆盖页面/组件、权限/角色、数据/接口、样式/路由/构建；无影响时写"无"。
+- "AI 已验证"只能写实际运行过的命令或实际打开过的页面，不能代写未运行的检查。
+- "需要人工复核"用于真实业务判断、复杂权限、审批流、状态机、真实接口数据和异常流程。
+- "人工决策记录"记录用户已经确认的业务规则，以及还没确认但会影响验收的事项。
+- "剩余风险"必须写清风险来源，例如 mock 数据、未联调接口、未覆盖角色、未跑构建或未做浏览器验证。
+
+## 人工反馈后的第二版交接
+
+用户指出问题后，AI 应先复述理解并定位相关代码和规则，再判断反馈类型：
+
+```text
+反馈理解：
+- ...
+
+问题类型：
+- bug / 需求补充 / 业务决策 / 验证遗漏 / 误报
+
+处理结果：
+- ...
+
+重新验证：
+- ...
+
+第二版需要人工复核：
+- ...
+
+更新后的剩余风险：
+- ...
+```
+
+如果人工确认某条复杂业务规则是长期规则，后续应沉淀到 OpenSpec 规格、类型、测试或代码约束中，而不是只留在聊天记录里。

package/templates/harness/full/docs/git.md

@@ -0,0 +1,24 @@
+# Git 规范（团队约定）
+
+本文件描述团队提交流程；AI 操作约束见 `.claude/rules/git.md`，不在此重复。
+
+## 分支
+
+- `main`：生产稳定分支。
+- `develop`：日常集成分支。
+- `feature/<name>`：功能分支。
+- `fix/<name>`：缺陷修复分支。
+- `chore/<name>`：工程化调整分支。
+
+## Conventional Commits
+
+提交信息使用 Conventional Commits，常用类型：
+
+- `feat:` 新功能
+- `fix:` 缺陷修复
+- `docs:` 文档
+- `style:` 样式或格式
+- `refactor:` 重构
+- `chore:` 工程事务
+
+`.husky/pre-commit` 运行 `pnpm lint-staged`，提交信息由 `commitlint` 校验。完整质量检查走 `pnpm check`（详见 `docs/harness-quick-reference.md`）。

package/templates/harness/full/docs/harness-quick-reference.md

@@ -0,0 +1,89 @@
+# Harness 速查表
+
+遇到某类任务时，该看哪个规则、用哪个 skill、让哪个 agent review、需要跑哪些命令。详细规范见 `docs/ai-harness.md`。
+
+## Skill 使用决策表
+
+| 场景                                      | 优先使用                  | 说明                                                           |
+| ----------------------------------------- | ------------------------- | -------------------------------------------------------------- |
+| Vue、Vite、Pinia、Vue Router、`.vue` 组件 | `vue-best-practices`      | 先确认 Composition API、组件边界、响应式数据和类型规则。       |
+| Element Plus 表单、表格、弹窗、主题覆盖   | `element-plus-vue3`       | 先查组件用法、props/events、主题和按需导入规则。               |
+| 页面视觉优化、组件美化、前端交互体验      | `frontend-design`         | 用于提高 UI 质量，但必须服从项目样式规则和 Element Plus 约束。 |
+| 路由、权限、菜单来源、布局、全局样式      | `project-structure-guard` | 避免破坏后端菜单树动态路由模型和前端结构护栏。                 |
+| 不确定是否已有合适 skill                  | `find-skills`             | 先查可用 skill，再决定是否安装或创建项目内 skill。             |
+
+Harness 配置、hooks、review agents、skills 同步和治理文档变更没有专用 skill；先读 `docs/ai-harness.md` 和 `.claude/agents/harness-reviewer.md`。
+
+## Agent 使用决策表
+
+| 场景                                                  | Agent              | 说明                                               |
+| ----------------------------------------------------- | ------------------ | -------------------------------------------------- |
+| 一般代码变更完成前                                    | `code-reviewer`    | 检查 Vue、TypeScript、权限、路由、样式和质量门禁。 |
+| 修改 `.claude/**`、hooks、rules、skills、harness 文档 | `harness-reviewer` | 检查 harness 配置是否一致、可维护、可跨平台运行。  |
+| Claude Code Stop 阶段                                 | Stop agent hook    | 自动执行强制 review，不需要手动触发。              |
+
+`.claude/agents/*.md` 是项目 reviewer 定义；`.claude/settings.json` 中的 Stop agent 内联 prompt 是当前强制 review 入口。
+
+## Hooks 速查
+
+| Hook               | 作用                                                                                                                |
+| ------------------ | ------------------------------------------------------------------------------------------------------------------- |
+| `guard-tool.cjs`   | 阻断危险命令和敏感文件访问。                                                                                        |
+| `quality-gate.cjs` | Stop 时先自动格式化，再运行 type-check / lint / harness:check（有意省略 openspec:check，完整检查用 `pnpm check`）。 |
+| `notify.cjs`       | 处理 macOS/Windows 完成通知和失败通知。                                                                             |
+
+详细行为见 `docs/ai-harness.md`。
+
+## 格式化命令
+
+详见 `.claude/rules/formatting.md`。最常用：
+
+```sh
+pnpm format        # 全量格式化
+pnpm format:check  # 只检查
+pnpm check:fix     # 格式化 + lint 修复
+```
+
+## 常用命令
+
+```sh
+pnpm format        # 全量格式化
+pnpm format:check  # 只检查
+pnpm check:fix     # 格式化 + lint 修复
+pnpm check         # 完整质量门禁（type-check + lint + format:check + openspec:check + harness:check）
+pnpm build         # 生产构建校验
+pnpm openspec:check  # 校验 OpenSpec specs/changes
+pnpm openspec:list   # 列出 OpenSpec 变更
+pnpm openspec:specs  # 列出 OpenSpec 当前规格
+pnpm harness:sync  # 同步 skill lock
+pnpm harness:check # harness 脚本验证
+pnpm harness:structure  # 项目结构护栏检查
+pnpm harness:test  # harness 脚本测试
+```
+
+详细格式化规则见 `.claude/rules/formatting.md`。
+
+## OpenSpec 业务规格
+
+产品 PRD、钉钉文档链接和口头需求都是原始输入；可执行的业务规格事实源是 OpenSpec。当前有效规格放在 `openspec/specs/`，每次 PRD 更新或口头变更先建 `openspec/changes/<change-id>/`，再进入代码实现。
+
+OpenSpec 只管理业务规格和需求变更；Harness 继续管理 AI 执行规则、hooks、skills、review 和质量门禁。不要把页面业务规则复制进 harness 文档，也不要用 OpenSpec 替代 `pnpm check`、review 或人工复核。
+
+## 本地浏览器验证
+
+涉及新页面、UI 调整、路由权限、表单、弹窗、上传、布局或全局样式时，按 `docs/verification.md` 做本地浏览器验证。纯文档、纯脚本、无运行时 UI 影响的 harness 变更可以不做浏览器验证，但交付说明中要说明原因。
+
+## 人工审核交接单
+
+每次 AI 交付都必须按 `docs/delivery-template.md` 输出交接单，至少包含改动摘要、影响范围、AI 已验证、需要人工复核、人工决策记录、剩余风险。复杂业务场景（真实审批流、角色权限口径、状态机、真实接口数据）必须列入"需要人工复核"。强制 review 通过不代表可以直接提交，人工复核是最终门槛，详见 `docs/review-checklist.md`。
+
+## Harness 变更 Checklist
+
+| 步骤 | 检查项                                                                                                      | 参考文档                      |
+| ---- | ----------------------------------------------------------------------------------------------------------- | ----------------------------- |
+| 1    | 是否修改了 `.claude/settings.json`、hooks、agents、rules、skills？同步入口文档了吗？                        | `docs/ai-harness.md` 维护规则 |
+| 2    | 如果新增或修改 skill，是否同步了 `.claude/skills/{skill}`、`.agents/skills/{skill}` 和 `skills-lock.json`？ | `.claude/rules/skills-mcp.md` |
+| 3    | 是否运行了 `pnpm harness:sync` 和 `pnpm harness:check`？                                                    | `docs/ai-harness.md` 质量门禁 |
+| 4    | 是否需要按 `docs/verification.md` 做本地浏览器验证？                                                        | `docs/verification.md`        |
+| 5    | 是否确认 Stop 收尾不会自动 `git add`？                                                                      | `docs/ai-harness.md` 维护规则 |
+| 6    | 是否确认强制 review 通过后仍会安排人工复核？                                                                | `docs/delivery-template.md`   |

package/templates/harness/full/docs/review-checklist.md

@@ -0,0 +1,49 @@
+# 人工审核流程
+
+Claude Code 或其他 agent 完成任务后，提交前必须由人做最终复核。AI 的职责是提供可审核的交接单；人的职责是确认业务判断、真实场景和可接受风险。
+
+## 收到 AI 交接单后
+
+- 先看 `docs/delivery-template.md` 中要求的信息是否完整：改动摘要、影响范围、AI 已验证、需要人工复核、人工决策记录、剩余风险。
+- 如果交接单只写"已完成"或"检查通过"，要求 AI 补齐交接单后再审。
+- 如果涉及复杂业务，但没有列人工复核项，要求 AI 补充真实业务场景和剩余风险。
+- 如果 AI 声称已验证某个场景，确认它是否说明了验证方式、账号/角色、页面路径、数据条件或命令结果。
+
+## 需求与行为
+
+- 需求是否实现完整，没有遗漏显式验收标准。
+- 页面、接口、交互和错误提示是否符合当前需求。
+- 是否引入了未要求的新行为、新抽象或新依赖。
+- 是否误把当前占位业务页面、mock 数据或临时流程沉淀为永久规范。
+
+## 路由、权限与安全
+
+- 路由 `meta`、角色与权限控制是否正确。
+- 是否误放宽了访问范围、权限字符串或敏感文件访问边界。
+- 是否出现了不该存在的未类型化边界、宽泛 `any` 或隐式状态来源。
+
+## UI 与代码改动范围
+
+- UI 是否符合现有产品风格、Element Plus 使用习惯和样式规则。
+- 是否误改无关文件，尤其是大范围格式化、锁文件之外的杂散修改。
+- hooks、rules、skills、docs 的更新是否和本次治理意图一致。
+
+## 人工反馈方式
+
+人工复核时可以直接指出问题、补充业务规则或确认风险。AI 收到反馈后必须按以下流程处理：
+
+1. 复述理解：说明自己理解的问题是什么。
+2. 定位范围：检查相关代码、文档、路由、权限、状态或接口边界。
+3. 判断类型：明确这是 bug、需求补充、业务决策、验证遗漏还是误报。
+4. 修复或解释：需要修改时再动代码；不修改时说明技术和业务理由。
+5. 重新验证：运行对应检查，必要时重新做浏览器验证。
+6. 二次交接：输出第二版交接单，说明修了什么、哪些决策已确认、还剩什么风险。
+
+如果人工确认某条复杂业务规则是长期规则，应要求 AI 后续沉淀到 OpenSpec 规格、类型、测试或代码约束中，而不是只留在聊天记录里。
+
+## 验证记录
+
+- 本次实际运行了哪些命令：`pnpm check`、`pnpm build`、`pnpm harness:sync`、`pnpm harness:check`、`pnpm format:check` 等。
+- 涉及可见 UI、布局、路由权限、表单、弹窗或上传时，是否按 `docs/verification.md` 做了本地浏览器验证。
+- 如果某些命令未运行，是否已经在交付说明中记录原因和剩余风险。
+- 强制 review 通过后，是否仍完成了人工最终复核。