@fitlab-ai/agent-infra 0.3.0

package/templates/.agents/skills/check-task/SKILL.zh-CN.md

@@ -0,0 +1,122 @@
+---
+name: check-task
+description: >
+  查看任务的当前状态、工作流进度和上下文文件。这是只读操作，报告任务状态并建议
+  适当的下一步操作。当用户要求查看任务状态时触发。参数：task-id。
+---
+
+# 查看任务状态
+
+## 行为边界 / 关键规则
+
+- 本技能是**只读**操作 —— 不修改任何文件
+- 始终检查 active、blocked 和 completed 目录
+
+## 执行步骤
+
+### 1. 查找任务
+
+按以下优先顺序搜索任务：
+1. `.agent-workspace/active/{task-id}/task.md`
+2. `.agent-workspace/blocked/{task-id}/task.md`
+3. `.agent-workspace/completed/{task-id}/task.md`
+
+注意：`{task-id}` 格式为 `TASK-{yyyyMMdd-HHmmss}`，例如 `TASK-20260306-143022`
+
+如果在任何目录中都未找到，提示 "Task {task-id} not found"。
+
+### 2. 读取任务元数据
+
+从 `task.md` 中提取：
+- `id`、`title`、`type`、`status`、`workflow`
+- `current_step`、`assigned_to`
+- `created_at`、`updated_at`
+- `issue_number`、`pr_number`（如适用）
+
+### 3. 检查上下文文件
+
+按产物类型扫描并记录以下文件的存在、轮次和状态：
+- `analysis.md`、`analysis-r{N}.md` - 需求分析
+- `plan.md`、`plan-r{N}.md` - 技术方案
+- `implementation.md`、`implementation-r2.md`、... - 实现报告
+- `refinement.md`、`refinement-r2.md`、... - 修复报告
+- `review.md`、`review-r2.md`、... - 审查报告
+
+对于版本化产物（`analysis`、`plan`、`implementation`、`refinement`、`review`）：
+- 扫描任务目录中的所有同类版本化文件
+- 记录每类产物的最新轮次、最新文件路径和总轮次数
+- 如果 `task.md` 的 Activity Log 记录了最新轮次，优先核对其与实际文件是否一致
+
+### 4. 输出状态报告
+
+以清晰的结构和状态指示器格式化输出：
+
+```
+任务状态：{task-id}
+=======================
+
+基本信息：
+- 标题：{title}
+- 类型：{type}
+- 状态：{status}
+- 工作流：{workflow}
+- 分配给：{assigned_to}
+- 创建时间：{created_at}
+- 更新时间：{updated_at}
+
+工作流进度：
+  [已完成]    需求分析        analysis-r2.md (Round 2, latest)
+  [已完成]    技术设计        plan.md (Round 1)
+  [进行中]    实现            implementation.md (Round 1)
+  [待处理]    修复            refinement.md (Round 1 will be created next)
+  [待处理]    代码审查        review.md (Round 1 will be created next)
+  [待处理]    最终提交
+
+上下文文件：
+- analysis.md：           已存在 (Round 1)
+- analysis-r2.md：        已存在 (Round 2, latest)
+- plan.md：               已存在 (Round 1, latest)
+- implementation.md：     已存在 (Round 1, latest)
+- refinement.md：         未开始
+- review.md：             未开始
+
+如果存在多轮产物，显示所有轮次，并标记最新版本，例如：
+- plan.md：已存在 (Round 1)
+- plan-r2.md：已存在 (Round 2, latest)
+- implementation.md：已存在 (Round 1)
+- implementation-r2.md：已存在 (Round 2, latest)
+- refinement.md：已存在 (Round 1)
+- review.md：已存在 (Round 1)
+- review-r2.md：已存在 (Round 2, latest)
+
+下一步：
+  完成实现，然后执行代码审查
+```
+
+**状态指示器**：
+- `[done]` - 步骤已完成
+- `[current]` - 当前进行中
+- `[pending]` - 尚未开始
+- `[blocked]` - 被阻塞
+- `[skipped]` - 已跳过
+
+### 5. 建议下一步操作
+
+根据当前工作流状态，建议合适的下一个技能。必须展示下表中所有 TUI 列的命令格式，不要只展示当前 AI 代理对应的列：
+
+| 当前状态 | Claude Code / OpenCode | Gemini CLI | Codex CLI |
+|---------|----------------------|------------|-----------|
+| 分析完成 | `/plan-task {task-id}` | `/agent-infra:plan-task {task-id}` | `$plan-task {task-id}` |
+| 计划完成 | `/implement-task {task-id}` | `/agent-infra:implement-task {task-id}` | `$implement-task {task-id}` |
+| 实现完成 | `/review-task {task-id}` | `/agent-infra:review-task {task-id}` | `$review-task {task-id}` |
+| 审查通过 | `/commit` | `/agent-infra:commit` | `$commit` |
+| 审查有问题 | `/refine-task {task-id}` | `/agent-infra:refine-task {task-id}` | `$refine-task {task-id}` |
+| 任务被阻塞 | 解除阻塞或提供所需信息 | — | 解除阻塞或提供所需信息 |
+| 任务已完成 | 无需操作 | — | 无需操作 |
+
+## 注意事项
+
+1. **只读**：本技能仅读取和报告 —— 不修改任何文件
+2. **多目录搜索**：始终检查 active、blocked 和 completed 目录
+3. **快速参考**：随时可以使用本技能检查任务在工作流中的位置
+4. **版本化产物**：`analysis`、`plan`、`implementation`、`refinement`、`review` 都需要报告实际轮次，而不是只报告固定文件名

package/templates/.agents/skills/close-codescan/SKILL.md

@@ -0,0 +1,122 @@
+---
+name: close-codescan
+description: >
+  关闭 Code Scanning（CodeQL）告警并提供有据可查的理由。
+  当用户要求关闭 Code Scanning 告警时触发。参数：告警编号。
+---
+
+# 关闭 Code Scanning 告警
+
+关闭指定的 Code Scanning（CodeQL）告警并记录合理的关闭理由。
+
+## 执行流程
+
+### 1. 获取告警信息
+
+```bash
+gh api repos/{owner}/{repo}/code-scanning/alerts/<alert-number>
+```
+
+验证告警处于 `open` 状态。如果已被关闭/修复，告知用户并退出。
+
+### 2. 展示告警详情
+
+```
+Code Scanning 告警 #{alert-number}
+
+严重程度：{security_severity_level}
+规则：{rule.id} - {rule.description}
+扫描工具：{tool.name}
+位置：{location.path}:{location.start_line}
+消息：{message}
+```
+
+### 3. 询问关闭理由
+
+提示用户选择理由：
+
+1. **误报 (False Positive)** - CodeQL 规则误判；代码不存在此安全问题
+2. **不会修复 (Won't Fix)** - 已知问题但基于架构或业务原因不予修复
+3. **测试代码 (Used in Tests)** - 仅在测试代码中出现，不影响生产环境安全
+4. **取消** - 不关闭告警
+
+### 4. 要求详细说明
+
+如果用户选择关闭（非取消），要求提供详细说明：
+- 最少 20 个字符
+- 必须清楚说明为什么可以安全关闭该告警
+- 如果是误报，说明为什么代码不存在该安全问题
+- 如果是不修复，说明技术或业务原因
+
+### 5. 最终确认
+
+```
+即将关闭 Code Scanning 告警 #{alert-number}：
+
+规则：{rule.id}
+位置：{location.path}:{location.start_line}
+原因：{选择的理由}
+说明：{用户的说明}
+
+确认？(y/N)
+```
+
+### 6. 执行关闭
+
+```bash
+gh api --method PATCH \
+  repos/{owner}/{repo}/code-scanning/alerts/<alert-number> \
+  -f state=dismissed \
+  -f dismissed_reason="{api-reason}" \
+  -f dismissed_comment="{用户的说明}"
+```
+
+**API reason 映射**（按 GitHub Code Scanning API）：
+- 误报 -> `false positive`
+- 不会修复 -> `won't fix`
+- 测试代码 -> `used in tests`
+
+### 7. 记录到任务（如存在）
+
+如果有关联任务（搜索 `codescan_alert_number: <alert-number>`）：
+获取当前时间：
+
+```bash
+date "+%Y-%m-%d %H:%M:%S"
+```
+
+- 添加关闭记录到 task.md
+- **追加**到 `## Activity Log`（不要覆盖之前的记录）：
+  ```
+  - {yyyy-MM-dd HH:mm:ss} — **Alert Closed** by {agent} — Code Scanning alert #{alert-number} dismissed: {reason}
+  ```
+- 归档任务
+
+### 8. 告知用户
+
+```
+Code Scanning 告警 #{alert-number} 已关闭。
+
+规则：{rule.id}
+位置：{location.path}:{location.start_line}
+原因：{reason}
+说明：{explanation}
+
+查看：{html_url}
+
+注意：如有需要，可在 GitHub 上重新打开。
+```
+
+## 注意事项
+
+1. **谨慎处理高严重程度告警**：Critical/High 告警需要充分分析。建议先执行 import-codescan + analyze-task。
+2. **真实的理由**：关闭记录保存在 GitHub 中，可能会被审计。
+3. **定期复查**：已关闭的告警应定期复查。
+4. **优先修复**：关闭应作为最后手段。
+
+## 错误处理
+
+- 告警未找到：提示 "Code Scanning alert #{number} not found"
+- 已关闭：提示 "Alert #{number} is already {state}"
+- 权限错误：提示 "No permission to modify alerts"
+- 用户取消：提示 "Cancellation acknowledged"

package/templates/.agents/skills/close-codescan/SKILL.zh-CN.md

@@ -0,0 +1,122 @@
+---
+name: close-codescan
+description: >
+  关闭 Code Scanning（CodeQL）告警并提供有据可查的理由。
+  当用户要求关闭 Code Scanning 告警时触发。参数：告警编号。
+---
+
+# 关闭 Code Scanning 告警
+
+关闭指定的 Code Scanning（CodeQL）告警并记录合理的关闭理由。
+
+## 执行流程
+
+### 1. 获取告警信息
+
+```bash
+gh api repos/{owner}/{repo}/code-scanning/alerts/<alert-number>
+```
+
+验证告警处于 `open` 状态。如果已被关闭/修复，告知用户并退出。
+
+### 2. 展示告警详情
+
+```
+Code Scanning 告警 #{alert-number}
+
+严重程度：{security_severity_level}
+规则：{rule.id} - {rule.description}
+扫描工具：{tool.name}
+位置：{location.path}:{location.start_line}
+消息：{message}
+```
+
+### 3. 询问关闭理由
+
+提示用户选择理由：
+
+1. **误报 (False Positive)** - CodeQL 规则误判；代码不存在此安全问题
+2. **不会修复 (Won't Fix)** - 已知问题但基于架构或业务原因不予修复
+3. **测试代码 (Used in Tests)** - 仅在测试代码中出现，不影响生产环境安全
+4. **取消** - 不关闭告警
+
+### 4. 要求详细说明
+
+如果用户选择关闭（非取消），要求提供详细说明：
+- 最少 20 个字符
+- 必须清楚说明为什么可以安全关闭该告警
+- 如果是误报，说明为什么代码不存在该安全问题
+- 如果是不修复，说明技术或业务原因
+
+### 5. 最终确认
+
+```
+即将关闭 Code Scanning 告警 #{alert-number}：
+
+规则：{rule.id}
+位置：{location.path}:{location.start_line}
+原因：{选择的理由}
+说明：{用户的说明}
+
+确认？(y/N)
+```
+
+### 6. 执行关闭
+
+```bash
+gh api --method PATCH \
+  repos/{owner}/{repo}/code-scanning/alerts/<alert-number> \
+  -f state=dismissed \
+  -f dismissed_reason="{api-reason}" \
+  -f dismissed_comment="{用户的说明}"
+```
+
+**API reason 映射**（按 GitHub Code Scanning API）：
+- 误报 -> `false positive`
+- 不会修复 -> `won't fix`
+- 测试代码 -> `used in tests`
+
+### 7. 记录到任务（如存在）
+
+如果有关联任务（搜索 `codescan_alert_number: <alert-number>`）：
+获取当前时间：
+
+```bash
+date "+%Y-%m-%d %H:%M:%S"
+```
+
+- 添加关闭记录到 task.md
+- **追加**到 `## Activity Log`（不要覆盖之前的记录）：
+  ```
+  - {yyyy-MM-dd HH:mm:ss} — **Alert Closed** by {agent} — Code Scanning alert #{alert-number} dismissed: {reason}
+  ```
+- 归档任务
+
+### 8. 告知用户
+
+```
+Code Scanning 告警 #{alert-number} 已关闭。
+
+规则：{rule.id}
+位置：{location.path}:{location.start_line}
+原因：{reason}
+说明：{explanation}
+
+查看：{html_url}
+
+注意：如有需要，可在 GitHub 上重新打开。
+```
+
+## 注意事项
+
+1. **谨慎处理高严重程度告警**：Critical/High 告警需要充分分析。建议先执行 import-codescan + analyze-task。
+2. **真实的理由**：关闭记录保存在 GitHub 中，可能会被审计。
+3. **定期复查**：已关闭的告警应定期复查。
+4. **优先修复**：关闭应作为最后手段。
+
+## 错误处理
+
+- 告警未找到：提示 "Code Scanning alert #{number} not found"
+- 已关闭：提示 "Alert #{number} is already {state}"
+- 权限错误：提示 "No permission to modify alerts"
+- 用户取消：提示 "Cancellation acknowledged"

package/templates/.agents/skills/close-dependabot/SKILL.md

@@ -0,0 +1,130 @@
+---
+name: close-dependabot
+description: >
+  关闭 Dependabot 安全告警并提供有据可查的理由。
+  当用户要求关闭 Dependabot 告警时触发。参数：告警编号。
+---
+
+# 关闭 Dependabot 告警
+
+关闭指定的 Dependabot 安全告警并记录合理的关闭理由。
+
+## 执行流程
+
+### 1. 获取告警信息
+
+```bash
+gh api repos/{owner}/{repo}/dependabot/alerts/<alert-number>
+```
+
+验证告警处于 `open` 状态。如果已被关闭/修复，告知用户并退出。
+
+### 2. 展示告警详情
+
+向用户展示关键信息：
+```
+安全告警 #{alert-number}
+
+严重程度：{severity}
+漏洞：{summary}
+包名：{package-name}（{ecosystem}）
+当前版本：{current-version}
+受影响版本范围：{vulnerable-version-range}
+修复版本：{first-patched-version}
+
+GHSA：{ghsa-id}
+CVE：{cve-id}
+```
+
+### 3. 询问关闭理由
+
+提示用户选择理由：
+
+1. **误报 (False Positive)** - 漏洞代码路径在本项目中未被使用
+2. **无法利用 (Not Exploitable)** - 漏洞存在但在当前上下文中无法被利用
+3. **已有缓解措施 (Mitigated)** - 通过其他方式缓解了风险（配置、网络隔离等）
+4. **无修复版本 (No Fix Available)** - 无修复版本且风险可接受
+5. **仅开发/测试依赖 (Dev/Test Dependency Only)** - 仅在开发/测试中使用，不在生产环境中
+6. **取消** - 不关闭告警
+
+### 4. 要求详细说明
+
+如果用户选择关闭（非取消），要求提供详细说明：
+- 最少 20 个字符
+- 必须清楚说明为什么可以安全关闭该告警
+- 应引用具体证据（代码搜索结果、配置等）
+
+### 5. 最终确认
+
+```
+即将关闭安全告警 #{alert-number}：
+
+告警：{summary}
+严重程度：{severity}
+原因：{选择的理由}
+说明：{用户的说明}
+
+确认？(y/N)
+```
+
+### 6. 执行关闭
+
+```bash
+gh api --method PATCH \
+  repos/{owner}/{repo}/dependabot/alerts/<alert-number> \
+  -f state=dismissed \
+  -f dismissed_reason="{api-reason}" \
+  -f dismissed_comment="{用户的说明}"
+```
+
+**API reason 映射**：
+- 误报 -> `not_used` 或 `inaccurate`
+- 无法利用 -> `tolerable_risk`
+- 已有缓解措施 -> `tolerable_risk`
+- 无修复版本 -> `tolerable_risk`
+- 开发/测试依赖 -> `not_used`
+
+### 7. 记录到任务（如存在）
+
+如果有关联任务（搜索 `security_alert_number: <alert-number>`）：
+获取当前时间：
+
+```bash
+date "+%Y-%m-%d %H:%M:%S"
+```
+
+- 添加关闭记录到 task.md
+- **追加**到 `## Activity Log`（不要覆盖之前的记录）：
+  ```
+  - {yyyy-MM-dd HH:mm:ss} — **Alert Closed** by {agent} — Dependabot alert #{alert-number} dismissed: {reason}
+  ```
+- 归档任务
+
+### 8. 告知用户
+
+```
+安全告警 #{alert-number} 已关闭。
+
+告警：{summary}
+严重程度：{severity}
+原因：{reason}
+说明：{explanation}
+
+查看：https://github.com/{owner}/{repo}/security/dependabot/{alert-number}
+
+注意：如有需要，可在 GitHub 上重新打开。
+```
+
+## 注意事项
+
+1. **谨慎处理高严重程度告警**：Critical/High 告警需要在关闭前进行充分分析。建议先执行 import-dependabot + analyze-task。
+2. **真实的理由**：关闭记录保存在 GitHub 中，可能会被审计。
+3. **定期复查**：已关闭的告警应定期复查，因为代码变更可能使关闭理由失效。
+4. **优先修复**：关闭应作为最后手段。优先考虑升级、替换或缓解。
+
+## 错误处理
+
+- 告警未找到：提示 "Security alert #{number} not found"
+- 已关闭：提示 "Alert #{number} is already {state}"
+- 权限错误：提示 "No permission to modify alerts"
+- 用户取消：提示 "Cancellation acknowledged"

package/templates/.agents/skills/close-dependabot/SKILL.zh-CN.md

@@ -0,0 +1,130 @@
+---
+name: close-dependabot
+description: >
+  关闭 Dependabot 安全告警并提供有据可查的理由。
+  当用户要求关闭 Dependabot 告警时触发。参数：告警编号。
+---
+
+# 关闭 Dependabot 告警
+
+关闭指定的 Dependabot 安全告警并记录合理的关闭理由。
+
+## 执行流程
+
+### 1. 获取告警信息
+
+```bash
+gh api repos/{owner}/{repo}/dependabot/alerts/<alert-number>
+```
+
+验证告警处于 `open` 状态。如果已被关闭/修复，告知用户并退出。
+
+### 2. 展示告警详情
+
+向用户展示关键信息：
+```
+安全告警 #{alert-number}
+
+严重程度：{severity}
+漏洞：{summary}
+包名：{package-name}（{ecosystem}）
+当前版本：{current-version}
+受影响版本范围：{vulnerable-version-range}
+修复版本：{first-patched-version}
+
+GHSA：{ghsa-id}
+CVE：{cve-id}
+```
+
+### 3. 询问关闭理由
+
+提示用户选择理由：
+
+1. **误报 (False Positive)** - 漏洞代码路径在本项目中未被使用
+2. **无法利用 (Not Exploitable)** - 漏洞存在但在当前上下文中无法被利用
+3. **已有缓解措施 (Mitigated)** - 通过其他方式缓解了风险（配置、网络隔离等）
+4. **无修复版本 (No Fix Available)** - 无修复版本且风险可接受
+5. **仅开发/测试依赖 (Dev/Test Dependency Only)** - 仅在开发/测试中使用，不在生产环境中
+6. **取消** - 不关闭告警
+
+### 4. 要求详细说明
+
+如果用户选择关闭（非取消），要求提供详细说明：
+- 最少 20 个字符
+- 必须清楚说明为什么可以安全关闭该告警
+- 应引用具体证据（代码搜索结果、配置等）
+
+### 5. 最终确认
+
+```
+即将关闭安全告警 #{alert-number}：
+
+告警：{summary}
+严重程度：{severity}
+原因：{选择的理由}
+说明：{用户的说明}
+
+确认？(y/N)
+```
+
+### 6. 执行关闭
+
+```bash
+gh api --method PATCH \
+  repos/{owner}/{repo}/dependabot/alerts/<alert-number> \
+  -f state=dismissed \
+  -f dismissed_reason="{api-reason}" \
+  -f dismissed_comment="{用户的说明}"
+```
+
+**API reason 映射**：
+- 误报 -> `not_used` 或 `inaccurate`
+- 无法利用 -> `tolerable_risk`
+- 已有缓解措施 -> `tolerable_risk`
+- 无修复版本 -> `tolerable_risk`
+- 开发/测试依赖 -> `not_used`
+
+### 7. 记录到任务（如存在）
+
+如果有关联任务（搜索 `security_alert_number: <alert-number>`）：
+获取当前时间：
+
+```bash
+date "+%Y-%m-%d %H:%M:%S"
+```
+
+- 添加关闭记录到 task.md
+- **追加**到 `## Activity Log`（不要覆盖之前的记录）：
+  ```
+  - {yyyy-MM-dd HH:mm:ss} — **Alert Closed** by {agent} — Dependabot alert #{alert-number} dismissed: {reason}
+  ```
+- 归档任务
+
+### 8. 告知用户
+
+```
+安全告警 #{alert-number} 已关闭。
+
+告警：{summary}
+严重程度：{severity}
+原因：{reason}
+说明：{explanation}
+
+查看：https://github.com/{owner}/{repo}/security/dependabot/{alert-number}
+
+注意：如有需要，可在 GitHub 上重新打开。
+```
+
+## 注意事项
+
+1. **谨慎处理高严重程度告警**：Critical/High 告警需要在关闭前进行充分分析。建议先执行 import-dependabot + analyze-task。
+2. **真实的理由**：关闭记录保存在 GitHub 中，可能会被审计。
+3. **定期复查**：已关闭的告警应定期复查，因为代码变更可能使关闭理由失效。
+4. **优先修复**：关闭应作为最后手段。优先考虑升级、替换或缓解。
+
+## 错误处理
+
+- 告警未找到：提示 "Security alert #{number} not found"
+- 已关闭：提示 "Alert #{number} is already {state}"
+- 权限错误：提示 "No permission to modify alerts"
+- 用户取消：提示 "Cancellation acknowledged"