@gong-ym/ai-spec-auto 0.2.3

package/openspec/schemas/expert-delivery/templates/design.md

@@ -0,0 +1,61 @@
+## 方案概览
+
+<!-- 结合当前仓库上下文，概述本次实现方案。 -->
+
+## 仓库对齐
+
+### 页面与路由落点
+
+<!-- 说明页面文件、路由模块、导航入口和懒加载边界。 -->
+
+### 接口与数据落点
+
+<!-- 说明 API(接口) 封装、数据来源、mock(模拟数据) 或响应契约落点。 -->
+
+### 状态与样式落点
+
+<!-- 说明状态层、缓存策略、主题变量和样式入口。 -->
+
+### 测试与组件库落点
+
+<!-- 说明测试文件、验证脚本、组件目录和组件库约束的对应位置。 -->
+
+## 关键决策
+
+### 信息结构
+
+<!-- 说明页面结构、模块边界或信息分层，以及为什么这样拆分。 -->
+
+### 状态管理方案
+
+<!-- 说明查询状态、列表状态、表单状态或跨模块状态如何组织。 -->
+
+### 组件复用策略
+
+<!-- 说明优先复用的组件、页面实际组合方式和复用理由。 -->
+
+### 禁止重复实现的能力
+
+<!-- 说明哪些已有能力必须复用，避免在本次变更中重复实现。 -->
+
+### 组件缺口
+
+<!-- 如现有组件或基础能力无法满足需求，在这里记录缺口和临时处理方式。 -->
+
+## 数据与接口变更
+
+<!-- 说明请求/响应、状态更新、props、事件或契约变化。 -->
+
+## 验证说明
+
+### 本地验证
+
+<!-- 说明 lint(静态检查)、typecheck(类型检查)、test(测试)、build(构建) 或其他本地验证策略。 -->
+
+### 浏览器验证
+
+<!-- 说明页面可访问性、关键交互路径、console(控制台) 检查或 UI(界面) 验收方式。 -->
+
+### 关键验收路径
+
+<!-- 说明最关键的端到端路径、失败信号和交付前必须看到的验证证据。 -->

package/openspec/schemas/expert-delivery/templates/iterations.md

@@ -0,0 +1,25 @@
+## 本轮问题
+
+- [ ] 记录本轮识别出的关键问题
+- 问题来源：
+- 影响范围：
+- 关联证据：
+
+## 修正动作
+
+- [ ] 记录已采取的修复或后续处理动作
+- 已完成动作：
+- 待跟进动作：
+
+## 残留风险
+
+- [ ] 记录仍然存在的风险、警告或延后项
+- 风险说明：
+- 触发条件：
+- 建议缓解方式：
+
+## 下轮提醒
+
+- [ ] 记录下一轮协作或后续变更的提醒
+- 下一轮关注点：
+- 交接说明：

package/openspec/schemas/expert-delivery/templates/proposal.md

@@ -0,0 +1,45 @@
+## 目标
+
+### 业务目标
+
+<!-- 说明这项变更要解决的业务问题、目标用户或交付价值。 -->
+
+### 工程目标
+
+<!-- 说明本次变更对目录、接口、状态、样式、测试或交付流程的工程目标。 -->
+
+### 变更对象与入口
+
+<!-- 记录页面、模块、路由、接口、状态、样式、脚本或命令入口。 -->
+
+### 设计链接
+
+<!-- 记录 Figma(设计稿)、PRD(需求文档)、原型、议题或其他背景材料。 -->
+
+### 组件复用约束（可选）
+
+<!-- 记录优先复用的组件、禁止重复实现的能力，以及当前识别出的组件库缺口。 -->
+
+## 范围
+
+### In Scope(纳入范围)
+
+<!-- 列出本次明确包含的内容，尽量写成可验证的交付项。 -->
+
+### Out of Scope(排除范围)
+
+<!-- 列出当前不做的内容，避免实现阶段静默扩范围。 -->
+
+## 非目标
+
+<!-- 列出本次明确不追求的目标、暂不处理的方向或不承诺的结果。 -->
+
+## 默认假设
+
+<!-- 记录根据仓库、项目规则或现有代码推断出的默认假设。 -->
+<!-- 建议覆盖：仓库事实、组件库缺口、验证边界、外部依赖和上下游配合方式。 -->
+
+## 风险与待确认项
+
+<!-- 在进入实现前明确尚未解决的权衡、约束与高风险项。 -->
+<!-- 建议覆盖：关键依赖、组件库限制、验证证据、上线或归档前置条件。 -->

package/openspec/schemas/expert-delivery/templates/spec.md

@@ -0,0 +1,29 @@
+## 新增需求
+
+### 需求：[名称]
+
+系统必须……
+
+#### 场景：[场景名称]
+
+- **已知** ……
+- **当** ……
+- **则** ……
+
+## 更新需求
+
+### 需求：[名称]
+
+系统必须……
+
+#### 场景：[场景名称]
+
+- **已知** ……
+- **当** ……
+- **则** ……
+
+## 删除需求
+
+### 需求：[名称]
+
+<!-- 说明为什么删除或替换这条需求。 -->

package/openspec/schemas/expert-delivery/templates/tasks.md

@@ -0,0 +1,24 @@
+## 执行总原则
+
+- [ ] 任务必须限定在 proposal.md、design.md 和 specs 已批准的范围内
+- [ ] 每个子任务都要写明目标、输入、输出、验证点和依赖或前置条件
+- [ ] 任务必须可执行、可验证、可交接，不得只写模糊动作
+- [ ] 如发现范围变化，先更新 proposal.md、design.md 和 tasks.md，再继续实现
+
+## 子任务清单
+
+### 子任务 1
+
+- [ ] 目标：
+- [ ] 输入：
+- [ ] 输出：
+- [ ] 验证点：
+- [ ] 依赖或前置条件：
+
+### 子任务 2
+
+- [ ] 目标：
+- [ ] 输入：
+- [ ] 输出：
+- [ ] 验证点：
+- [ ] 依赖或前置条件：

package/package.json

@@ -0,0 +1,73 @@
+{
+  "name": "@gong-ym/ai-spec-auto",
+  "version": "0.2.3",
+  "type": "module",
+  "description": "AI Coding 团队规范驱动开发 CLI — 一键安装规范、技能与工具配置",
+  "homepage": "https://github.com/Colouful/engineered-spec#readme",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/Colouful/engineered-spec.git"
+  },
+  "bugs": {
+    "url": "https://github.com/Colouful/engineered-spec/issues"
+  },
+  "bin": {
+    "ai-spec-auto": "./bin/cli.js"
+  },
+  "maintainers": [
+    "zhenwei.li",
+    "lizhenwei"
+  ],
+  "publishConfig": {
+    "registry": "https://registry.npmjs.org/",
+    "access": "public"
+  },
+  "scripts": {
+    "demo:runtime": "node ./bin/cli.js demo-runtime-smoke",
+    "hub:sync-assets": "node ./scripts/hub-sync-assets.js",
+    "test:registry": "node ./tests/registry/validate-registry.test.js",
+    "test:runtime": "node ./tests/runtime/command-template-renderer.test.js && node ./tests/runtime/runtime-bootstrap.test.js && node ./tests/runtime/runtime-launcher.test.js && node ./tests/runtime/runtime-state-checkpoints.test.js && node ./tests/runtime/archive-change.test.js && node ./tests/runtime/task-orchestrator-runner.test.js && node ./tests/runtime/expert-executor.test.js && node ./tests/runtime/auto-fix-runtime.test.js && node ./tests/runtime/protocol-workflow-registry.test.js && node ./tests/runtime/protocol-update-fast-path.test.js && node ./tests/runtime/protocol-interaction-enhancements.test.js && node ./tests/runtime/spec-start-replay.test.js && node ./tests/runtime/demo-runtime-smoke.test.js && node ./tests/runtime/expert-delivery-template-content.test.js && node ./tests/runtime/sync.test.js && node ./tests/runtime/visual-command.test.js && node ./tests/runtime/hub-install.test.js && node ./tests/runtime/hub-diff.test.js && node ./tests/runtime/hub-upgrade-rollback.test.js && node ./tests/runtime/hub-runtime-report.test.js",
+    "verify:install-ps1-bom": "node ./scripts/verify-install-ps1-bom.js",
+    "test:p1": "node ./tests/ide/adapter-protocol.test.js && node ./tests/ide/cursor-adapter.test.js && node ./tests/ide/claude-adapter.test.js && node ./tests/ide/ide-sync.test.js && node ./tests/scanner/tech-scanner.test.js && node ./tests/asset/asset-package.test.js && node ./tests/config/config-layer.test.js && node ./tests/p1/multi-project-validation.test.js && node ./tests/p1/p1-integration.test.js",
+    "verify:p1": "npm run test:registry && npm run test:runtime && npm run test:p1 && npm pack --dry-run",
+    "test:p2": "node ./tests/agent/agent-profile.test.js && node ./tests/agent/tool-permission.test.js && node ./tests/agent/file-permission.test.js && node ./tests/agent/agent-context.test.js && node ./tests/agent/collaboration-protocol.test.js && node ./tests/agent/review-repair-loop.test.js && node ./tests/agent/conflict-handler.test.js && node ./tests/p2/p2-integration.test.js",
+    "verify:p2": "npm run test:registry && npm run test:runtime && npm run test:p1 && npm run test:p2 && npm pack --dry-run",
+    "test:p3": "node ./tests/governance/rbac.test.js && node ./tests/governance/asset-review.test.js && node ./tests/governance/audit-log.test.js && node ./tests/governance/gray-release.test.js && node ./tests/governance/rollback.test.js && node ./tests/governance/security-policy.test.js && node ./tests/p3/p3-integration.test.js",
+    "verify:p3": "npm run test:registry && npm run test:runtime && npm run test:p1 && npm run test:p2 && npm run test:p3 && npm pack --dry-run",
+    "test:p4": "node ./tests/visual/event-gateway.test.js && node ./tests/visual/timeline.test.js && node ./tests/visual/hook-dashboard.test.js && node ./tests/visual/agent-visual.test.js && node ./tests/visual/metrics.test.js && node ./tests/visual/risk-board.test.js && node ./tests/p4/p4-integration.test.js",
+    "verify:p4": "npm run test:registry && npm run test:runtime && npm run test:p1 && npm run test:p2 && npm run test:p3 && npm run test:p4 && npm pack --dry-run",
+    "test:p5": "node ./tests/asset/asset-registry.test.js && node ./tests/asset/asset-version.test.js && node ./tests/asset/asset-dependency.test.js && node ./tests/asset/asset-install.test.js && node ./tests/asset/asset-feedback.test.js && node ./tests/asset/asset-manager.test.js && node ./tests/asset/asset-installer.test.js && node ./tests/asset/asset-lifecycle.test.js && node ./tests/asset/asset-fork.test.js && node ./tests/asset/asset-quality.test.js && node ./tests/p5/p5-integration.test.js && node ./tests/p5/p5-real-install-rollback.test.js",
+    "verify:p5": "npm run test:registry && npm run test:runtime && npm run test:p1 && npm run test:p2 && npm run test:p3 && npm run test:p4 && npm run test:p5 && npm pack --dry-run",
+    "prepack": "npm run verify:install-ps1-bom"
+  },
+  "files": [
+    "bin/",
+    "contracts/",
+    "src/",
+    "internal/",
+    "scripts/",
+    ".agents/",
+    "configs/",
+    ".cursor/mcp.json",
+    ".qoder/",
+    "openspec/",
+    "install.sh",
+    "install.ps1",
+    "!tests/",
+    "!docs/",
+    "!.ai-spec/",
+    "!.tmp/",
+    "!skills-lock.json"
+  ],
+  "keywords": [
+    "ai",
+    "coding",
+    "spec",
+    "cursor",
+    "claude"
+  ],
+  "license": "MIT",
+  "optionalDependencies": {
+    "node-machine-id": "^1.1.12"
+  }
+}

package/scripts/acceptance-zero-intrusion.sh

@@ -0,0 +1,168 @@
+#!/usr/bin/env bash
+# 验收脚本：zero-intrusion + control 闭环 + 停服推进不受影响
+#
+# 用法：
+#   ./scripts/acceptance-zero-intrusion.sh
+#
+# 依赖：bash / node（仅使用内置模块），不依赖 visual 在线
+# 退出码：0 全部通过；非 0 任一校验失败
+
+set -uo pipefail
+
+ROOT_DIR="$(cd "$(dirname "$0")/.." && pwd)"
+cd "$ROOT_DIR"
+
+PASS=0
+FAIL=0
+
+print_section() {
+  echo ""
+  echo "══════════════════════════════════════════════════════════════"
+  echo "▶ $1"
+  echo "══════════════════════════════════════════════════════════════"
+}
+
+check() {
+  local label="$1"
+  local cond="$2"
+  if eval "$cond" >/dev/null 2>&1; then
+    echo "  ✅ $label"
+    PASS=$((PASS + 1))
+  else
+    echo "  ❌ $label"
+    FAIL=$((FAIL + 1))
+  fi
+}
+
+# =========================================================
+print_section "证据 1：package.json runtime 依赖数为 0（零依赖）"
+# =========================================================
+
+DEP_COUNT=$(node -e "
+const pkg = require('./package.json');
+const deps = Object.keys(pkg.dependencies || {});
+console.log(deps.length);
+")
+echo "  当前 dependencies 条目数：$DEP_COUNT"
+check "dependencies 仍为 0" "[ '$DEP_COUNT' = '0' ]"
+
+# =========================================================
+print_section "证据 2：init / sync / install 主链未引用 visual-hooks"
+# =========================================================
+
+INIT_FILE="bin/install.js"
+SYNC_FILE="bin/cli.js"
+
+INIT_HITS=$(grep -nE 'visual-hooks|consumeInbox|inbox-consumer' "$INIT_FILE" 2>/dev/null | wc -l | tr -d ' ')
+echo "  bin/install.js 中 visual-hooks 引用次数：$INIT_HITS"
+check "install.js 未引用 visual-hooks" "[ '$INIT_HITS' = '0' ]"
+
+# bin/cli.js 中只允许在 protocol-step / -advance / -update / -status 命令处出现
+CLI_HITS=$(grep -nE 'visual-hooks|consumeInbox' "$SYNC_FILE" 2>/dev/null | wc -l | tr -d ' ')
+echo "  bin/cli.js 中 visual-hooks 引用次数：$CLI_HITS"
+check "cli.js 中 visual-hooks 引用 ≤ 8（4 个命令边界）" "[ '$CLI_HITS' -le '8' ]"
+
+# =========================================================
+print_section "证据 3：visual init 完全 opt-in（默认未生成 bridge）"
+# =========================================================
+
+TMP_PROJECT="$(mktemp -d -t ai-spec-accept-XXXXXX)"
+echo "  创建临时项目：$TMP_PROJECT"
+mkdir -p "$TMP_PROJECT/.ai-spec"
+
+check "默认无 visual-bridge.json" "! [ -f '$TMP_PROJECT/.ai-spec/visual-bridge.json' ]"
+check "默认无 visual-config.json" "! [ -f '$TMP_PROJECT/.ai-spec/visual-config.json' ]"
+
+# =========================================================
+print_section "闭环 1：inbox-consumer 应用 approve_gate 控制指令"
+# =========================================================
+
+INBOX_DIR="$TMP_PROJECT/.ai-spec/inbox"
+mkdir -p "$INBOX_DIR"
+
+# 构造一个无 secret 的本地受信指令
+cat > "$INBOX_DIR/control-test-001.json" <<'JSON'
+{
+  "outbox_id": "test-outbox-001",
+  "command": "approve_gate",
+  "payload": { "gate": "designer-handoff", "next_role": "executor" },
+  "signature": ""
+}
+JSON
+
+CONSUME_OUTPUT=$(node -e "
+const path = require('path');
+const consumer = require('${ROOT_DIR}/internal/visual-hooks/inbox-consumer');
+consumer
+  .consumeInbox({
+    targetDir: '$TMP_PROJECT',
+    timeoutMs: 500,
+    skipPull: true,
+    skipPush: true,
+  })
+  .then((res) => {
+    console.log(JSON.stringify(res));
+  })
+  .catch((err) => {
+    console.error('CONSUME_ERROR', err.message);
+    process.exit(1);
+  });
+" 2>&1)
+
+echo "  consumeInbox 结果：$CONSUME_OUTPUT"
+check "至少处理 1 个控制指令" "echo '$CONSUME_OUTPUT' | grep -q '\"processed\":1'"
+check "原始 inbox 文件已搬移" "! [ -f '$INBOX_DIR/control-test-001.json' ]"
+FOUND_PROCESSED=$(find "$INBOX_DIR/.applied" "$INBOX_DIR/.processed" "$INBOX_DIR/.failed" -type f -name '*control-test-001*' 2>/dev/null | wc -l | tr -d ' ')
+check "处理结果落到 .processed/.applied/.failed 之一" "[ '$FOUND_PROCESSED' -ge '1' ]"
+
+# =========================================================
+print_section "停服 1：bridge 启用但 visual 不可达，consumeInbox 仍按超时返回"
+# =========================================================
+
+cat > "$TMP_PROJECT/.ai-spec/visual-bridge.json" <<JSON
+{
+  "enabled": true,
+  "visual_url": "http://127.0.0.1:1",
+  "workspace_id": "accept-tmp",
+  "connect_token": "demo-token"
+}
+JSON
+
+START_MS=$(node -e 'console.log(Date.now())')
+node -e "
+const consumer = require('${ROOT_DIR}/internal/visual-hooks/inbox-consumer');
+consumer
+  .consumeInbox({
+    targetDir: '$TMP_PROJECT',
+    timeoutMs: 200,
+  })
+  .then((res) => {
+    console.log('STOPSERVE_OK', JSON.stringify(res));
+  })
+  .catch(() => {
+    console.log('STOPSERVE_FAIL');
+    process.exit(2);
+  });
+" >/tmp/ai-spec-accept-stopserve.log 2>&1
+EXIT_CODE=$?
+END_MS=$(node -e 'console.log(Date.now())')
+ELAPSED=$((END_MS - START_MS))
+
+echo "  停服模式 consumeInbox 返回码：${EXIT_CODE}，耗时 ${ELAPSED}ms"
+check "停服模式下 consumeInbox 不抛异常" "[ '${EXIT_CODE}' = '0' ]"
+check "停服模式下耗时 ≤ 3000ms（不阻塞协议推进）" "[ '${ELAPSED}' -le '3000' ]"
+
+# =========================================================
+print_section "汇总"
+# =========================================================
+
+echo ""
+echo "  通过：$PASS    失败：$FAIL"
+echo "  临时项目：$TMP_PROJECT"
+echo "  停服日志：/tmp/ai-spec-accept-stopserve.log"
+echo ""
+
+if [ "$FAIL" -gt 0 ]; then
+  exit 1
+fi
+exit 0