@h-ai/cli 0.1.0-alpha.56 → 0.1.0-alpha.57

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "@h-ai/cli",
   "type": "module",
-  "version": "0.1.0-alpha.56",
+  "version": "0.1.0-alpha.57",
   "description": "Hai Framework CLI for project scaffolding and code generation.",
   "license": "Apache-2.0",
   "keywords": [
@@ -37,7 +37,7 @@
     "ora": "^9.1.0",
     "prompts": "^2.4.2",
     "yaml": "^2.7.0",
-    "@h-ai/core": "0.1.0-alpha.56"
+    "@h-ai/core": "0.1.0-alpha.57"
   },
   "devDependencies": {
     "@types/fs-extra": "^11.0.4",
@@ -47,11 +47,11 @@
     "tsup": "^8.5.1",
     "typescript": "^6.0.3",
     "vitest": "^4.1.7",
-    "@h-ai/cache": "0.1.0-alpha.56",
-    "@h-ai/deploy": "0.1.0-alpha.56",
-    "@h-ai/reach": "0.1.0-alpha.56",
-    "@h-ai/reldb": "0.1.0-alpha.56",
-    "@h-ai/storage": "0.1.0-alpha.56"
+    "@h-ai/cache": "0.1.0-alpha.57",
+    "@h-ai/reldb": "0.1.0-alpha.57",
+    "@h-ai/deploy": "0.1.0-alpha.57",
+    "@h-ai/reach": "0.1.0-alpha.57",
+    "@h-ai/storage": "0.1.0-alpha.57"
   },
   "scripts": {
     "build": "tsup",

package/templates/apps/api/.gitignore.hbs

@@ -0,0 +1,13 @@
+node_modules
+.turbo
+dist
+build
+playwright-report
+test-results
+.env
+.env.*
+!.env.example
+!.env.example.hbs
+
+# hai deploy 产物（compose / .env.runtime / 镜像 tar / sidecar 凭据）
+.hai/

package/templates/apps/api/.npmrc.hbs

@@ -0,0 +1,2 @@
+node-linker=hoisted
+shamefully-hoist=true

package/templates/apps/api/e2e/api-service.spec.ts.hbs

@@ -1,5 +1,5 @@
-import { expect, test } from '@playwright/test'
 import { apiContract } from '@h-ai/api-contract'
+import { expect, test } from '@playwright/test'
 import { {{api.contractExportName}} } from '{{api.contractPackageName}}'
 
 const API_PREFIX = '/api/v1'

package/templates/apps/api/{eslint.config.js → eslint.config.js.hbs}

@@ -1,11 +1,15 @@
-import antfu from '@antfu/eslint-config'
+import antfu, { GLOB_SRC } from '@antfu/eslint-config'
+import { haiQualityConfig } from './eslint-rules.js'
 
 export default antfu({
+  // unused-imports 使用 TS 规则，JS 同样使用 TS parser 以保持 scope 契约一致。
+  typescript: { files: [GLOB_SRC] },
   formatters: true,
   ignores: [
     '**/dist/**',
     '**/node_modules/**',
     '**/.agents/**',
+    '**/.claude/**',
     '**/.github/**',
     '**/AGENTS.md',
     '**/CLAUDE.md',
@@ -13,13 +17,7 @@ export default antfu({
     '**/opencode.json',
     '**/package.json',
   ],
-}, {
-  files: ['**/*.js', '**/*.mjs', '**/*.ts'],
-  rules: {
-    'no-console': 'error',
-    'ts/no-explicit-any': 'error',
-  },
-}, {
+}, haiQualityConfig, {
   files: ['**/tsconfig.json', '**/tsconfig.*.json'],
   rules: {
     'jsonc/sort-keys': 'off',

package/templates/apps/api/package.json.hbs

@@ -15,7 +15,7 @@
     "podman:build": "podman build --format docker --jobs=1 --target runtime -t {{projectName}}:latest .",
     "podman:build:data": "podman build --format docker --jobs=1 --target runtime-with-data --build-context embedded-data=./apps/{{projectName}}-service/data -t {{projectName}}:latest .",
     "typecheck": "pnpm --filter {{api.contractPackageName}} build && pnpm -r --if-present typecheck",
-    "lint": "pnpm -r --if-present lint",
+    "lint": "eslint *.js *.ts e2e && pnpm -r --if-present lint",
     "test": "pnpm --filter {{api.contractPackageName}} build && pnpm -r --if-present test",
     "test:e2e": "pnpm build && playwright test",
     "clean": "pnpm -r --if-present clean && rimraf node_modules .turbo"

package/templates/apps/fullstack/.gitignore.hbs

@@ -0,0 +1,16 @@
+node_modules
+.turbo
+dist
+build
+**/src/lib/paraglide
+playwright-report
+test-results
+.env
+.env.*
+!.env.example
+!.env.example.hbs
+**/src-tauri/gen/
+**/src-tauri/target/
+
+# hai deploy 产物（compose / .env.runtime / 镜像 tar / sidecar 凭据）
+.hai/

package/templates/apps/fullstack/.npmrc.hbs

@@ -0,0 +1,2 @@
+node-linker=hoisted
+shamefully-hoist=true

package/templates/apps/fullstack/apps/{{projectName}}-app/eslint.config.js.hbs

@@ -1,18 +1,15 @@
 {{! @skipIfEmpty }}
 {{#if fullstack.frontends.app}}
-import antfu from '@antfu/eslint-config'
+import antfu, { GLOB_SRC } from '@antfu/eslint-config'
+import { haiQualityConfig } from '../../eslint-rules.js'
 
 export default antfu({
+  // unused-imports 使用 TS 规则，JS 同样使用 TS parser 以保持 scope 契约一致。
+  typescript: { files: [GLOB_SRC] },
   formatters: true,
   ignores: ['**/build/**', '**/dist/**', '**/*.d.ts', '**/project.inlang/**', '**/src/lib/paraglide/**'],
   svelte: true,
-}, {
-  files: ['**/*.ts', '**/*.svelte'],
-  rules: {
-    'no-console': 'error',
-    'ts/no-explicit-any': 'error',
-  },
-}, {
+}, haiQualityConfig, {
   files: ['**/*.svelte'],
   rules: {
     'svelte/html-quotes': 'off',

package/templates/apps/fullstack/apps/{{projectName}}-desktop/eslint.config.js.hbs

@@ -1,18 +1,15 @@
 {{! @skipIfEmpty }}
 {{#if fullstack.frontends.desktop}}
-import antfu from '@antfu/eslint-config'
+import antfu, { GLOB_SRC } from '@antfu/eslint-config'
+import { haiQualityConfig } from '../../eslint-rules.js'
 
 export default antfu({
+  // unused-imports 使用 TS 规则，JS 同样使用 TS parser 以保持 scope 契约一致。
+  typescript: { files: [GLOB_SRC] },
   formatters: true,
   ignores: ['**/build/**', '**/dist/**', '**/*.d.ts', '**/project.inlang/**', '**/src/lib/paraglide/**'],
   svelte: true,
-}, {
-  files: ['**/*.ts', '**/*.svelte'],
-  rules: {
-    'no-console': 'error',
-    'ts/no-explicit-any': 'error',
-  },
-}, {
+}, haiQualityConfig, {
   files: ['**/*.svelte'],
   rules: {
     'svelte/html-quotes': 'off',

package/templates/apps/fullstack/apps/{{projectName}}-web/eslint.config.js.hbs

@@ -1,18 +1,15 @@
 {{! @skipIfEmpty }}
 {{#if fullstack.frontends.web}}
-import antfu from '@antfu/eslint-config'
+import antfu, { GLOB_SRC } from '@antfu/eslint-config'
+import { haiQualityConfig } from '../../eslint-rules.js'
 
 export default antfu({
+  // unused-imports 使用 TS 规则，JS 同样使用 TS parser 以保持 scope 契约一致。
+  typescript: { files: [GLOB_SRC] },
   formatters: true,
   ignores: ['**/build/**', '**/dist/**', '**/*.d.ts', '**/project.inlang/**', '**/src/lib/paraglide/**'],
   svelte: true,
-}, {
-  files: ['**/*.ts', '**/*.svelte'],
-  rules: {
-    'no-console': 'error',
-    'ts/no-explicit-any': 'error',
-  },
-}, {
+}, haiQualityConfig, {
   files: ['**/*.svelte'],
   rules: {
     'svelte/html-quotes': 'off',

package/templates/apps/fullstack/e2e/fullstack.spec.ts.hbs

@@ -1,5 +1,5 @@
-import { expect, test } from '@playwright/test'
 import { apiContract } from '@h-ai/api-contract'
+import { expect, test } from '@playwright/test'
 import { {{fullstack.contractExportName}} } from '{{fullstack.contractPackageName}}'
 
 const DEFAULT_SERVICE_BASE_URL = 'http://127.0.0.1:3000'

package/templates/apps/fullstack/{eslint.config.js → eslint.config.js.hbs}

@@ -1,6 +1,9 @@
-import antfu from '@antfu/eslint-config'
+import antfu, { GLOB_SRC } from '@antfu/eslint-config'
+import { haiQualityConfig } from './eslint-rules.js'
 
 export default antfu({
+  // unused-imports 使用 TS 规则，JS 同样使用 TS parser 以保持 scope 契约一致。
+  typescript: { files: [GLOB_SRC] },
   formatters: true,
   ignores: [
     '**/build/**',
@@ -9,6 +12,7 @@ export default antfu({
     '**/project.inlang/**',
     '**/*.d.ts',
     '**/.agents/**',
+    '**/.claude/**',
     '**/.github/**',
     '**/AGENTS.md',
     '**/CLAUDE.md',
@@ -17,13 +21,7 @@ export default antfu({
     '**/package.json',
   ],
   svelte: true,
-}, {
-  files: ['**/*.ts', '**/*.svelte'],
-  rules: {
-    'no-console': 'error',
-    'ts/no-explicit-any': 'error',
-  },
-}, {
+}, haiQualityConfig, {
   files: ['**/*.svelte'],
   rules: {
     'svelte/html-quotes': 'off',

package/templates/apps/fullstack/package.json.hbs

@@ -21,7 +21,7 @@
     "package": "pnpm build{{#if fullstack.frontends.web}} && pnpm --filter {{projectName}}-web package{{/if}}{{#if fullstack.frontends.app}} && pnpm --filter {{projectName}}-app package{{/if}}{{#if fullstack.frontends.desktop}} && pnpm --filter {{projectName}}-desktop package{{/if}}",
     "deploy": "pnpm package",
     "typecheck": "pnpm --filter {{fullstack.contractPackageName}} build && pnpm i18n:compile && pnpm -r --if-present typecheck",
-    "lint": "pnpm -r --if-present lint",
+    "lint": "eslint *.js *.ts e2e && pnpm -r --if-present lint",
     "test": "pnpm --filter {{fullstack.contractPackageName}} build && pnpm i18n:compile && pnpm -r --if-present test",
     "test:e2e": "pnpm build && playwright test",
     "clean": "pnpm -r --if-present clean && rimraf node_modules .turbo"

package/templates/base/.npmrc.hbs

@@ -0,0 +1,15 @@
+# =============================================================================
+# pnpm configuration
+# =============================================================================
+
+# Hoist all packages to node_modules root (required for native addons like better-sqlite3)
+shamefully-hoist=true
+
+# Use hoisted node_modules layout instead of pnpm's default symlink isolation
+node-linker=hoisted
+
+# Do not fail on peer dependency conflicts
+strict-peer-dependencies=false
+
+# Automatically install missing peer dependencies
+auto-install-peers=true

package/templates/base/eslint-rules.js

@@ -0,0 +1,45 @@
+/**
+ * 应用共享质量门禁。依赖 Antfu 已注册的 TypeScript / ESLint comments 插件。
+ * 必要第三方 workaround 使用单行 eslint-disable-next-line <规则> -- 具体原因，
+ * 不关闭整个文件的检查。秘密泄漏、输入/权限校验仍需结合业务审查。
+ */
+export const haiQualityConfig = {
+  files: ['**/*.{js,mjs,cjs,ts,tsx,svelte}'],
+  linterOptions: {
+    reportUnusedDisableDirectives: 'error',
+  },
+  rules: {
+    'no-console': ['error', {}],
+    'ts/no-explicit-any': 'error',
+    'ts/ban-ts-comment': ['error', {
+      'ts-ignore': true,
+      'ts-nocheck': true,
+      'ts-check': false,
+      'ts-expect-error': 'allow-with-description',
+      'minimumDescriptionLength': 10,
+    }],
+    'eslint-comments/no-unlimited-disable': 'error',
+    'eslint-comments/require-description': 'error',
+    // 只禁内部源码/构建目录，公开的 /client、/adapter 等 exports 子路径可用。
+    'no-restricted-imports': ['error', {
+      patterns: [{
+        group: ['@h-ai/*/src', '@h-ai/*/src/**', '@h-ai/*/dist', '@h-ai/*/dist/**'],
+        message: 'Use the public exports of hai packages instead of their src/dist internals.',
+      }],
+    }],
+    'no-restricted-syntax': ['error', {
+      selector: ':matches(TSAsExpression, TSTypeAssertion)[expression.typeAnnotation.type="TSUnknownKeyword"]',
+      message: 'Use the real upstream type or narrow unknown. Explain necessary third-party workarounds with a scoped lint exception.',
+    }, {
+      selector: 'ImportExpression[source.value=/^@h-ai\\/[^/]+\\/(src|dist)(\\/|$)/]',
+      message: 'Use the public exports of hai packages instead of their src/dist internals.',
+    }, {
+      // 仅识别明确的静态敏感键；变量键、别名及业务敏感程度仍需审查。
+      selector: 'CallExpression[callee.property.name="setItem"][callee.object.name="localStorage"][arguments.0.value=/^(token|password|secret|api[_-]?key|(access|refresh|auth|session)[_-]?token)$/i]',
+      message: 'Keep sensitive tokens in memory, httpOnly cookies or a secure native TokenStore instead of localStorage.',
+    }, {
+      selector: 'CallExpression[callee.property.name="setItem"][callee.object.property.name="localStorage"][arguments.0.value=/^(token|password|secret|api[_-]?key|(access|refresh|auth|session)[_-]?token)$/i]',
+      message: 'Keep sensitive tokens in memory, httpOnly cookies or a secure native TokenStore instead of localStorage.',
+    }],
+  },
+}

package/templates/base/eslint.config.js.hbs

@@ -4,9 +4,12 @@
  * @see https://github.com/antfu/eslint-config
  */
 
-import antfu from '@antfu/eslint-config'
+import antfu, { GLOB_SRC } from '@antfu/eslint-config'
+import { haiQualityConfig } from './eslint-rules.js'
 
 export default antfu({
+  // unused-imports 使用 TS 规则，JS 同样使用 TS parser 以保持 scope 契约一致。
+  typescript: { files: [GLOB_SRC] },
   formatters: true,
   ignores: [
 {{#unless isSvelteOnlyApp}}
@@ -18,6 +21,7 @@ export default antfu({
     '**/project.inlang/**',
     '**/paraglide/**',
     '**/.agents/**',
+    '**/.claude/**',
     '**/.github/**',
     '**/AGENTS.md',
     '**/CLAUDE.md',
@@ -27,10 +31,4 @@ export default antfu({
     '**/pnpm-workspace.yaml',
   ],
   svelte: true,
-}, {
-  files: ['**/*.ts', '**/*.svelte'],
-  rules: {
-    'no-console': 'error',
-    'ts/no-explicit-any': 'error',
-  },
-})
+}, haiQualityConfig)

package/templates/base/package.json.hbs

@@ -1,7 +1,7 @@
 {
   "engines": { "node": ">=22.12.0" },
   "name": "{{projectName}}",
-  "version": "0.1.0-alpha.56",
+  "version": "0.1.0-alpha.57",
   "private": true,
   "packageManager": "pnpm@9.15.0",
   "description": "{{#if_eq appType 'admin'}}Enterprise management system built with hai Agent Framework{{/if_eq}}{{#if_eq appType 'website'}}Enterprise website built with hai Agent Framework{{/if_eq}}{{#if_eq appType 'h5'}}Mobile H5 app built with hai Agent Framework{{/if_eq}}{{#if_eq appType 'api'}}REST API service built with hai Agent Framework{{/if_eq}}{{#if_eq appType 'mobile-app'}}Mobile app built with hai Agent Framework{{/if_eq}}",

package/templates/skills/AGENTS.md

@@ -4,6 +4,14 @@
 
 ## 行为契约
 
+普通新增、修改、修复任务开始前，先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)；再按任务读取模块 Skill 及其相邻参考文件。架构/构建、审查、测试分别读取 hai-build、hai-app-review、hai-app-tests，不加载整个 skill 树。
+
+- 对当前需求逐项检索 hai-framework 能力和已有实现，确认适用的公开 API 后优先复用；未安装模块先核对依赖与配置，不能因 Skill 已存在就假定已启用。框架不适用时说明具体限制与选用方案，不为覆盖清单引入无关模块。
+- 按已安装版本的公开类型确认模块契约：生命周期模块按 init → use → close；core/serv/kit、纯函数/工厂与流按实际签名处理。返回 HaiResult 的操作先检查 success，不以 try/catch 代替判断；事务失败明确触发回滚。
+- 边界输入做 schema 校验，服务端验证身份、租户与资源权限；SQL 动态值参数化，文件路径防逃逸。密钥不进入 PUBLIC_/VITE_ 变量、客户端代码和日志；敏感 token 不写 localStorage。
+- 禁止 any、无说明的 as unknown as、console.log 和硬编码密钥；从包公开入口导入。注释中文、结构化日志英文并脱敏，用户文本走现有 i18n 并同步所有 locale。
+- 完成时说明实际复用的框架能力、未采用的相关能力及原因、门禁结果；跨边界同步类型、配置、调用方、文档和测试。
+
 先读 README、package.json、相关实现/测试和所需 .agents/skills；不要加载整个 skill 树。新增抽象前确认复用路径与真实需求；保留用户改动。跨文件任务简述影响和验证计划，无须固定规模标签或重复问卷。
 
 - 直接影响：修改 / 新建 / 删除哪些文件；哪些脚本、类型、配置或路由会变。
@@ -13,14 +21,7 @@
 
 本项目由 hai-framework CLI 生成。单应用工程通常在 `src/` 下开发；多包工程会同时包含 `packages/*` 与 `apps/*`。实际结构以当前项目目录为准。
 
-## 通用硬约束
-
-- 先用全局检索确认是否已有实现、测试和文档；优先复用，避免为“未来可能”新增抽象。
-- 生命周期模块按 init → use → close；core/serv/kit/纯函数和流式 API 按实际签名使用。返回 HaiResult 的业务操作先检查 success，不以 try/catch 代替判断。
-- 禁止 `any`、无说明的危险类型断言、`console.log`、硬编码密钥。
-- 用户可见文本必须走 i18n；如果项目启用了 `messages/zh-CN.json` 与 `messages/en-US.json`，修改文案时必须同步更新。
-- 代码注释中文，日志消息英文。
-- 如项目使用 SvelteKit，`+server.ts` 只能导出 HTTP handler 与 SvelteKit 允许的配置项；辅助函数放到 `src/lib/**`。
+如项目使用 SvelteKit，`+server.ts` 只能导出 HTTP handler 与 SvelteKit 允许的配置项；辅助函数放到 `src/lib/**`。
 
 ## 工作流程
 

package/templates/skills/CLAUDE.md

@@ -9,3 +9,7 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。
+
+Claude Code 从 `.claude/skills/` 原生发现技能入口，再读取 `.agents/skills/` 的共享正文与相邻参考。项目规则通过 `@AGENTS.md` 加载；同名技能不在入口目录另维护一份规则。

package/templates/skills/bridges/admin/AGENTS.md

@@ -4,6 +4,14 @@
 
 ## 行为契约
 
+普通新增、修改、修复任务开始前，先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)；再按任务读取模块 Skill 及其相邻参考文件。架构/构建、审查、测试分别读取 hai-build、hai-app-review、hai-app-tests，不加载整个 skill 树。
+
+- 对当前需求逐项检索 hai-framework 能力和已有实现，确认适用的公开 API 后优先复用；未安装模块先核对依赖与配置，不能因 Skill 已存在就假定已启用。框架不适用时说明具体限制与选用方案，不为覆盖清单引入无关模块。
+- 按已安装版本的公开类型确认模块契约：生命周期模块按 init → use → close；core/serv/kit、纯函数/工厂与流按实际签名处理。返回 HaiResult 的操作先检查 success，不以 try/catch 代替判断；事务失败明确触发回滚。
+- 边界输入做 schema 校验，服务端验证身份、租户与资源权限；SQL 动态值参数化，文件路径防逃逸。密钥不进入 PUBLIC_/VITE_ 变量、客户端代码和日志；敏感 token 不写 localStorage。
+- 禁止 any、无说明的 as unknown as、console.log 和硬编码密钥；从包公开入口导入。注释中文、结构化日志英文并脱敏，用户文本走现有 i18n 并同步所有 locale。
+- 完成时说明实际复用的框架能力、未采用的相关能力及原因、门禁结果；跨边界同步类型、配置、调用方、文档和测试。
+
 先读 README、package.json、相关实现/测试和所需 .agents/skills；不要加载整个 skill 树。新增抽象前确认复用路径与真实需求；保留用户改动。跨文件任务简述影响和验证计划，无须固定规模标签或重复问卷。
 
 - 直接影响：哪些 `+page.svelte`、`+layout.svelte`、`+page.server.ts`、`+server.ts`、service、messages、README、测试会变。

package/templates/skills/bridges/admin/CLAUDE.md

@@ -9,3 +9,7 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。
+
+Claude Code 从 `.claude/skills/` 原生发现技能入口，再读取 `.agents/skills/` 的共享正文与相邻参考。项目规则通过 `@AGENTS.md` 加载；同名技能不在入口目录另维护一份规则。

package/templates/skills/bridges/admin/copilot-instructions.md

@@ -7,3 +7,5 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](../.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](../.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。

package/templates/skills/bridges/api/AGENTS.md

@@ -4,6 +4,14 @@
 
 ## 行为契约
 
+普通新增、修改、修复任务开始前，先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)；再按任务读取模块 Skill 及其相邻参考文件。架构/构建、审查、测试分别读取 hai-build、hai-app-review、hai-app-tests，不加载整个 skill 树。
+
+- 对当前需求逐项检索 hai-framework 能力和已有实现，确认适用的公开 API 后优先复用；未安装模块先核对依赖与配置，不能因 Skill 已存在就假定已启用。框架不适用时说明具体限制与选用方案，不为覆盖清单引入无关模块。
+- 按已安装版本的公开类型确认模块契约：生命周期模块按 init → use → close；core/serv/kit、纯函数/工厂与流按实际签名处理。返回 HaiResult 的操作先检查 success，不以 try/catch 代替判断；事务失败明确触发回滚。
+- 边界输入做 schema 校验，服务端验证身份、租户与资源权限；SQL 动态值参数化，文件路径防逃逸。密钥不进入 PUBLIC_/VITE_ 变量、客户端代码和日志；敏感 token 不写 localStorage。
+- 禁止 any、无说明的 as unknown as、console.log 和硬编码密钥；从包公开入口导入。注释中文、结构化日志英文并脱敏，用户文本走现有 i18n 并同步所有 locale。
+- 完成时说明实际复用的框架能力、未采用的相关能力及原因、门禁结果；跨边界同步类型、配置、调用方、文档和测试。
+
 先读 README、package.json、相关实现/测试和所需 .agents/skills；不要加载整个 skill 树。新增抽象前确认复用路径与真实需求；保留用户改动。跨文件任务简述影响和验证计划，无须固定规模标签或重复问卷。
 
 - 直接影响：哪些 `apps/*-contract`、`apps/*-service`、config、README、测试会变。
@@ -18,7 +26,6 @@
 - API 输入输出必须由 `apps/*-contract/src/**` 中的 Zod schema 与 contract 定义统一约束。
 - Service 通过 `@h-ai/serv` + `@h-ai/api-contract` 装配 HTTP App；不要退回到 SvelteKit API routes 架构。
 - Typed client / contract / service 三者保持同一份路径与类型定义，不要复制粘贴接口。
-- 返回 `HaiResult<T>` 的业务 API 先判断 `success`；纯函数、工厂与流按实际签名处理。
 - 不生成用户页面；不要引入 UI 专属依赖或页面文案。
 - 配置和密钥来自 `apps/*-service/config/` 与环境变量，禁止硬编码。
 

package/templates/skills/bridges/api/CLAUDE.md

@@ -9,3 +9,7 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。
+
+Claude Code 从 `.claude/skills/` 原生发现技能入口，再读取 `.agents/skills/` 的共享正文与相邻参考。项目规则通过 `@AGENTS.md` 加载；同名技能不在入口目录另维护一份规则。

package/templates/skills/bridges/api/copilot-instructions.md

@@ -9,3 +9,5 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](../.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](../.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。

package/templates/skills/bridges/fullstack/AGENTS.md.hbs

@@ -4,9 +4,16 @@ Fullstack 多包工程入口。先读 README、根 workspace 脚本与相关 pac
 
 ## 行为契约
 
+普通新增、修改、修复任务开始前，先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)；再按任务读取模块 Skill 及其相邻参考文件。架构/构建、审查、测试分别读取 hai-build、hai-app-review、hai-app-tests，不加载整个 skill 树。
+
+- 对当前需求逐项检索 hai-framework 能力和已有实现，确认适用的公开 API 后优先复用；未安装模块先核对依赖与配置，不能因 Skill 已存在就假定已启用。框架不适用时说明具体限制与选用方案，不为覆盖清单引入无关模块。
+- 按已安装版本的公开类型确认模块契约：生命周期模块按 init → use → close；core/serv/kit、纯函数/工厂与流按实际签名处理。返回 HaiResult 的操作先检查 success，不以 try/catch 代替判断；事务失败明确触发回滚。
+- 边界输入做 schema 校验，服务端验证身份、租户与资源权限；SQL 动态值参数化，文件路径防逃逸。密钥不进入 PUBLIC_/VITE_ 变量、客户端代码和日志；敏感 token 不写 localStorage。
+- 禁止 any、无说明的 as unknown as、console.log 和硬编码密钥；从包公开入口导入。注释中文、结构化日志英文并脱敏，用户文本走现有 i18n 并同步所有 locale。
+- 完成时说明实际复用的框架能力、未采用的相关能力及原因、门禁结果；跨边界同步类型、配置、调用方、文档和测试。
+
 - 修改前检索实现、调用方、测试和文档，优先复用现有 contract、procedure、共享组件与脚本。
 - 跨包变更先明确受影响的 contract、serv、shared、前端及交付流程，再同步调用方；不必输出固定问卷。
-- 禁止 `any`、`console.log`、硬编码密钥。代码注释中文，日志英文；用户文本走 i18n。
 
 ## 架构边界
 
@@ -21,7 +28,6 @@ Fullstack 多包工程入口。先读 README、根 workspace 脚本与相关 pac
 | `apps/{{projectName}}-miniapp` | 选择 miniapp 时生成的预留说明与文案，当前不是可运行应用 |
 
 - 前端负责 UI 与请求编排；后端业务放 serv，共享能力放 shared。本样板默认不用 `@h-ai/kit`，不要混入 SvelteKit load / route 结构。
-- 返回 `HaiResult<T>` 的业务 API 先判断 `success`，业务错误直接透传；纯函数、工厂和流按实际签名使用，不能假定都返回 HaiResult。
 - 用户文本按 shared 跨端文案与各 app 专属文案分工，同步现有 locale。
 - 认证接入前检查现有实现；样板不意味着已配好 Cookie 或安全 token 存储。新增认证时 Web 明确 Cookie/内存方案，App 原生端配置安全 TokenStorage，Desktop 按 Tauri 安全边界实现。
 

package/templates/skills/bridges/fullstack/CLAUDE.md.hbs

@@ -3,3 +3,7 @@
 @AGENTS.md
 
 共享规范见 [AGENTS.md](AGENTS.md)；若未自动展开，先手动阅读。fullstack 后端业务在 `packages/{{projectName}}-serv`；contract、shared client 与前端调用方同步修改。模块用法按需读取 `.agents/skills/`。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。
+
+Claude Code 从 `.claude/skills/` 原生发现技能入口，再读取 `.agents/skills/` 的共享正文与相邻参考。项目规则通过 `@AGENTS.md` 加载；同名技能不在入口目录另维护一份规则。

package/templates/skills/bridges/fullstack/copilot-instructions.md.hbs

@@ -12,3 +12,5 @@
 ## 完成条件
 
 同步受影响的 contract、serv、shared、各端调用方及文档与测试，报告门禁结果和未执行原因。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](../.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](../.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。

package/templates/skills/bridges/h5/AGENTS.md

@@ -4,6 +4,14 @@
 
 ## 行为契约
 
+普通新增、修改、修复任务开始前，先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)；再按任务读取模块 Skill 及其相邻参考文件。架构/构建、审查、测试分别读取 hai-build、hai-app-review、hai-app-tests，不加载整个 skill 树。
+
+- 对当前需求逐项检索 hai-framework 能力和已有实现，确认适用的公开 API 后优先复用；未安装模块先核对依赖与配置，不能因 Skill 已存在就假定已启用。框架不适用时说明具体限制与选用方案，不为覆盖清单引入无关模块。
+- 按已安装版本的公开类型确认模块契约：生命周期模块按 init → use → close；core/serv/kit、纯函数/工厂与流按实际签名处理。返回 HaiResult 的操作先检查 success，不以 try/catch 代替判断；事务失败明确触发回滚。
+- 边界输入做 schema 校验，服务端验证身份、租户与资源权限；SQL 动态值参数化，文件路径防逃逸。密钥不进入 PUBLIC_/VITE_ 变量、客户端代码和日志；敏感 token 不写 localStorage。
+- 禁止 any、无说明的 as unknown as、console.log 和硬编码密钥；从包公开入口导入。注释中文、结构化日志英文并脱敏，用户文本走现有 i18n 并同步所有 locale。
+- 完成时说明实际复用的框架能力、未采用的相关能力及原因、门禁结果；跨边界同步类型、配置、调用方、文档和测试。
+
 先读 README、package.json、相关实现/测试和所需 .agents/skills；不要加载整个 skill 树。新增抽象前确认复用路径与真实需求；保留用户改动。跨文件任务简述影响和验证计划，无须固定规模标签或重复问卷。
 
 - 直接影响：哪些页面、layout、导航、API、messages、README、测试会变。

package/templates/skills/bridges/h5/CLAUDE.md

@@ -9,3 +9,7 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。
+
+Claude Code 从 `.claude/skills/` 原生发现技能入口，再读取 `.agents/skills/` 的共享正文与相邻参考。项目规则通过 `@AGENTS.md` 加载；同名技能不在入口目录另维护一份规则。

package/templates/skills/bridges/h5/copilot-instructions.md

@@ -7,3 +7,5 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](../.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](../.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。

package/templates/skills/bridges/mobile-app/AGENTS.md

@@ -4,6 +4,14 @@
 
 ## 行为契约
 
+普通新增、修改、修复任务开始前，先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)；再按任务读取模块 Skill 及其相邻参考文件。架构/构建、审查、测试分别读取 hai-build、hai-app-review、hai-app-tests，不加载整个 skill 树。
+
+- 对当前需求逐项检索 hai-framework 能力和已有实现，确认适用的公开 API 后优先复用；未安装模块先核对依赖与配置，不能因 Skill 已存在就假定已启用。框架不适用时说明具体限制与选用方案，不为覆盖清单引入无关模块。
+- 按已安装版本的公开类型确认模块契约：生命周期模块按 init → use → close；core/serv/kit、纯函数/工厂与流按实际签名处理。返回 HaiResult 的操作先检查 success，不以 try/catch 代替判断；事务失败明确触发回滚。
+- 边界输入做 schema 校验，服务端验证身份、租户与资源权限；SQL 动态值参数化，文件路径防逃逸。密钥不进入 PUBLIC_/VITE_ 变量、客户端代码和日志；敏感 token 不写 localStorage。
+- 禁止 any、无说明的 as unknown as、console.log 和硬编码密钥；从包公开入口导入。注释中文、结构化日志英文并脱敏，用户文本走现有 i18n 并同步所有 locale。
+- 完成时说明实际复用的框架能力、未采用的相关能力及原因、门禁结果；跨边界同步类型、配置、调用方、文档和测试。
+
 先读 README、package.json、相关实现/测试和所需 .agents/skills；不要加载整个 skill 树。新增抽象前确认复用路径与真实需求；保留用户改动。跨文件任务简述影响和验证计划，无须固定规模标签或重复问卷。
 
 - 直接影响：哪些页面、store、原生桥接、messages、README、测试和打包脚本会变。

package/templates/skills/bridges/mobile-app/CLAUDE.md

@@ -9,3 +9,7 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。
+
+Claude Code 从 `.claude/skills/` 原生发现技能入口，再读取 `.agents/skills/` 的共享正文与相邻参考。项目规则通过 `@AGENTS.md` 加载；同名技能不在入口目录另维护一份规则。

package/templates/skills/bridges/mobile-app/copilot-instructions.md

@@ -7,3 +7,5 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](../.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](../.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。

package/templates/skills/bridges/website/AGENTS.md

@@ -4,6 +4,14 @@
 
 ## 行为契约
 
+普通新增、修改、修复任务开始前，先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)；再按任务读取模块 Skill 及其相邻参考文件。架构/构建、审查、测试分别读取 hai-build、hai-app-review、hai-app-tests，不加载整个 skill 树。
+
+- 对当前需求逐项检索 hai-framework 能力和已有实现，确认适用的公开 API 后优先复用；未安装模块先核对依赖与配置，不能因 Skill 已存在就假定已启用。框架不适用时说明具体限制与选用方案，不为覆盖清单引入无关模块。
+- 按已安装版本的公开类型确认模块契约：生命周期模块按 init → use → close；core/serv/kit、纯函数/工厂与流按实际签名处理。返回 HaiResult 的操作先检查 success，不以 try/catch 代替判断；事务失败明确触发回滚。
+- 边界输入做 schema 校验，服务端验证身份、租户与资源权限；SQL 动态值参数化，文件路径防逃逸。密钥不进入 PUBLIC_/VITE_ 变量、客户端代码和日志；敏感 token 不写 localStorage。
+- 禁止 any、无说明的 as unknown as、console.log 和硬编码密钥；从包公开入口导入。注释中文、结构化日志英文并脱敏，用户文本走现有 i18n 并同步所有 locale。
+- 完成时说明实际复用的框架能力、未采用的相关能力及原因、门禁结果；跨边界同步类型、配置、调用方、文档和测试。
+
 先读 README、package.json、相关实现/测试和所需 .agents/skills；不要加载整个 skill 树。新增抽象前确认复用路径与真实需求；保留用户改动。跨文件任务简述影响和验证计划，无须固定规模标签或重复问卷。
 
 - 直接影响：哪些页面、layout、表单/API、messages、README、测试会变。

package/templates/skills/bridges/website/CLAUDE.md

@@ -9,3 +9,7 @@
 ## 质量门禁
 
 按 AGENTS.md 和实际 package.json 选择 typecheck、lint、build、test、test:e2e；最终说明已执行结果、未运行原因及同步文档/依赖方。
+
+普通新增、修改、修复任务先读 [应用开发 Skill](.agents/skills/hai-app-create/SKILL.md) 和 [开发规范与框架能力路由](.agents/skills/hai-app-create/development.md)，依照 AGENTS.md 的默认规则复用框架并完成安全与质量验证。
+
+Claude Code 从 `.claude/skills/` 原生发现技能入口，再读取 `.agents/skills/` 的共享正文与相邻参考。项目规则通过 `@AGENTS.md` 加载；同名技能不在入口目录另维护一份规则。