@huicai/cli 2026.712.80880 → 2026.721.0

package/skills/eng-security/SKILL.md

@@ -0,0 +1,73 @@
+---
+name: eng-security
+description: 安全工程链（S-SDLC 各环节安全活动表→STRIDE 威胁建模→安全编码红线(输入/认证/越权/敏感数据)→依赖供应链 SCA/SBOM→密钥全生命周期→SAST/DAST/渗透判据与修复 SLA→数据分级控制→安全事件五步响应）。工程链安全深耕:安全评审、渗透整改、依赖漏洞应急、密钥治理、上线安全准入时载入。审计执行与合规细则由 security-audit 承接。
+version: 1.0.0
+---
+
+# 安全工程链
+
+engineering-chain 的安全子链。总则:**安全左移=每个环节一小步,不是上线前一大步**;安全是属性不是环节。
+
+## S-SDLC 安全活动表（嵌进各链,不另起炉灶）
+
+| 环节(挂靠链) | 安全活动 |
+|---|---|
+| 需求(eng-requirements) | 数据分级标注、合规要求进验收标准(个保法/等保/行业监管) |
+| 设计(eng-architecture) | 威胁建模(见下)、信任边界图、认证授权方案评审 |
+| 开发(eng-develop) | 安全编码红线自查、SAST 增量扫描入 CI、密钥扫描 pre-commit |
+| 测试(eng-quality) | 安全用例(越权/注入进回归集)、DAST 预发环境跑 |
+| 发布(eng-release) | 镜像扫描、依赖 SCA 门禁、基线核查(默认口令/调试接口关闭) |
+| 运维(eng-ops) | 漏洞响应 SLA、日志审计、权限季度复核(最小权限回收) |
+
+## 威胁建模（STRIDE 速查,设计评审 30 分钟盒）
+
+画数据流图(外部实体/进程/存储/数据流+信任边界),逐边界过六问:
+仿冒(身份如何冒充)/篡改(数据途中改得了吗)/抵赖(操作可否否认——审计日志)/信息泄露(哪里能偷看)/拒绝服务(打爆哪里最疼)/提权(低权限如何变高)。
+输出=风险表:威胁/影响/缓解措施/**风险接受人签字**(没人签=没人负责);高风险项进验收标准闭环。
+
+## 安全编码红线（语言无关 TOP,语言细则见 dev-* 各链）
+
+- **一切外部输入不可信**:SQL 参数化(拼接=红线,ORM 的 raw 口也查);文件上传三验(扩展名白名单+大小+内容魔数)+存储出 Web 根+随机文件名;反序列化外部输入=高危(白名单类型或改 JSON);命令拼接禁(参数数组化);路径穿越(../../规范化后校验);
+- **认证与会话**:密码 bcrypt/argon2 存储(md5/sha1=裸奔);登录限速+撞库监测;会话固定防护(登录后换会话 ID);登出真失效(服务端吊销);深耕(协议判据/JWT 陷阱/权限模型/多租户身份)载 **sec-auth**;
+- **越权双查**(漏洞榜常年第一):水平越权——每次访问校验资源属主(orderId 是你的吗),**光靠"前端不展示"=没有权限控制**;垂直越权——敏感操作服务端二次校验角色;批量接口逐条校验;
+- **敏感数据**:传输 TLS 强制;存储加密(证件/银行卡);日志与错误响应脱敏(eng-observability 红线);堆栈不回给用户(统一错误页+traceId);
+- **CSRF/XSS**:模板自动转义确认开启,raw 输出评审必查;Cookie 三属性(HttpOnly/Secure/SameSite)。
+
+## 依赖与供应链安全
+
+- SCA 扫描入 CI 门禁:修复 SLA——严重 24h/高危 7 天/中危 30 天(超期升级到管理层);
+- 锁文件必提交;私服白名单防投毒(拼写仿冒包/劫持包,dev-toolchain 私服统一);安装钩子审慎(--ignore-scripts 判据见 dev-node);
+- **SBOM 常备**:制品清单留存,应急时 5 分钟答出"我们哪里用了 log4j"而不是全员 grep 三天;
+- 升级修复走 dependency-upgrade(锁文件 diff+破坏性变更清单+分批灰度)。
+
+## 密钥全生命周期
+
+生成(强随机,禁默认/示例密钥)→分发(密钥服务拉取,不走 IM/邮件)→使用(四不:不进代码/镜像/日志/明文配置,eng-infra)→轮换(有效期+演练过的轮换手册)→吊销(应急预案:吊销半径清单——这把钥匙能开哪些门,提前列好);
+**入过代码库历史的密钥=已泄露**:处置是吊销重发,不是删提交(历史还在);pre-commit 密钥扫描+仓库全史周期性扫描双保险。
+
+## 安全测试判据与修复 SLA
+
+- SAST:增量新增告警=门禁阻断,存量分批清(一上来全量阻断=法不责众);误报登记免重复折腾;
+- DAST:预发环境每版本跑;扫生产要审批+限流+避峰;
+- 渗透测试:对外系统年检+重大改版后;**三件套先行:授权书(范围/时间窗/IP)+应急联系人+数据处理约定**;
+- 修复验证闭环:复测通过才关单,渗透报告的"已修复"要有复测证据;
+- 漏洞分级修复 SLA 同 SCA(严重 24h/高危 7 天/中危 30 天),线上在野利用=P1 事件走 eng-ops。
+
+## 数据安全分级（与 data-governance 对齐一套,不搞两张皮）
+
+公开/内部/敏感/机密四级;按级配控制:脱敏规则(展示与日志)/加密(传输+存储)/审计(谁动过)/出域审批(导出与三方共享);
+开发测试环境用脱敏样本(eng-infra 生产数据不下行);员工权限最小化+季度回收(离职转岗当日清)。
+
+## 安全事件响应（五步,接 eng-ops 事件流）
+
+隔离(断网/下线/封账号,控制爆炸半径)→**取证**(快照/日志保全——先取证后清除,灭活了证据就查不出入口)→清除(恶意文件/后门/被创建的账号)→恢复(补丁+改密+重建,确认入口已堵再上线)→复盘(入侵路径全还原,防御缺口回写红线与检测规则);
+对外披露与上报走合规与法务(legal-chain/risk-compliance);**内部通报透明**:被钓鱼不是耻辱,瞒报才是。
+合规工程(等保测评与证据/密评国密改造/开源 License 治理/软著配合)载 **sec-compliance**。
+
+**作业包**:`references/security-review-checklist.md`(红线速扫单+STRIDE 工作表+风险表(接受人签字)+漏洞处置登记行)。
+
+## 使用纪律
+
+安全例外必须有期限+风险接受人签字(无限期例外=永久漏洞);例外台账月度复核;
+每次渗透/事件/漏洞的模式回写:红线清单+检测规则+安全用例(eng-quality 回归集);
+**安全的度量不是"没出过事",是攻击面清单可数、修复 SLA 达标率可查、演练记录可翻。**

package/skills/eng-security/references/security-review-checklist.md

@@ -0,0 +1,33 @@
+# 安全评审与威胁建模工作表（eng-security 落笔件）
+
+## 1. 上线安全检查单(红线速扫,PR/发布双用)
+
+- [ ] 输入:SQL 参数化(含 ORM raw 口);文件上传三验+出 webroot+随机名;反序列化白名单/改 JSON;命令参数数组化;路径穿越规范化校验
+- [ ] 认证会话:密码 bcrypt/argon2;登录限速;会话固定防护;登出服务端吊销(细则 sec-auth)
+- [ ] **越权双查**:每个资源接口有属主校验(水平)+角色校验(垂直);批量接口逐条;前端隐藏≠控制
+- [ ] 敏感数据:传输 TLS;存储加密字段清单 __;日志与错误响应脱敏;堆栈不回给用户(统一错误页+traceId)
+- [ ] CSRF/XSS:模板自动转义确认;raw 输出清单 __ 已审;Cookie 三属性
+- [ ] 依赖:SCA 无高危(修复 SLA:严重 24h/高危 7 天);锁文件已提交;新依赖过私服白名单
+- [ ] 密钥:秘密扫描通过(secret-scan.sh);新密钥入密钥服务;吊销半径已登记
+- [ ] 安全例外:□无 □有(期限 __ +风险接受人 __ 签字——无限期例外=漏洞)
+
+## 2. STRIDE 威胁建模工作表(设计评审 30 分钟盒)
+
+数据流图要素:外部实体 __ / 进程 __ / 存储 __ / 信任边界 __(画在方案里)
+
+| 边界/数据流 | S 仿冒 | T 篡改 | R 抵赖 | I 泄露 | D 拒服 | E 提权 |
+|---|---|---|---|---|---|---|
+| 例:客户端→API | token 伪造? | 参数篡改? | 审计日志? | 报文含敏感? | 打爆入口? | 越权调用? |
+| __ | | | | | | |
+
+## 3. 风险表(建模输出,高风险进验收标准闭环)
+
+| 威胁 | 影响(高/中/低) | 缓解措施 | 状态 | 风险接受人 |
+|---|---|---|---|---|
+
+## 4. 渗透/漏洞处置登记行
+
+| 漏洞 | 等级 | SLA 死线 | 修复 | 复测证据 | 模式回写(红线/用例/检测规则) |
+|---|---|---|---|---|---|
+
+> 复测通过才关单;每次事件/渗透的模式回写红线清单与回归用例(eng-quality)。

package/skills/eng-ux/SKILL.md

@@ -0,0 +1,85 @@
+---
+name: eng-ux
+description: 用户体验链（研究方法判据(访谈/问卷/可用性测试/埋点)→信息架构→交互原则与反模式黑名单→表单专项→设计系统三层→可用性测试五人法→无障碍底线→HEART/SUS 体验度量→设计开发协作走查）。工程链体验环节深耕:界面设计评审、可用性问题整改、建设计规范、开发还原走查时载入。原型与 PRD 由 product-design、视觉由 brand-design 承接。
+version: 1.0.0
+---
+
+# 用户体验链
+
+engineering-chain 的体验环节子链。总则:**改动有依据(研究数据或度量),不凭嗓门与审美投票**。
+
+## 研究方法判据表（先定问题,再选方法）
+
+| 要回答 | 用什么 | 要点 |
+|---|---|---|
+| 为什么用户这么做 | 深度访谈 | 5–8 人到饱和;问行为不问观点("上次你是怎么操作的"优于"你喜欢吗") |
+| 多少比例的用户如何 | 问卷 | 样本偏差自查(只有活跃用户填=幸存者);题目不诱导 |
+| 这个设计能不能用 | 可用性测试 | 5 人抓出约 85% 问题;见下节 |
+| 用户实际怎么用 | 埋点数据 | 行为漏斗/热区(eng-observability 埋点标准) |
+
+**态度数据与行为数据互证**:嘴上说好用但漏斗流失=信行为;数据异常但访谈说没问题=查埋点。只信一边必翻车。
+
+## 信息架构
+
+导航深度 ≤3 层(第 4 层开始用户迷路);菜单命名用**用户的词汇**不用内部术语(卡片分类法让用户自己归堆);
+同一功能只有一个入口为主(多入口=用户建立不了心智地图);面包屑与"我在哪"永远可见;
+搜索是信息架构的兜底不是遮羞布(搜索日志里的高频词=导航失败清单,月度回看)。
+
+## 交互原则速查（评审用）
+
+- **状态可见**:操作有即时反馈;>1s 出 loading,>10s 出进度条+可取消;后台任务完成要通知;
+- **防错优先于报错**:不可用置灰+悬停说明为什么;危险操作二次确认+不可逆红字警示;高频操作用撤销代替确认弹窗(撤销成本低于每次都点确认);
+- **一致性**:同一动作同一位置同一叫法(确定按钮一律在右就一律在右);与平台惯例一致(别发明新交互);
+- **就近与省力**:高频操作 ≤2 次点击;相关操作就近摆放;默认值=多数人的选择;
+- **容错**:输入宽进严出(空格/全半角自动处理),报错三要素:哪错了/为什么/怎么改("系统错误"=零分报错)。
+
+## 反模式黑名单（见一个拦一个）
+
+幽灵按钮(看着能点其实没绑事件/置灰无说明)/默认勾选营销项/操作到一半弹窗打断/嵌套确认("确认要取消吗?是/否")/
+报错吞原因/加载无骨架屏白屏/翻页丢筛选状态/移动端点击热区<44px/表单提交失败清空所有输入(**头号激怒项**)。
+
+## 表单专项（企业软件重灾区）
+
+>7 字段分组,>15 字段分步(带进度与暂存);行内即时校验(失焦就说,别憋到提交);
+必填统一标注(标必填或标选填,选一种);字段顺序=用户拿到资料的顺序(照着证件填的别乱序);
+键盘友好(Tab 顺序/回车提交/自动聚焦第一项);出错后聚焦到第一个错误字段并保留已填内容。
+
+## 设计系统三层
+
+令牌(色彩/字号/间距/圆角变量) → 组件(按钮/表单/表格/弹窗) → 模式(列表页/详情页/向导页模板);
+组件规范必含**状态全集**:默认/悬停/激活/禁用/加载/空/错误/超长文本——**空状态与加载态是一等公民**(空状态要引导动作,不是一句"暂无数据");
+落地纪律:设计稿只许用系统内组件与令牌,要新的走系统评审入库(否则系统三个月就名存实亡)。
+
+## 可用性测试（五人一轮法）
+
+任务脚本=真实任务("给张三报销 500 元差旅"),不是引导("点击右上角按钮");
+出声思考法(边操作边说);主持人只观察不救场(忍住别指);
+问题严重度分级:阻断(完不成任务)/严重(绕了远路)/一般(犹豫抱怨)/建议;
+**5 人一轮,改完再测下一轮**,比一次测 20 人更有效;录屏留档,剪"用户卡住的 30 秒"给团队看比报告有说服力。
+
+## 无障碍底线清单
+
+文本对比度 ≥4.5:1(大字 3:1);全流程键盘可达+焦点可见;图片有 alt;表单控件有 label 关联;
+不单靠颜色传达信息(色盲场景:红绿状态加图标);错误提示可被读屏读到。**这是底线不是加分项**。
+
+## 体验度量
+
+- HEART 选型:愉悦(满意度)/参与(频次深度)/接受(新功能采用率)/留存/任务成功(完成率+耗时+错误率)——**选 2–3 项定指标,全都要=都没有**;
+- SUS 量表:10 题标准问卷,68 分=及格线,版本间可比;
+- NPS 用于大版本对比,别月月折磨用户;
+- 任务成功率与耗时是最硬的:改版后核心任务耗时上升=倒退,数据面前审美闭嘴。
+
+## 设计开发协作
+
+- 设计交付四件套:标注稿/交互说明(含所有状态与边界)/切图资源/验收要点;
+- **开发还原走查**(上线前,设计师执行):间距字色/交互态/异常态/多分辨率,走查单进 DoD(eng-develop);
+- 体验缺陷入缺陷流程(eng-quality),默认 S3 起步,阻断任务的升 S2——**"体验问题以后再说"=永远不说**;
+- 设计债同技术债进台账(eng-architecture),排期占容量。
+
+**作业包**:`references/ux-review-checklist.md`(还原走查单(状态全集/报错三要素/无障碍底线)+可用性测试脚本与记录表+度量基线卡)。
+
+## 使用纪律
+
+每个改版留度量对照(改前改后核心任务数据);研究结论入库(knowledge-sop)防止重复研究;
+可用性测试每季至少一轮(哪怕没大改版,新员工当用户跑一遍也有收获)。
+**体验的复利来自度量基线:没有基线,每次争论都从零开始。**

package/skills/eng-ux/references/ux-review-checklist.md

@@ -0,0 +1,36 @@
+# 体验走查与可用性测试模板（eng-ux 落笔件）
+
+## 1. 开发还原走查单(上线前设计师执行,过了才提测)
+
+- [ ] 间距/字号/字色对令牌(设计系统内组件,无野生样式)
+- [ ] 交互态全集:默认/悬停/激活/禁用/**加载/空/错误/超长文本**(空状态有引导动作)
+- [ ] 反馈:>1s loading;>10s 进度+可取消;操作成功有确认
+- [ ] 报错三要素:哪错了/为什么/怎么改(禁"系统错误")
+- [ ] 表单:行内即时校验;出错聚焦第一错误项且**保留已填内容**;必填标注统一
+- [ ] 多分辨率/窗口缩放;键盘可达(Tab 顺序/回车提交)
+- [ ] 反模式扫一遍:幽灵按钮/默认勾选营销/流沙弹窗/翻页丢筛选/热区<44px
+- [ ] 无障碍底线:对比度 4.5:1;图片 alt;label 关联;不单靠颜色
+
+结论: □通过 □问题清单(严重度 S3 起进缺陷流程):__
+
+## 2. 可用性测试脚本模板(5 人一轮,改完再测)
+
+- 任务(真实任务非引导):"请给张三报销 500 元差旅"(而不是"点击右上角")
+- 记录表:
+
+| 任务 | 完成? | 耗时 | 卡点(出声思考摘录) | 严重度(阻断/严重/一般/建议) |
+|---|---|---|---|---|
+
+- 主持纪律:只观察不救场;录屏留档;剪"卡住的 30 秒"给团队看
+- 产出:问题按严重度排序 → 改进项挂 Owner → 下一轮日期 __
+
+## 3. 体验度量基线卡(改版前后对照)
+
+| 指标 | 改版前 | 改版后 | 结论 |
+|---|---|---|---|
+| 核心任务完成率 | | | 数据面前审美闭嘴 |
+| 核心任务耗时 P50 | | | 上升=倒退 |
+| 错误率/求助率 | | | |
+| SUS(基线 68) / NPS(大版本) | | | |
+
+> 改动有依据(研究数据或度量);研究结论入知识库防重复研究。

package/skills/engineering-chain/SKILL.md

@@ -0,0 +1,101 @@
+---
+name: engineering-chain
+description: 工程技能链总控（两级链体系:24 条环节子链 eng-* 覆盖需求/架构/排期/开发/质量/性能/发布/运维/调研/数据库/基础设施/数据工程/体验/可观测/安全/AI/自动化/效能/可靠性/集成/文档/协作/遗留现代化/复杂环境,下挂 46 条孙链(含鸿蒙/等保合规/大模型合规/批量主机/监控栈);**全链资产化:含总控在内 71 条链全带作业包**(28 个脚本+47 个模板,含工程健康度季检表与巡检例程预设);复杂环境作业为全链通则;特性交付/线上问题/技术升级三条端到端工作流）。工程诉求跨环节或不确定用哪个技能时先载入。
+version: 2.7.0
+---
+
+# 工程技能链总控
+
+三层体系,各司其职:**总控排流程**(本文件)→ **子链管环节深度**(eng-*,判据表/清单/纪律)→ **孙链与叶子技能管专题执行**。
+环节深耕载子链,专题问题直达孙链,单点小诉求直达叶子,跨环节从本总控走工作流。
+
+## 环节子链路由表（24 条,深耕入口）
+
+| 工程环节 | 子链 | 深耕内容一句话 | 孙链/主要叶子 |
+|---|---|---|---|
+| 需求分析 | **eng-requirements** | 采集分级/歧义消除/INVEST/Gherkin 验收/DoR/变更基线/RTM | product-design |
+| 架构设计 | **eng-architecture** | 非功能量化/容量公式/C4/模式判据/ADR/ATAM/技术债 | arch-distributed, arch-multitenant;arch-design, api-design |
+| 需求排期 | **eng-planning** | WBS/三点估算/关键路径/关键链缓冲/延期三案/校准库 | project-management |
+| 开发 | **eng-develop** | 全流程与编码通则/DoD/AI 结对纪律;**13 条语言链入口**(含鸿蒙) | dev-*;explain-codebase, refactor-safely |
+| 质量测试 | **eng-quality** | 金字塔/用例六法/分层实施/缺陷分级闭环/准入准出 | qa-api-automation, qa-ui-automation, qa-mobile-automation |
+| 性能 | **eng-performance** | 口径/压测判据/RED-USE 定位/分层优化表/容量水位/回归防线 | perf-optimize, sql-tuning |
+| 发布 | **eng-release** | 分支版本策略/三级门禁/发布模式判据/回滚量化/开关治理 | cicd-pipeline, env-private-deploy;release-checklist |
+| 运维 | **eng-ops** | 事件分级/作战通道/oncall/变更三类/Postmortem/备份演练 | ops-linux, ops-fleet, ai-aiops;itsm-ops |
+| 调研 | **eng-research** | 问题定义/信息源分级/评分卡/POC 时间盒/退出成本/技术雷达 | tech-research, web-search |
+| 数据库 | **eng-database** | 选型判据/schema 索引/事务死锁/分表三板斧/expand-contract | db-mysql, db-postgres, db-es, db-redis, db-migration |
+| 基础设施 | **eng-infra** | IaC/镜像/K8s 治理/密钥四不/多环境一致/FinOps/灾备等级 | infra-k8s, infra-mq, infra-gateway |
+| 数据工程 | **eng-data-platform** | 数仓分层/维度建模/批流判据/管道幂等/调度基线/质量六维 | data-streaming;data-governance, data-report-pro |
+| 用户体验 | **eng-ux** | 研究方法判据/交互反模式/设计系统/可用性五人法/HEART | product-design, brand-design |
+| 可观测性 | **eng-observability** | 三支柱+变更事件/日志指标规范/SLO 错误预算/告警治理/埋点 | obs-prometheus |
+| 安全工程 | **eng-security** | S-SDLC/STRIDE/编码红线/SCA-SBOM/密钥生命周期/事件响应 | sec-auth, sec-compliance;security-audit |
+| AI 工程 | **eng-ai** | LLM 场景判据/评测集先行/劣化排查/成本优化;**10 条 ai-* 入口** | ai-* |
+| 工程自动化 | **eng-automation** | 五层自动化模型/ROI 判据/脚手架/机器人清单/自愈白名单 | cicd-pipeline;office-automation |
+| 工程效能 | **eng-efficiency** | DORA 口径/SPACE/价值流找瓶颈/度量反模式/数据打通 | — |
+| 可靠性 SRE | **eng-reliability** | 容错模式判据表/强弱依赖/混沌阶梯/演练记分/韧性评审 | — |
+| 集成工程 | **eng-integration** | 集成模式判据/第三方五阶段/防腐层/回调安全/幂等对账 | infra-mq;api-integration |
+| 技术文档 | **eng-docs** | Diátaxis 四象限/docs-as-code/Runbook/保鲜期/知识回写闭环 | knowledge-sop |
+| 工程协作 | **eng-collaboration** | 评审文化 SLA/结对判据/巴士系数传承/跨团队契约/会议工程 | meeting-minutes |
+| **遗留现代化** | **eng-legacy** | 重写坟场警告/考古与特征测试/绞杀者深化/双跑对账/不停车节奏 | db-migration |
+| **复杂环境** | **eng-complex-env** | 进场侦察/受限网络/低权限/长任务断点/PlanB/等价验证——**全链通则** | env-offline, env-xinchuang, env-private-deploy |
+
+## 孙链一览（46 条,专题问题直达）
+
+- **语言/工具 13 条**(挂 eng-develop):dev-toolchain · dev-java · dev-python · dev-csharp · dev-frontend · dev-node · dev-go · dev-rust · dev-cpp · dev-mobile · dev-cross-platform · dev-harmony(鸿蒙 ArkTS) · dev-php;
+- **AI 10 条**(挂 eng-ai):ai-llm-app · ai-rag · ai-agent · ai-prompt · ai-eval · ai-mlops · ai-coding(研发提效) · ai-multimodal(文档/OCR/图表) · ai-aiops(智能运维,与 eng-ops 共挂) · ai-compliance(大模型合规);
+- **测试自动化 3 条**(挂 eng-quality):qa-api-automation · qa-ui-automation · qa-mobile-automation;
+- **数据存储 5 条**(挂 eng-database):db-mysql · db-postgres · db-es · db-redis · db-migration(与 eng-legacy 共挂);
+- **架构深水 2 条**(挂 eng-architecture):arch-distributed · arch-multitenant;
+- **复杂环境 3 条**(挂 eng-complex-env):env-offline(离线内网) · env-xinchuang(信创适配) · env-private-deploy(私有化交付,与 eng-release 共挂);
+- **平台专题 10 条**:cicd-pipeline · infra-k8s · infra-mq · infra-gateway(网关流量) · ops-linux · ops-fleet(批量主机) · obs-prometheus(监控栈) · sec-auth · sec-compliance(等保合规) · data-streaming。
+
+## 作业包一览（全链资产化:每条子链与孙链均带作业包,load 后 read_skill_file 取用）
+
+- **体检/侦察脚本**(只读零依赖降级友好):env-recon(复杂环境侦察) · quick-triage(Linux) · k8s-triage · jvm/node/go-triage(语言进程) · venv-doctor(Python 环境) · mysql/pg-health.sql · redis/es-health · bundle-manifest(摆渡校验) · secret-scan(密钥);
+- **计算器**(公式过程可评审):capacity-calc(容量) · schedule-calc(排期 P80) · slo-calc(错误预算) · dora-calc(效能四键) · perf-baseline(性能门禁) · fpm-calc · token-cost-calc(AI 成本) · bundle-budget(前端体积);
+- **校验/评测器**(退出码即门禁):compare-reports(迁移三层校验) · eval-runner(AI 评测回归) · chunk-inspect(RAG 分块) · field-validate(票据字段);
+- **模板/检查单**(references/,复制即用):需求故事卡/DoD 自评/测试方案/发布单/调研评分卡/建表评审/生产就绪/表规格/UX 走查/安全 STRIDE/AI 准入/自动化台账/韧性 what-if/集成档案/Runbook/协作契约/现代化工作簿/复盘模板,以及各语言评审卡与 CI 片段、Agent 工具设计单、提示骨架、AI 任务书、三层测试骨架、租户隔离单、信创矩阵、私有化档案、流水线审计、MQ 上线卡、网关变更单、认证评审单、流作业检查单等。
+总控自带 `references/eng-health-review.md`(**工程健康度季检表**:24 子链×3 问,每季一小时全链体检,红项即主攻项);巡检例程化装配走 eng-automation `routine-presets.md`(基于 /schedule 的 10 条复制即装配方)。
+纪律:体检类全部只读(eng-automation 只读诊断级);计算与校验器退出码可直接接 CI 门禁;带传输的操作先用 capacity-calc `transfer` 按载荷算超时。
+
+## 复杂环境作业通则（全链适用）
+
+任何技能进入**受限网络/离线内网/低权限/审批制/老旧系统**环境执行任务,先过 **eng-complex-env**:
+进场侦察清单(网络实测/权限/工具/版本/窗口)→**超时按载荷缩放**(传输时长=载荷÷实测带宽)→
+长任务断点续作与幂等重跑→关键操作必有 PlanB(手册化保底)→目标环境等价验证(**本机跑通≠现场跑通**)。
+离线交付载 env-offline,信创适配载 env-xinchuang,私有化交付载 env-private-deploy,遗留系统改造载 eng-legacy。
+
+## 端到端工作流
+
+### ① 特性交付链（迭代常态）
+需求(eng-requirements:验收标准可判定+DoR)→ 设计(eng-architecture:非功能数字化+ADR;跨服务一致性过 arch-distributed;涉第三方 eng-integration 五阶段)→
+拆解排期(eng-planning:WBS+关键路径,预留 10–20% 还债容量)→ 开发(eng-develop 全流程,语言链兜底,AI 提效走 ai-coding)→
+自测(write-tests)→ 评审(code-review;安全面 eng-security 红线)→ 测试(eng-quality 准入准出;自动化沉淀 qa-*)→
+发布(eng-release 清单+回滚量化;重大特性过 eng-reliability 韧性评审)→ 观察(eng-observability+eng-ops 观察期)→
+验收复盘(逐条勾验收标准,估时偏差回写 eng-planning 校准库)。
+**AI 特性变体**:评测集先行+质量口径进验收(eng-ai ①链);**复杂环境交付变体**:环境档案先行+等价验证+断点续作(eng-complex-env)。
+
+### ② 线上问题链（事件驱动）
+分级响应(eng-ops:P1 恢复优先,止血四板斧,**回滚先于修复**)→ 根因定位(debug-root-cause 假设-验证;系统层 ops-linux 决策树;AI 辅助走 ai-aiops Copilot 纪律,证据链必附)→
+修复(refactor-safely 最小变更+write-tests **先复现后修复**)→ 发布(eng-release 紧急通道)→
+Postmortem(eng-ops:时间线/根因到系统层/action 可验收)→ 防复发横扫(风险面排查→债台账;缺的告警回写 eng-observability;容错缺口进 eng-reliability 判据表与混沌清单)。
+
+### ③ 技术升级链（按需）
+动因明确(eng-performance 数据/eng-security CVE/维护成本)→ 调研(eng-research:权重先行+POC 时间盒+退出成本)→
+决策(eng-architecture ADR 含回退条件)→ 实施(dependency-upgrade 分批灰度;语言链与 db-*/infra-* 承接细则;**换库/换中间件走 db-migration 六步+env-xinchuang 适配矩阵**;老系统改造走 eng-legacy 绞杀)→
+基准对照(eng-performance,跨架构重基线)→ 复盘(收益兑现否写回 ADR)。
+
+## 自动化例程配方（office-automation 落地,总纲见 eng-automation）
+
+- CI 看护(红灯提醒与升级)/依赖安全周报(eng-security SLA)/慢查询与存储巡检(sql-tuning+db-redis+db-es 对账);
+- 告警疲劳度月检+SLO 错误预算周报(eng-observability;AI 聚类摘要走 ai-aiops);消息 lag 看板(infra-mq);
+- 成本月报与水位巡检(eng-infra FinOps+eng-ops 容量+ai-mlops token 成本);
+- AI 质量哨兵(漂移金丝雀日跑+坏例周报,ai-eval/ai-mlops);数据库巡检(db-mysql 长事务与自增/db-postgres 复制槽与 XID);
+- **证书与许可到期巡检**(infra-gateway 集中管理+env-offline 内网 CA)/客户升级日历与版本 EOL 提醒(env-private-deploy);
+- 技术债季检+文档保鲜期复核(eng-docs)+单点模块与会议审计季盘(eng-collaboration)。
+
+## 使用纪律
+
+链上文档同源:PRD 验收标准=测试用例来源=上线验收清单;每环节验收清单必须过;
+三层不越位:总控不写环节细节,子链不复制孙链与叶子的操作步骤;
+**复杂环境通则全链适用**(先侦察后开工,载荷定超时,断点可续作);
+复盘产出(估时校准/根因模式/ADR 后果/坑清单/评测坏例/环境档案)必须回写对应子链台账——**工程链的复利来自回写**。

package/skills/engineering-chain/references/eng-health-review.md

@@ -0,0 +1,37 @@
+# 工程健康度季检表（engineering-chain 总控作业包:每季一次,一小时,全链体检）
+
+> 用法:逐行三问,答不上或答"红"的环节→载对应子链深查并立改进项(挂 Owner 期限,进 eng-efficiency 改进循环——**一季只治一个最痛的**,全都要=都没有)。
+> 判定口径:绿=有机制且最近一季真运转;黄=有机制但在吃灰;红=没有机制。
+
+| 环节(子链) | 三个体检问题 | 判定 |
+|---|---|---|
+| 需求 eng-requirements | 验收标准可判定率?变更走基线吗?RTM 上线前扫了吗 | |
+| 架构 eng-architecture | 本季 ADR 几条?后果栏回填过吗?债台账利息重估了吗 | |
+| 排期 eng-planning | 承诺用 P80 吗?缓冲消耗率有人看吗?校准库回写了吗 | |
+| 开发 eng-develop | DoD 真在勾吗?PR ≤400 行占比?AI 产出全过门禁吗 | |
+| 质量 eng-quality | 逃逸分析做了几次?E2E ≤15 守住没?准出被绕过过吗 | |
+| 性能 eng-performance | 核心接口基线在 CI 吗?上季劣化拦住几次?容量台账新鲜吗 | |
+| 发布 eng-release | 回滚条件量化了吗?回滚演练过吗?僵尸开关清了吗 | |
+| 运维 eng-ops | P1 复盘 48h 内开了吗?action 超期几条?恢复演练做了吗 | |
+| 调研 eng-research | 选型都过评分卡吗?雷达季评开了吗?暂缓项复访了吗 | |
+| 数据库 eng-database | 新查询 EXPLAIN 纪律在吗?慢查周报有人治吗?水位月报看了吗 | |
+| 基础设施 eng-infra | 漂移周巡跑了吗?无标签资源清零吗?灾备演练做了吗 | |
+| 数据工程 eng-data-platform | 核心表 SLA 达标率?质量规则拦了几次?无主表清了吗 | |
+| 体验 eng-ux | 可用性测试跑了几轮?走查单在 DoD 吗?度量基线有对照吗 | |
+| 可观测 eng-observability | 告警响应率<50% 的清了吗?SLO 预算烧尽联动过吗?watchdog 在吗 | |
+| 安全 eng-security | 高危修复 SLA 达标率?例外台账有超期吗?渗透年检做了吗 | |
+| AI 工程 eng-ai | 上线都有评测集吗?漂移金丝雀在跑吗?成本在预算内吗 | |
+| 自动化 eng-automation | 例程失败会告警吗?台账季盘了吗?自愈白名单演练过吗 | |
+| 效能 eng-efficiency | 四键趋势看了吗?上季瓶颈改进兑现没?度量被 KPI 化了吗(红) | |
+| 可靠性 eng-reliability | 新外调过容错表吗?混沌实验做了几个?预案演练记分了吗 | |
+| 集成 eng-integration | 资金类都有对账吗?集成档案新鲜吗?第三方坑回写了吗 | |
+| 文档 eng-docs | Runbook 覆盖 P1P2 告警了吗?保鲜到期复核了吗?新人上手几天 | |
+| 协作 eng-collaboration | 评审首响 ≤24h 吗?单点模块盘了吗?会议审计砍了几个 | |
+| 遗留 eng-legacy | 改造有季度可见产出吗?旧路径按期下线了吗?对账差异清零没 | |
+| 复杂环境 eng-complex-env | 环境档案在用吗?PlanB 演练过吗?现场翻车回写了吗 | |
+
+## 季检输出(半页纸)
+
+- 红项清单与本季**唯一**主攻项:__(挂 eng-efficiency 改进循环:基线→实验→复测)
+- 上季主攻项兑现情况:__(没兑现要归因,不是顺延了事)
+- 全链复利抽查:随机抽 3 个"回写台账"(坑清单/校准库/坏例集)看最近更新日期——**台账三个月没动=这条链在吃灰**

package/skills/env-offline/SKILL.md

@@ -0,0 +1,81 @@
+---
+name: env-offline
+description: 离线内网环境链（隔离形态判据(全隔离/单向闸/审批出网)→全栈依赖离线化与 SBOM 搬运清单→摆渡纪律(介质审批/校验和全程/增量摆渡)→离线一键安装与环境自检→差分升级与版本跳跃→内网 NTP 与私有 CA(证书过期=内网经典事故)→离线许可激活→诊断包自助采集→离线文档随行）。eng-complex-env 的离线孙链:交付到隔离内网、无外网环境部署升级、内网证书与时间问题、"现场装不上"排障时载入。
+version: 1.0.0
+---
+
+# 离线内网环境链
+
+eng-complex-env 的离线孙链。离线环境的第一定律:**现场缺的东西,当场补不了**——
+一切靠预制;预制的完备性=交付的成败。侦察清单(eng-complex-env)先行,确认隔离形态再定方案。
+
+## 隔离形态判据
+
+| 形态 | 特征 | 作业方式 |
+|---|---|---|
+| 全隔离(air-gap) | 物理断网,介质摆渡 | 全栈离线包+介质流程,本链主场 |
+| 单向闸 | 数据只进不出(或反之) | 进得来出不去=诊断难,自助诊断包加倍重要 |
+| 审批出网 | 白名单域名/临时开通 | 争取私服白名单(一次审批长期受益)优于逐次申请 |
+
+形态写进环境档案;**别按"半在线"设计交付物**——审批变卦时全盘卡死,按全离线准备、有网算惊喜。
+
+## 全栈依赖离线化
+
+- 分层清点(**SBOM 就是搬运清单**,eng-security 的离线妙用):OS 包(yum/apt 仓离线镜像)/语言依赖(npm/PyPI/Maven 私服导出)/容器镜像(save/registry 导出)/工具二进制/模型与数据文件——**漏一层现场就断粮**;
+- 离线仓构建:内网起私服(镜像仓+包仓),摆渡的是"仓的增量"不是散包(散包地狱:装 A 缺 B 装 B 缺 C);
+- 版本锁定纪律:锁文件决定搬什么(dev-toolchain 三锁)——**现场禁"顺手升级"**(升级=引入未预制的依赖树);
+- 更新节奏:离线仓月度增量+安全补丁按需加急(eng-security SLA 的离线折衷:现场修复时长要加摆渡周期,SLA 承诺按此调)。
+
+## 摆渡纪律
+
+介质流程:审批+杀毒扫描+登记(客户安全要求为准,别嫌繁琐——**弄丢客户信任比慢三天贵**);
+**校验和全程**:打包时生成清单(sha256 每文件)→介质写入后验→现场解包后验——三点验证,坏在哪一段一目了然(慢速摆渡的静默损坏真实存在);
+**作业包**:`scripts/bundle-manifest.sh`(`create 目录` 生成清单含传输时长参考/`verify 目录` 报缺失-损坏-多出三类,退出码判送达;哈希工具四级降级 sha256sum→shasum→openssl→cksum);
+增量摆渡:rsync 批处理式差量(带清单),全量重摆是最后手段;
+摆渡包结构规范:版本号+清单+安装脚本+回滚包+文档,**自描述**(现场人员不需要问"这是什么")。
+
+## 离线安装设计
+
+- **环境自检脚本先行**:安装前跑 precheck(OS 版本/内核参数/磁盘空间/端口占用/依赖版本/文件句柄限制)——预检拦截 80% 的"装不上",报告可读(哪项不过、怎么修,eng-ux 报错三要素);
+- 一键安装:自带全部依赖、不出网、**幂等可重入**(装到一半断了重跑续上,eng-complex-env 长任务纪律);
+- 安装产物自校验:装完跑冒烟(服务起、端口通、登录页开)并输出体检报告;
+- 禁网络假设:安装脚本里任何 curl 外网/在线源=离线事故(CI 里加断网容器安装测试,cicd-pipeline——**离线安装必须在断网环境测过**)。
+
+## 离线升级
+
+- 差分补丁优先(摆渡量小),全量包兜底;
+- **版本跳跃路径**:现场可能落后 N 个版本——升级矩阵声明(哪些版本可直升/哪些要过中间版),升级脚本按当前版本自动选路径(数据库 schema 迁移链式执行,eng-database expand-contract);
+- 回滚包同行:升级包里带回滚物料(上一版本二进制+降级脚本),**摆渡一次进得来,回滚不必再等一周**;
+- 升级前自动备份(配置+数据快照)+升级后冒烟,失败自动回滚判据。
+
+## 内网时间与证书（离线经典事故双雄）
+
+- **内网 NTP**:无外网对时→时钟漂移累积(节点间不一致→分布式凭证/日志时序全乱,arch-distributed)——交付清单里含内网 NTP 方案(客户有就接,没有就建);
+- **私有 CA 与证书**:内网证书自签/私有 CA 签发——**证书过期是内网头号"莫名全挂"**:到期巡检做进产品(eng-automation 例程离线版:本地定时检查+提前 30 天界面告警,别指望现场有人记得);
+- 证书轮换手册化(现场人员可执行,eng-docs Runbook 标准);信任链分发(新机器加入要装 CA 证书,进安装脚本)。
+
+## 离线许可与激活
+
+激活方案判据:离线授权文件(机器指纹绑定,默认)/加密狗(高安要求)/许可服务器(内网集中式,多节点场景);
+机器指纹要素选择(换网卡就失效=运维灾难,指纹要素与容忍度设计);
+**许可到期行为预声明**:到期降级只读还是停服,提前 N 天告警——静默停服=事故+商务危机;
+许可与升级解耦(升级不该要重新激活)。
+
+## 排障受限对策
+
+远程看不了=**诊断包自助采集**:一键收集(日志+配置脱敏+环境信息+ops-linux 体检快照)打包供摆渡带出——采集脚本随产品交付;
+日志出域脱敏流程(客户审查友好:脱敏规则可展示,eng-security 分级);
+现场排障工具箱预置(产品镜像里带诊断工具,eng-infra 基线镜像离线加强版);
+**分级支持路径**:现场人员(Runbook 一级处置)→诊断包远程分析→专家到场判据——每级能解决什么写清楚(env-private-deploy 支持体系衔接)。
+
+## 文档随行
+
+离线文档包(产品文档/Runbook/FAQ 全量 HTML,随安装包分发,eng-docs);
+文档版本与产品版本绑定(现场看的文档=装的版本,不是官网最新版);
+现场实施记录留档(装了什么版本、改了什么配置→配置档案,env-private-deploy)。
+
+## 使用纪律
+
+一切交付物在断网环境验证过;摆渡三点校验;安装升级幂等可回滚;
+证书与许可到期有自动告警;每次现场事故回写:预检清单+诊断包采集项——
+**离线交付的成熟度=现场实施不需要打电话回来问的比例**。

package/skills/env-offline/scripts/bundle-manifest.sh

@@ -0,0 +1,94 @@
+#!/bin/sh
+# 摆渡包三点校验工具（env-offline 摆渡纪律的可执行版):打包点/介质写入后/现场解包后各验一次。
+# 零依赖 POSIX sh;哈希工具自动探测(sha256sum→shasum→openssl,都没有则降级 cksum 并明示强度)。
+# 用法:
+#   sh bundle-manifest.sh create <目录> [清单文件]   # 生成清单(默认 <目录>/MANIFEST.sha256)
+#   sh bundle-manifest.sh verify <目录> [清单文件]   # 校验:缺失/多出/损坏三类报告
+# 退出码: 0=一致 1=有差异 2=参数错 —— 现场解包后 verify 通过才算"送达"(上传 100%≠送达)。
+
+MODE="$1"; DIR="$2"; MF="$3"
+[ -z "$MODE" ] || [ -z "$DIR" ] && { echo "用法: bundle-manifest.sh create|verify <目录> [清单文件]"; exit 2; }
+[ -d "$DIR" ] || { echo "[错误] 目录不存在: $DIR"; exit 2; }
+[ -z "$MF" ] && MF="$DIR/MANIFEST.sha256"
+
+# 哈希工具探测(复杂环境降级链)
+if command -v sha256sum >/dev/null 2>&1; then
+  HASH="sha256sum"; ALGO="sha256"
+elif command -v shasum >/dev/null 2>&1; then
+  HASH="shasum -a 256"; ALGO="sha256"
+elif command -v openssl >/dev/null 2>&1; then
+  HASH="__openssl"; ALGO="sha256"
+else
+  HASH="__cksum"; ALGO="cksum(CRC)"
+  echo "[降级] 无 sha256 工具,退用 cksum —— 只能防传输损坏,不防篡改;正式交付补 sha256(eng-security)"
+fi
+do_hash() { # do_hash <文件> → "哈希"
+  case "$HASH" in
+    __openssl) openssl dgst -sha256 "$1" 2>/dev/null | awk '{print $NF}';;
+    __cksum)   cksum "$1" 2>/dev/null | awk '{print $1"_"$2}';;
+    *)         $HASH "$1" 2>/dev/null | awk '{print $1}';;
+  esac
+}
+
+list_files() { # 相对路径清单(排除清单文件自身),排序保证两端一致
+  ( cd "$DIR" && find . -type f ! -name "$(basename "$MF")" | sed 's|^\./||' | LC_ALL=C sort )
+}
+
+case "$MODE" in
+create)
+  : > "$MF" || { echo "[错误] 清单不可写: $MF"; exit 2; }
+  TMP_C="/tmp/.bm_create_$$"
+  list_files > "$TMP_C"
+  N=0; BYTES=0
+  while IFS= read -r f; do
+    [ -z "$f" ] && continue
+    hsh=$(do_hash "$DIR/$f")
+    sz=$(wc -c < "$DIR/$f" | tr -d ' ')
+    echo "$hsh  $sz  $f" >> "$MF"
+    N=$((N+1)); BYTES=$((BYTES+sz))
+  done < "$TMP_C"
+  rm -f "$TMP_C"
+  MB=$((BYTES/1048576))
+  echo "清单已生成: $MF"
+  echo "  文件 $N 个,共 ${MB}MB,算法 $ALGO"
+  echo "  传输时长参考: 按实测带宽算(eng-complex-env 载荷缩放)——50KB/s 下约 $((BYTES/51200/60)) 分钟"
+  echo "  下一步: 清单随包同行;介质写入后与现场解包后各跑一次 verify(三点校验)"
+  ;;
+verify)
+  [ -r "$MF" ] || { echo "[错误] 清单不可读: $MF (清单必须随包同行)"; exit 2; }
+  MISS=0; BAD=0; OKN=0; EXTRA=0
+  TMP_LIST="/tmp/.bm_have_$$"
+  list_files > "$TMP_LIST"
+  while read -r hsh sz f; do
+    [ -z "$f" ] && continue
+    if [ ! -f "$DIR/$f" ]; then
+      echo "[缺失] $f"; MISS=$((MISS+1)); continue
+    fi
+    sz2=$(wc -c < "$DIR/$f" | tr -d ' ')
+    if [ "$sz2" != "$sz" ]; then
+      echo "[损坏] $f (大小 $sz2 != $sz —— 传输中断/截断)"; BAD=$((BAD+1)); continue
+    fi
+    h2=$(do_hash "$DIR/$f")
+    if [ "$h2" != "$hsh" ]; then
+      echo "[损坏] $f (校验和不符 —— 介质坏块/传输损坏/被改动)"; BAD=$((BAD+1))
+    else
+      OKN=$((OKN+1))
+    fi
+  done < "$MF"
+  # 多出文件(现场不该有清单外的东西混进包)
+  while read -r f; do
+    grep -q "  $f\$" "$MF" || { echo "[多出] $f (清单外文件)"; EXTRA=$((EXTRA+1)); }
+  done < "$TMP_LIST"
+  rm -f "$TMP_LIST"
+  echo "---- 校验结果: 通过 $OKN / 缺失 $MISS / 损坏 $BAD / 多出 $EXTRA (算法 $ALGO) ----"
+  if [ $((MISS+BAD)) -gt 0 ]; then
+    echo "处置: 缺失/损坏文件重新摆渡(只补差量,增量摆渡纪律);损坏高发查介质与传输链路。"
+    exit 1
+  fi
+  [ "$EXTRA" -gt 0 ] && { echo "提示: 多出文件不影响完整性,但要确认来源(介质复用残留?)"; }
+  echo "校验通过 —— 本点'送达'确认完成。"
+  ;;
+*)
+  echo "用法: bundle-manifest.sh create|verify <目录> [清单文件]"; exit 2;;
+esac
+exit 0

package/skills/env-private-deploy/SKILL.md

@@ -0,0 +1,72 @@
+---
+name: env-private-deploy
+description: 私有化交付链（SaaS vs 私有化成本真相→交付形态谱→版本碎片治理(在役版本上限/LTS 节奏/禁客户分支)→环境预检拦截 80% 现场问题→配置矩阵与客户档案库→多客户升级批次编排→远程受限的分级支持与诊断包→现场实施 SOP 与验收→安全补丁 backport 判据→EOL 政策）。eng-complex-env 与 eng-release 的私有化孙链:产品要私有化交付、客户版本失控、现场实施混乱、升级推不动时载入。
+version: 1.0.0
+---
+
+# 私有化交付链
+
+eng-complex-env 与 eng-release 共同的私有化孙链。私有化的成本真相先认:
+**N 个客户=N 个你控制不了的生产环境**——SaaS 的"发布一次全员生效"在这里变成"每客户一场小战役",一切工程围绕降低单场战役成本。
+
+## 交付形态谱（按可控度排）
+
+客户云内托管(你有运维通道,最接近 SaaS)→ 客户机房在线(有网可远程,变更要审批)→ 半隔离(审批出网)→ 全离线(env-offline 主场)——
+**形态决定支持成本,报价与 SLA 按形态分档**(全离线的响应时长含摆渡周期,eng-security SLA 离线折衷同源);
+形态与环境写进客户档案(见配置矩阵节)。
+
+## 版本碎片治理（私有化第一顽疾）
+
+- **在役版本上限**:同时支持的版本数硬上限(如 3 个),超限的客户驱动升级(商务与技术联动:老版本停止功能更新只保安全补丁);
+- LTS 节奏:年度 LTS(客户默认装 LTS)+季度功能版(激进客户可选)——**别让客户散布在 12 个月度版本上**;
+- **禁客户专属分支**(铁律,arch-multitenant 定制同源):客户差异一律配置化/插件化,"给 A 客户拉个分支改两行"=版本地狱的第一块骨牌;定制需求走产品化评审(要么进主线带开关,要么不做);
+- 升级激励设计:新功能只进新版本+老版本 EOL 日历公开——**升级要有拉力,光有推力推不动**。
+
+## 安装与升级工程（可复制的战役）
+
+- **环境预检脚本**(env-offline 自检的产品化):硬件/OS/内核参数/端口/依赖版本/网络连通全量检查,不过不装——**预检拦截 80% 的现场问题**,剩下 20% 才值得人上;
+- 安装一键化+幂等+失败自诊断(报告指向具体原因,现场人员能看懂);
+- 升级三件套:升级前自动备份/版本跳跃路径(env-offline 升级矩阵)/失败自动回滚——**每个升级包在"客户等价环境"演练过再发**(拿客户生产练手=口碑自杀);
+- 部署形态标准化:优先容器化交付(环境差异收敛,eng-infra),裸机形态保底(客户没有容器平台的现实要认)。
+
+## 配置矩阵与客户档案库
+
+**每客户一档**(eng-integration 集成档案同构):版本/部署拓扑/配置差异(相对默认值的 diff)/环境档案(eng-complex-env 侦察产物)/信创组合(env-xinchuang 矩阵格)/联系人与窗口/历史工单摘要;
+配置管理纪律:客户差异=默认配置+显式 diff(全量配置副本会漂移);配置项 schema 化+版本兼容检查(升级时自动迁移配置并报告不兼容项);
+**档案是支持的命脉**:接工单第一步查档案,不是问客户"你们什么版本"——档案过期=每次支持从考古开始。
+
+## 多客户升级编排
+
+批次灰度(eng-release 灰度的客户维):内部环境→友好客户(1-2 家,协议里有先行条款)→分批全量;
+批次间留观察期(前批的现场问题修完再推下批);
+升级窗口协调:客户业务日历(月结/大促期禁动,finance 场景加倍)+**升级日历看板**(哪家哪天哪版,冲突与人力一目了然,eng-automation 例程提醒);
+强制升级判据:仅安全高危(eng-security SLA)与数据风险,走应急通道并商务同步。
+
+## 支持体系（远程受限的现实）
+
+- 分级支持路径:客户管理员(产品内自助诊断+FAQ)→现场/驻场(Runbook 一级处置,eng-docs)→远程支持(通道分级:全程审计的临时通道>屏幕共享>纯电话指挥——**纯电话指挥的操作要逐条复述确认**,eng-ops 四眼的降级形态)→专家到场判据(影响与时长阈值);
+- **诊断包自助采集**产品化(env-offline):客户一键导出脱敏诊断包,支持效率的生命线;
+- 已知问题库对外(客户可查的 known issues+workaround)——**让客户自查掉一半工单**;
+- 工单与档案联动:每单回写档案(该客户环境的新认知)。
+
+## 现场实施 SOP
+
+实施前:预检远程先跑/物料清单核对(env-offline 摆渡包)/窗口与回退点与客户书面确认;
+实施中:操作留痕(eng-complex-env 现场纪律)/撤退条件预定义/每阶段冒烟确认;
+实施后:**验收签字**(验收清单来自合同与 eng-requirements 验收标准,逐项勾)/交接培训(管理员手册+应急联系卡)/实施报告归档进客户档案;
+实施 SOP 本身版本化(每次现场翻车回写 SOP,eng-docs)。
+
+## 安全补丁与 EOL
+
+安全补丁 backport 判据:高危漏洞向所有在役版本 backport(承诺进 SLA),中低危只进当前版本(修复=升级动力);
+补丁交付轻量化(热补丁/小版本,别逼客户为一个 CVE 做大版本升级);
+**EOL 政策公开且执行**:版本生命周期表对客户可见(发布日/停功能日/停支持日),EOL 前 6 个月提醒节奏——没有 EOL 执行力,版本上限治理是空话;
+合规留档:每客户的补丁状态可查(等保检查场景客户会要,eng-security)。
+
+**作业包**:`references/delivery-templates.md`(客户档案卡/实施 SOP 三段检查/升级预检清单/版本治理看板)。
+
+## 使用纪律
+
+预检不过不安装;升级必先等价演练;客户差异只进配置不进分支;档案随工单更新;
+每次现场事故双回写:产品化改进(预检/诊断/文档)+该客户档案——
+**私有化的成熟度=单客户交付的边际成本曲线:第 50 家应该比第 5 家便宜十倍,而不是一样贵**。