@huicai/cli 2026.714.0 → 2026.721.0

package/skills/real-estate-property/scripts/property_calc.py

@@ -0,0 +1,106 @@
+# 物业投资与租赁计算件（经 run_python 执行）：IRR（牛顿法+二分兜底）/ 资本化率 / 有效租金 / 租约到期瀑布。
+# 直接执行本文件 = 自测。
+import numpy as np
+import pandas as pd
+
+
+def npv(rate, cashflows):
+    """cashflows[0]=期初（通常为负）。"""
+    return float(sum(cf / (1 + rate) ** i for i, cf in enumerate(cashflows)))
+
+
+def irr(cashflows, guess=0.1):
+    """内部收益率：牛顿法，失败回退二分（要求现金流有正有负）。"""
+    cf = list(map(float, cashflows))
+    if not (min(cf) < 0 < max(cf)):
+        raise ValueError('现金流须有正有负才存在 IRR')
+    r = guess
+    for _ in range(80):  # 牛顿法
+        f = npv(r, cf)
+        d = sum(-i * c / (1 + r) ** (i + 1) for i, c in enumerate(cf))
+        if abs(d) < 1e-12:
+            break
+        r2 = r - f / d
+        if abs(r2 - r) < 1e-9 and r2 > -0.999:
+            print(f'[IRR] {r2:.2%}（牛顿法收敛）')
+            return r2  # 不取整：保留全精度供 NPV 复核（展示时再格式化）
+        r = r2 if r2 > -0.999 else (r - 0.999) / 2
+    lo, hi = -0.99, 10.0  # 二分兜底
+    flo = npv(lo, cf)
+    for _ in range(200):
+        mid = (lo + hi) / 2
+        fm = npv(mid, cf)
+        if abs(fm) < 1e-9:
+            break
+        if (flo < 0) == (fm < 0):
+            lo, flo = mid, fm
+        else:
+            hi = mid
+    print(f'[IRR] {mid:.2%}（二分兜底）')
+    return mid
+
+
+def payback_years(cashflows):
+    """静态回收期（线性插值到小数年）；收不回返回 None。"""
+    cum = 0.0
+    for i, cf in enumerate(cashflows):
+        prev = cum
+        cum += cf
+        if i > 0 and prev < 0 <= cum:
+            yrs = i - 1 + (-prev) / cf
+            print(f'[回收期] {yrs:.1f} 年')
+            return round(yrs, 1)
+    print('[回收期] 期内未收回')
+    return None
+
+
+def cap_rate(noi, value):
+    """资本化率 = NOI / 资产价值（NOI 不含折旧与财务费用）。"""
+    v = noi / value
+    print(f'[CapRate] {noi:,.0f}/{value:,.0f} = {v:.2%}')
+    return round(v, 4)
+
+
+def effective_rent(face_rent_monthly, term_months, rent_free_months=0, agency_fee=0.0):
+    """有效租金（月）：((面租金×(租期−免租)) − 中介费) / 租期——免租与中介摊销后才可比。"""
+    er = (face_rent_monthly * (term_months - rent_free_months) - agency_fee) / term_months
+    print(f'[有效租金] 面租 {face_rent_monthly}×({term_months}-{rent_free_months})−中介 {agency_fee} '
+          f'→ {er:,.2f}/月（折扣 {(1 - er / face_rent_monthly) * 100:.1f}%）')
+    return round(er, 2)
+
+
+def lease_expiry_waterfall(leases, area_col='面积', rent_col='月租金', end_col='到期日', warn=0.30):
+    """租约到期瀑布：按年汇总到期面积/租金及占比；单年占比>warn 预警。"""
+    df = leases.copy()
+    df['到期年'] = pd.to_datetime(df[end_col]).dt.year
+    g = df.groupby('到期年').agg(到期面积=(area_col, 'sum'), 到期月租金=(rent_col, 'sum'),
+                                 租约数=(end_col, 'size')).reset_index()
+    g['面积占比'] = (g['到期面积'] / df[area_col].sum()).round(4)
+    g['租金占比'] = (g['到期月租金'] / df[rent_col].sum()).round(4)
+    print('[到期瀑布]\n' + g.to_markdown(index=False))
+    for _, r in g.iterrows():
+        if r['面积占比'] > warn:
+            print(f"  ⚠ {int(r['到期年'])} 年到期面积占比 {r['面积占比']:.0%} > {warn:.0%}：提前 6–12 个月启动续谈")
+    return g
+
+
+if __name__ == '__main__':
+    # 投入 1000，5 年 NOI 60/63/66/69/72，第 5 年退出 72/5.5% 减成本 40
+    cf = [-1000, 60, 63, 66, 69, 72 + 72 / 0.055 - 40]
+    r = irr(cf)
+    assert 0.09 < r < 0.13, r
+    assert abs(npv(r, cf)) < 1e-3
+    assert payback_years([-100, 30, 40, 50]) == 2.6  # -100→-70→-30→+20，第 3 年内 30/50 处回正
+    assert cap_rate(66, 1200) == round(66 / 1200, 4)
+    er = effective_rent(100, 36, rent_free_months=3, agency_fee=100)
+    assert abs(er - (100 * 33 - 100) / 36) < 0.01
+    leases = pd.DataFrame({'面积': [1000, 800, 1200, 500], '月租金': [80, 70, 96, 45],
+                           '到期日': ['2026-06-30', '2026-11-30', '2027-05-31', '2028-03-31']})
+    g = lease_expiry_waterfall(leases)
+    assert g.loc[g['到期年'] == 2026, '面积占比'].iloc[0] > 0.30  # 应触发预警
+    try:
+        irr([-100, -50])
+        raise AssertionError('全负现金流应报错')
+    except ValueError:
+        pass
+    print('OK property_calc.py')

package/skills/regression-forecast/SKILL.md

@@ -0,0 +1,52 @@
+---
+name: regression-forecast
+description: 回归预测与关系建模（多元线性回归、相关vs因果、时间序列预测、预测区间与驱动因子）。当用户说"预测/预估/影响因素/回归/建个模型看什么影响它/未来几个月"时使用。Excel 分析链之预测环。
+version: 1.0.0
+---
+
+# 回归预测与关系建模（Excel 分析链 · 预测环；全景见 excel-analysis-chain）
+
+回归的两个用途别混：**解释**（哪些因素影响 Y、影响多大）与**预测**（Y 未来是多少）——
+前者重系数与显著性,后者重预测精度与区间。
+
+## 多元回归（`read_skill_file` 读 `scripts/regress.py`，解释用途）
+
+- `ols()`：普通最小二乘——系数/标准误/t/p/R²/调整 R² + **标准化系数**（比较不同量纲变量的
+  影响力）;
+- **诊断三查**（不查诊断的回归是耍流氓）：多重共线性（VIF>10 的变量系数不可信,提示剔除）/
+  残差（是否随机,有模式=模型设定错）/ 异常点（高杠杆点影响）;
+- 解读纪律：系数是"**其他变量不变时**"的边际影响;**回归不证明因果**（遗漏变量/反向因果/
+  选择偏差——观察数据的回归系数一律附此警告）;R² 高 ≠ 预测准（可能过拟合）。
+
+## 时间序列预测（预测用途）
+
+- 分解先行：趋势/季节/残差目视（用 pivot-crosstab 的 trend 看形态）;
+- 方法阶梯（**先简单后复杂**,别一上来上神经网络）：移动平均/指数平滑（有趋势用 Holt、
+  有季节用 Holt-Winters）/ 简单线性趋势外推——`forecast_ts()` 给点预测 + **预测区间**
+  （只给点值的预测是误导,区间才诚实）;
+- **回测验证**：留出最后 N 期做样本外验证（MAPE/RMSE），不验证的预测不可信
+  （同 quant-analysis 样本外纪律）;
+- 局限声明：外推假设"历史模式延续",结构突变（政策/疫情/大促）会失效——
+  **预测区间外的大事件要人工干预**。
+
+## 分类预测（是/否类）
+
+逻辑回归概念（转化/流失/违约预测）——系数的 odds ratio 解读;
+**类别不平衡**提示（1% 正样本时准确率 99% 毫无意义,看召回/精确/AUC）;
+需要机器学习时（随机森林/GBDT）转 data-science-toolkit 或 packages 装 sklearn。
+
+## 产出
+
+解释类：系数表（含标准化系数与显著性）+ 诊断结论 + 驱动因子排序 + 因果局限声明;
+预测类：预测曲线+区间图（data-analysis）+ 回测精度 + 假设与失效条件。
+
+## 验收自查
+
+- [ ] 解释/预测用途分清
+- [ ] 回归做了共线性/残差诊断;系数附因果局限
+- [ ] 预测给了区间与样本外回测精度
+- [ ] 时序先分解先简单方法;失效条件已列
+
+## 附件
+
+- `scripts/regress.py` — ols(系数+标准化+VIF+R²)/forecast_ts(趋势季节+预测区间+MAPE 回测);可直接执行自测

package/skills/regression-forecast/scripts/regress.py

@@ -0,0 +1,106 @@
+# 回归预测件（经 run_python 执行）：多元 OLS（系数/标准化/VIF/R²）+ 时间序列趋势季节预测（含区间+MAPE 回测）。
+# 纯 numpy 实现（正规方程），不依赖 statsmodels/sklearn。直接执行本文件 = 自测。
+import math
+import numpy as np
+import pandas as pd
+
+
+def ols(X, y, feature_names=None):
+    """多元最小二乘。X: (n,k) 数组/DataFrame；返回系数表(含标准误/t/标准化系数)、R²、VIF。"""
+    if isinstance(X, pd.DataFrame):
+        feature_names = feature_names or list(X.columns)
+        X = X.values.astype(float)
+    X = np.asarray(X, float)
+    y = np.asarray(y, float)
+    n, k = X.shape
+    feature_names = feature_names or [f'x{i+1}' for i in range(k)]
+    Xd = np.column_stack([np.ones(n), X])           # 加截距
+    beta, *_ = np.linalg.lstsq(Xd, y, rcond=None)
+    resid = y - Xd @ beta
+    rss = (resid ** 2).sum()
+    tss = ((y - y.mean()) ** 2).sum()
+    r2 = 1 - rss / tss
+    adj_r2 = 1 - (1 - r2) * (n - 1) / (n - k - 1)
+    sigma2 = rss / (n - k - 1)
+    cov = sigma2 * np.linalg.pinv(Xd.T @ Xd)  # pinv 而非 inv：共线/秩亏设计矩阵不崩（标准误退化为大值，符合预期）
+    se = np.sqrt(np.diag(cov))
+    tvals = beta / se
+    sx, sy = X.std(0, ddof=1), y.std(ddof=1)
+    std_beta = [np.nan] + [beta[i + 1] * sx[i] / sy for i in range(k)]  # 标准化系数
+    # VIF：各自变量对其余的 R²
+    vif = [np.nan]
+    for i in range(k):
+        others = np.delete(X, i, axis=1)
+        if others.shape[1] == 0:
+            vif.append(1.0)
+            continue
+        Xo = np.column_stack([np.ones(n), others])
+        bi, *_ = np.linalg.lstsq(Xo, X[:, i], rcond=None)
+        ri2 = 1 - ((X[:, i] - Xo @ bi) ** 2).sum() / ((X[:, i] - X[:, i].mean()) ** 2).sum()
+        vif.append(1 / (1 - ri2) if ri2 < 1 else float('inf'))
+    tab = pd.DataFrame({'变量': ['截距'] + feature_names, '系数': beta.round(4),
+                        '标准误': se.round(4), 't值': tvals.round(3),
+                        '标准化系数': np.round(std_beta, 4), 'VIF': np.round(vif, 2)})
+    print(f'[OLS] n={n} k={k} · R²={r2:.4f} 调整R²={adj_r2:.4f}')
+    print(tab.to_markdown(index=False))
+    hi_vif = [feature_names[i] for i in range(k) if vif[i + 1] > 10]
+    if hi_vif:
+        print(f'  ⚠ 多重共线性（VIF>10）：{hi_vif} 系数不可单独解读')
+    print('  ⚠ 观察数据回归≠因果：遗漏变量/反向因果/选择偏差仍可能存在')
+    return {'coef': beta, 'r2': round(r2, 4), 'adj_r2': round(adj_r2, 4), 'table': tab}
+
+
+def forecast_ts(series, periods=3, season=None, holdout=3):
+    """时间序列预测：线性趋势(+可选季节因子) + 预测区间 + 样本外 MAPE 回测。
+    series: pd.Series（按时间排序）；season: 季节周期（如 12），None 则纯趋势。"""
+    s = pd.Series(series).astype(float).reset_index(drop=True)
+    n = len(s)
+    t = np.arange(n)
+
+    def fit_predict(train, h):
+        tt = np.arange(len(train))
+        b1, b0 = np.polyfit(tt, train.values, 1)
+        base = b0 + b1 * np.arange(len(train), len(train) + h)
+        if season and len(train) >= 2 * season:
+            detr = train.values - (b0 + b1 * tt)
+            sidx = [np.mean([detr[i] for i in range(len(train)) if i % season == (len(train) + j) % season])
+                    for j in range(h)]
+            base = base + np.array(sidx)
+        return base
+
+    # 样本外回测
+    train = s.iloc[:-holdout]
+    pred_oos = fit_predict(train, holdout)
+    actual = s.iloc[-holdout:].values
+    mape = float(np.mean(np.abs((actual - pred_oos) / actual)) * 100)
+    # 全样本拟合残差 → 预测区间
+    b1, b0 = np.polyfit(t, s.values, 1)
+    resid = s.values - (b0 + b1 * t)
+    sd = resid.std(ddof=1)
+    fc = fit_predict(s, periods)
+    lo, hi = fc - 1.96 * sd, fc + 1.96 * sd
+    out = pd.DataFrame({'期': range(n + 1, n + periods + 1), '预测': np.round(fc, 2),
+                        '下限95%': np.round(lo, 2), '上限95%': np.round(hi, 2)})
+    print(f'[时序] 趋势斜率 {b1:.3f}/期 · 样本外 MAPE {mape:.1f}%（holdout={holdout}）'
+          + (f' · 季节周期 {season}' if season else ''))
+    print(out.to_markdown(index=False))
+    print('  ⚠ 假设历史模式延续；结构突变（政策/大促）需人工干预')
+    return {'forecast': out, 'mape': round(mape, 2), 'slope': round(b1, 4)}
+
+
+if __name__ == '__main__':
+    rng = np.random.default_rng(6)
+    n = 120
+    x1 = rng.normal(50, 10, n)
+    x2 = rng.normal(20, 5, n)
+    y = 3 + 1.5 * x1 - 0.8 * x2 + rng.normal(0, 5, n)
+    r = ols(pd.DataFrame({'广告': x1, '价格': x2}), y)
+    assert r['r2'] > 0.8
+    assert abs(r['table'].set_index('变量').loc['广告', '系数'] - 1.5) < 0.3  # 系数还原
+    # 带趋势+季节的序列
+    base = 100 + np.arange(48) * 2 + 15 * np.sin(np.arange(48) * 2 * np.pi / 12) + rng.normal(0, 3, 48)
+    f = forecast_ts(pd.Series(base), periods=6, season=12, holdout=6)
+    assert f['slope'] > 0 and f['mape'] < 30 and len(f['forecast']) == 6
+    assert (f['forecast']['上限95%'] > f['forecast']['预测']).all()
+    assert ols(np.array([[1.0], [1.0], [1.0]]), np.array([1.0, 2.0, 3.0]))['r2'] is not None  # 共线/秩亏不崩(pinv)
+    print('OK regress.py')

package/skills/retail-store-ops/SKILL.md

@@ -0,0 +1,57 @@
+---
+name: retail-store-ops
+description: 门店与连锁经营（门店 P&L、坪效人效、菜单工程、损耗盘点、选址评分、店长日报周会）。当用户说"门店分析/坪效/翻台率/菜单优化/损耗/选址/单店模型"时使用。
+version: 1.0.0
+---
+
+# 门店经营（单店模型看透，连锁靠可复制）
+
+## 门店 P&L 与核心比率（`read_skill_file` 读 `scripts/store_ops.py`）
+
+- 单店损益结构：营收（堂食/外卖/零售分渠道）→ 毛利 → 四大刚性费用
+  **房租/人力/能耗/损耗**（占营收比是生死线:餐饮房租参考 ≤15%、人力 ≤22%,业态不同要校准,
+  作为参数别当真理）→ 门店贡献利润（**不摊总部费用**的口径,考核店长用这层）;
+- `floor_efficiency()`：坪效（营收/营业面积,分楼层/时段）与人效（营收/总工时,
+  **用工时不用人头**——兼职占比高时人头口径失真）;
+- 盈亏平衡：保本营收 = 固定费用/毛利率,给"日均需 X 单/桌"的直觉化换算。
+
+## 菜单工程（餐饮/SKU 结构优化）
+
+`menu_quadrant()`：毛利额 × 销量双中位数分四象限——
+**明星**（双高:保护,菜单黄金位）/ **耕牛**（高销低毛利:提价测试或降本,别轻易下）/
+**谜题**（高毛利低销量:改名/推荐位/套餐带动）/ **瘦狗**（双低:下架候选,先查是否引流品）;
+配套动作表（每 SKU 一行:象限/动作/负责人/复测日期）——菜单调整是实验,**改完必须复测**。
+
+## 损耗与盘点
+
+损耗率口径（损耗额/营收 或 /进货额,写死一个）;原因分类（过期报废/操作损耗/盘差——
+**盘差单列**,持续盘差=流程或诚信问题,处理路径不同）;
+高损耗品 TOP 表 + 措施（订货模型调整/效期管理/加工标准化）;盘点纪律（循环盘点表+复盘双人制）。
+
+## 时段与翻台（餐饮）
+
+时段营收热力（日×小时）→ 闲时策略（下午茶/团购券定向）;翻台率=接待桌次/桌数
+（口径:营业时段内）,与**桌均时长、等位流失**一起看——翻台低先分清是没人还是坐太久。
+
+## 选址评分卡
+
+维度权重（人流量与质量 30/客群匹配 25/竞争密度 15/租金压力测试 15/可视性可达性 10/物业条件 5）,
+每维打分要**实地数据**（分时段人流实数、竞店试吃小票、租金对标),
+输出:评分 + 保本测算（该址租金下需日均营收 X,达成概率判断）——**评分高但保本线离谱的照样否**。
+
+## 连锁复制
+
+单店模型标准化（面积/人员/设备/菜单的标准配置表）→ 新店爬坡曲线（开业 1/2/3 月达成基准店 %）→
+督导检查表（QSC:品质/服务/清洁,可量化项）;店长日报（营收/客流/客单/异常一屏）与
+周会议程模板（对着数据讲,office-automation 可做自动汇总例程）。
+
+## 验收自查
+
+- [ ] P&L 分层口径明确(贡献利润不摊总部)
+- [ ] 人效用工时口径;保本给了直觉化换算
+- [ ] 菜单四象限每 SKU 有动作与复测日期
+- [ ] 选址评分配了保本压力测试
+
+## 附件
+
+- `scripts/store_ops.py` — floor_efficiency(坪效人效/保本) + menu_quadrant(菜单工程四象限+动作建议);可直接执行自测

package/skills/retail-store-ops/scripts/store_ops.py

@@ -0,0 +1,57 @@
+# 门店经营计算件（经 run_python 执行）：坪效/人效/保本点 + 菜单工程四象限。
+# 直接执行本文件 = 自测。
+import pandas as pd
+
+
+def floor_efficiency(revenue, area_sqm, labor_hours, fixed_cost=None, gross_margin=None):
+    """坪效（元/㎡）与人效（元/工时）；给固定费用与毛利率则算保本营收。"""
+    fe = revenue / area_sqm
+    le = revenue / labor_hours
+    print(f'[效率] 坪效 {fe:,.0f} 元/㎡ · 人效 {le:,.0f} 元/工时')
+    out = {'floor_eff': round(fe, 1), 'labor_eff': round(le, 1)}
+    if fixed_cost and gross_margin:
+        be = fixed_cost / gross_margin
+        out['breakeven_revenue'] = round(be, 0)
+        print(f'[保本] 固定费用 {fixed_cost:,.0f} ÷ 毛利率 {gross_margin:.0%} = 保本营收 {be:,.0f}'
+              f'（当前达成 {revenue / be:.0%}）')
+    return out
+
+
+def menu_quadrant(df, item_col='品名', qty_col='销量', profit_col='单份毛利'):
+    """菜单工程：毛利额×销量 双中位数分象限（明星/耕牛/谜题/瘦狗）+ 动作建议。"""
+    d = df.copy()
+    d['毛利额'] = d[qty_col] * d[profit_col]
+    q_med, p_med = d[qty_col].median(), d[profit_col].median()
+
+    def quad(r):
+        hi_q, hi_p = r[qty_col] >= q_med, r[profit_col] >= p_med
+        if hi_q and hi_p:
+            return '明星', '保护：菜单黄金位，保供稳质'
+        if hi_q:
+            return '耕牛', '提价测试或降本；谨慎下架（可能是引流品）'
+        if hi_p:
+            return '谜题', '推广：改名/推荐位/套餐带动，复测销量'
+        return '瘦狗', '下架候选：先确认非引流/结构性菜品'
+    d[['象限', '动作建议']] = d.apply(lambda r: pd.Series(quad(r)), axis=1)
+    d = d.sort_values('毛利额', ascending=False)
+    stat = d.groupby('象限', observed=True).agg(SKU数=(item_col, 'size'), 毛利额=('毛利额', 'sum'))
+    print(f'[菜单工程] 销量中位 {q_med:.0f} · 单份毛利中位 {p_med:.1f}')
+    print(stat.to_markdown())
+    print(d[[item_col, qty_col, profit_col, '毛利额', '象限']].to_markdown(index=False))
+    return d
+
+
+if __name__ == '__main__':
+    r = floor_efficiency(revenue=600_000, area_sqm=200, labor_hours=2600,
+                         fixed_cost=180_000, gross_margin=0.6)
+    assert r['floor_eff'] == 3000.0 and r['breakeven_revenue'] == 300_000
+    menu = pd.DataFrame({
+        '品名': ['招牌牛肉面', '酸辣粉', '黑松露拌面', '素凉菜'],
+        '销量': [3000, 2800, 400, 300],
+        '单份毛利': [12.0, 5.0, 22.0, 4.0],
+    })
+    q = menu_quadrant(menu)
+    get = lambda n: q.loc[q['品名'] == n, '象限'].iloc[0]
+    assert get('招牌牛肉面') == '明星' and get('酸辣粉') == '耕牛'
+    assert get('黑松露拌面') == '谜题' and get('素凉菜') == '瘦狗'
+    print('OK store_ops.py')

package/skills/risk-compliance/SKILL.md

@@ -0,0 +1,51 @@
+---
+name: risk-compliance
+description: 企业风控与合规（风险登记册、内控流程矩阵、合规体系文件、应急预案、反舞弊/数据合规要点）。当用户说"风险评估/内控/合规检查/应急预案/廉洁/数据合规"时使用。
+version: 1.0.0
+---
+
+# 企业风控合规（风险有账、控制有点、预案能演）
+
+## 风险登记册（企业级，与 project-management 的项目级同构不同层）
+
+- 风险识别按域扫：战略/市场/财务（汇率利率信用流动性）/运营（供应链单点/关键人依赖/IT）/
+  合规法律/声誉——每域用"如果 X 则 Y 影响 Z"句式,拒绝"市场风险"这种词条式登记;
+- 评估：概率×影响五级矩阵（影响锚定到金额/停摆时长/监管后果的具体标尺,先定标尺再打分）;
+- 应对四策（规避/转移/减轻/接受）落到**动作+负责人+完成期限+剩余风险**;
+- 治理节奏：季度刷新,新增/升级/关闭有记录;TOP 风险进管理层议程。
+
+## 内控矩阵（流程视角）
+
+按流程建：流程步骤 → 风险点 → 控制活动（**预防型/发现型**标注）→ 控制属性
+（人工/自动、频率）→ 证据留痕 → 测试方法;
+关键流程优先：采购到付款 P2P（供应商准入/比价/三单匹配/付款审批）、订单到收款 O2C
+（信用额度/发货审批/对账）、费用报销（预算/标准/审批链/发票查验）、资金（**不相容职务分离**:
+出纳不碰账、审批不经办、印章分管——这条是内控的地基）;
+缺陷分级（一般/重要/重大）+ 整改闭环表。
+
+## 合规体系文件（三层）
+
+制度层（合规管理办法:组织/职责/举报与调查程序）→ 专项层（按风险敞口选:反商业贿赂
+（礼品招待标准/第三方尽调/经销商协议条款）、数据合规（个人信息处理清单/最小必要/委托处理协议/
+出境评估提示——**具体法规适用建议咨询专业律师**）、贸易合规（受制裁方筛查提示,转 foreign-trade））
+→ 执行层（培训签收/年度合规承诺/检查计划）。
+
+## 应急预案（能演练的才是预案）
+
+场景化编写（数据泄露/生产事故/舆情危机/资金异常/关键系统宕机）,每案五要素：
+触发条件（可判定）/ 响应组织（指挥+成员+7×24 联系表）/ 处置步骤（前 1 小时逐分钟,后续按阶段）/
+对外口径（衔接 pr-comms 危机分级）/ 恢复与复盘;
+**桌面演练脚本**随预案交付（注入情景→各角色动作→计时→复盘差距）,没演练过的预案按未验收对待。
+
+## 反舞弊要点
+
+高风险场景清单（采购回扣/销售飞单/报销造假/库存监守）+ 数据筛查线索
+（供应商与员工信息重合/整数金额高频/拆分审批/休假零天员工——data-report-pro 跑筛查）;
+调查程序合规红线（证据保全/访谈两人在场/推定无罪措辞）。
+
+## 验收自查
+
+- [ ] 风险条目"如果-则-影响"格式,打分有标尺
+- [ ] 内控矩阵覆盖关键流程,职务分离检查过
+- [ ] 预案有可判定触发条件与演练脚本
+- [ ] 涉法条目标注咨询专业意见

package/skills/sec-auth/SKILL.md

@@ -0,0 +1,89 @@
+---
+name: sec-auth
+description: 认证授权链（认证/授权/审计三分→协议判据表(OIDC/SAML/授权码+PKCE/client_credentials)→OAuth2 落地要点(state/nonce/redirect_uri 白名单)→JWT 陷阱清单与吊销策略→会话 vs token 判据→权限模型 RBAC/ABAC/ReBAC 与数据范围权限→多租户身份贯穿→MFA 与扫码登录安全→服务间认证 mTLS→token 泄漏应急）。eng-security 的认证授权孙链:接 SSO、设计权限模型、JWT 方案评审、越权与登录安全整改时载入。
+version: 1.0.0
+---
+
+# 认证授权链
+
+eng-security 的认证授权孙链。概念三分先钉死:**认证**(你是谁)/**授权**(你能干嘛)/**审计**(你干了啥)——
+三者混谈的设计必乱(用"登录了"当"有权限"=越权温床)。
+
+## 协议判据表（别自研,选对再落地）
+
+| 场景 | 方案 | 要点 |
+|---|---|---|
+| 企业内 SSO | **OIDC 默认**(OAuth2+身份层) | 新系统一律 OIDC;拿到的是身份(id_token),不只是授权 |
+| 遗留/外企对接 | SAML | 老 IdP 生态;XML 签名验证库要新(历史漏洞多) |
+| 第三方应用授权 | OAuth2 授权码+**PKCE** | 隐式流已弃用;PKCE 移动端与 SPA 必配 |
+| 机器对机器 | client_credentials | 服务账号+最小 scope;凭证进密钥服务(eng-infra) |
+| 智能终端/CLI | 设备码流 | 平台 CLI 登录的正路 |
+| 企业微信/钉钉码登 | 各家 OAuth 变体 | 回调域白名单+state 照配(国内 IdP 不豁免基本功) |
+
+**自研认证协议=红线**(eng-security);自建账号体系也用标准协议件(IdP 开源件/云服务)承载。
+
+## OAuth2/OIDC 落地要点（漏一个=一类攻击）
+
+state 参数必配且校验(防 CSRF 绑定攻击);nonce 防 id_token 重放;
+**redirect_uri 精确匹配白名单**(通配/前缀匹配=授权码劫持面,子域也不放宽);
+授权码一次性+短时效(标准件默认,自组装时别丢);
+token 传输只走 TLS+Authorization 头(URL 带 token=日志与 Referer 泄漏);
+前端存储判据:access token 内存持有,refresh token httpOnly cookie(+SameSite/CSRF 防护)——**localStorage 存长期凭证=XSS 即失守**(风险要书面认账才许用);
+登出三层:前端清态+服务端吊销+IdP 单点登出(只做第一层=假登出)。
+
+## JWT 陷阱清单（用 JWT 前逐条过）
+
+- 算法混淆:服务端**固定验签算法白名单**(拒收 alg:none;RS256 公钥被当 HS256 密钥的经典攻击=库配置错);
+- **吊销难题正面答**:JWT 无状态=天然难吊销——标准解:短时效 access(5–15min)+可吊销 refresh(服务端存态);高敏场景加黑名单(jti 进缓存,db-redis)或干脆用有状态会话;**"JWT 无法登出"不是特性是设计债**;
+- payload 只签名不加密:敏感信息(手机号/权限细节)不进 payload(base64 谁都能读);
+- 时钟偏移:验 exp/nbf 留 30–60s 容忍(arch-distributed 时钟不可信);
+- 密钥轮换:kid 头+JWKS 端点(轮换不断服),**验签密钥硬编码=轮换即事故**;
+- 会话 vs JWT 判据:单体/低复杂度=服务端会话(简单可吊销,别赶时髦);多服务/多端=短 JWT+网关统一验;混合形态(网关验外部 token 换发内部身份头)是大型系统常态。
+
+## 权限模型判据
+
+| 模型 | 适用 | 要点 |
+|---|---|---|
+| RBAC(默认) | 岗位驱动的企业系统 | 角色爆炸治理:角色继承+按职能不按人建角色("张三专用角色"=失控信号) |
+| ABAC | 动态条件(时间/部门/密级) | 策略引擎复杂度先认;审计"为什么他能看"变难 |
+| ReBAC | 资源关系型(文档协作/网盘分享) | "所有者/协作者/链接可见"关系图;实现走成熟件思路 |
+
+**数据范围权限单列设计**(国内企业刚需):功能权限(能不能进这页)与数据权限(能看谁的数据:本人/本部门/全公司)分离建模——
+数据范围落到查询层强制注入过滤条件(与 arch-multitenant 租户过滤同机制),**靠前端传范围参数=裸奔**;
+权限判定收口:统一鉴权切面/中间件,散落在业务 if 里=必漏(eng-security 越权双查的工程化)。
+
+## 多租户身份贯穿
+
+租户 ID 进 token 声明→上下文贯穿→数据层强制过滤(arch-multitenant 详述);
+**跨租户=P0 红线**:测试用例必含跨租户访问(qa-api-automation 越权用例);
+租户管理员与平台管理员权限边界画清(平台运营误入客户数据=合规事故,审计全留痕)。
+
+## 登录安全专项
+
+密码基线承 eng-security(bcrypt/argon2+限速+撞库监测);
+**MFA 判据**:管理后台与高危操作必上(TOTP 默认;短信验证码认清 SIM 劫持风险,作为便利因子不作唯一强因子);
+验证码防刷:图形/行为验证+频控(短信轰炸=资损+骚扰投诉);
+扫码登录安全:二维码一次性+短时效+**确认页显示登录环境**(防"截图钓鱼让人扫");轮询接口防劫持(凭证绑定发起会话);
+异地/异常登录:风控信号(新设备/新地)→二次验证+通知用户;
+账号生命周期:离职/转岗当日回收(eng-security 季度复核的实时面),服务账号定期轮换与盘点。
+
+## 服务间认证
+
+内部服务默认不裸奔(eng-infra 内网不出公网≠内网免认证):mTLS(服务网格承载)或内部 token(短时效服务身份);
+最小权限 scope(A 服务只能调它需要的接口);
+**降权凭证纪律**:代理用户操作的服务(含 AI Agent,ai-agent 呼应)用受限凭证,不透传用户全权;
+凭证下发走密钥服务,禁配置文件明文(eng-infra 四不)。
+
+## token 泄漏应急（预案先写好）
+
+判定泄漏(日志/异常使用告警)→**吊销半径执行**(该用户全端登出/该客户端全量 refresh 吊销/涉签名密钥则轮换密钥+全量失效,代价大小预案里排好)→
+溯源(泄漏路径:日志?前端存储?中间人?)→修复路径→通知义务评估(合规,legal-chain);
+演练判据:密钥轮换与全量登出要演练过(eng-reliability 预案纪律)——**没演练过的"大不了全登出"会在深夜变成六小时事故**。
+
+**作业包**:`references/auth-review-checklist.md`(协议流程/JWT 陷阱逐条/授权模型与数据范围分离/登录安全/泄漏预案)。
+
+## 使用纪律
+
+认证一律标准协议+成熟件;鉴权判定统一收口;权限变更留审计;
+新接口评审三问:谁能调(认证)/凭什么(授权)/查得到吗(审计);
+每次越权/泄漏事故回写陷阱清单(与 eng-security 红线联动)。

package/skills/sec-auth/references/auth-review-checklist.md

@@ -0,0 +1,38 @@
+# 认证授权评审单（sec-auth 落笔件:接 SSO/发 token/设计权限必过）
+
+## 1. 协议与流程
+
+- [ ] 标准协议承载(OIDC 默认/SAML 遗留/授权码+PKCE/client_credentials/设备码),**无自研协议**
+- [ ] state 防 CSRF+校验;nonce 防重放;授权码一次性短时效
+- [ ] **redirect_uri 精确白名单**(无通配/前缀放宽);回调域清单:__
+- [ ] token 只走 TLS+Authorization 头(不进 URL/日志)
+
+## 2. JWT 陷阱逐条过(用 JWT 才填)
+
+- [ ] 验签算法白名单固定(拒 alg:none;RS/HS 混淆已防——库配置确认:__)
+- [ ] 时效:access __ 分钟(短)+refresh __ 可吊销;**吊销方案**:□短时效自然过期 □jti 黑名单 □会话版本号(“JWT 无法登出”不是特性是债)
+- [ ] payload 无敏感信息(base64 谁都能读);时钟偏移容忍 __s
+- [ ] 密钥轮换:kid+JWKS(不断服);验签密钥非硬编码
+- [ ] 或者:低复杂度场景已考虑服务端会话(简单可吊销,别赶时髦)
+
+## 3. 授权模型
+
+- 模型:□RBAC(角色清单 __;无"张三专用角色") □ABAC(策略:__) □ReBAC(关系:__)
+- [ ] **功能权限与数据范围权限分离**:数据范围(本人/本部门/全公司)在查询层强制注入(机制:__;禁前端传范围参数)
+- [ ] 鉴权判定统一收口(切面/中间件:__;无散落业务 if)
+- [ ] 越权用例进回归:水平(他人资源)+垂直(低角色高接口)+批量逐条+跨租户(qa-api-automation)
+
+## 4. 登录安全
+
+- [ ] 密码 bcrypt/argon2;登录限速+撞库监测;MFA(管理后台/高危操作):__
+- [ ] 验证码防刷(短信轰炸=资损);扫码登录:码一次性+确认页显示登录环境
+- [ ] 会话:登录后换会话 ID;登出三层(前端清态+服务端吊销+IdP 单点登出)
+- [ ] 异地/新设备风控信号→二次验证+通知:__
+
+## 5. 服务间与应急
+
+- [ ] 内部服务间认证(mTLS/服务 token,最小 scope);Agent/代办类用降权凭证
+- [ ] **token 泄漏预案**:吊销半径清单(用户级/客户端级/密钥级各多大代价)__;全量登出演练日期 __
+- [ ] 审计:登录/授权变更/敏感操作留痕可查
+
+> 结论: □通过 □带条件 □打回。新接口三问:谁能调/凭什么/查得到吗。

package/skills/sec-compliance/SKILL.md

@@ -0,0 +1,74 @@
+---
+name: sec-compliance
+description: 等保与合规工程链（合规全景与定级判据(二级 vs 三级成本量级)→等保三级高频技术要求工程清单(双因素/审计留存/最小权限/备份加密)→测评配合与证据工程→密评国密改造落点→开源 License 合规治理→软著材料配合→合规进日常门禁）。eng-security 的合规工程孙链:等保测评临近、密评改造、开源合规整改、客户问"你们过等保没"时载入。法规与标准以当日文本为准,本链管工程落点。
+version: 1.0.0
+---
+
+# 等保与合规工程链
+
+eng-security 的合规工程孙链。分工一句话:**eng-security 管"真安全",本链管"证明安全且合规"**——
+两者重叠七成但不相同,都要做;合规是下限不是天花板,过了测评不等于安全。
+
+## 合规全景（工程视角的地图）
+
+等保 2.0(定级→备案→建设整改→测评→监督检查,三级每年测评)/密评(商用密码应用安全性评估,关基与重要系统)/
+三法落点(网络安全法:日志留存≥6 个月;数据安全法:分类分级;个保法:个人信息处理——eng-security 数据分级承接)/
+行业叠加(金融证券医疗另有行业规范,按客户所属行业查);
+**私有化交付场景"过等保没"是客户必问**(env-private-deploy 档案里记客户的等保等级与到期日)。
+
+## 定级判据（别自愿拔高）
+
+二级(一般系统,自主定级备案,测评非强制年检)vs 三级(重要系统,**每年测评**+技术要求陡增)——
+定级决定长期成本量级;定级依据是业务影响(受侵害客体与程度)不是"显得重视";
+新系统立项时就问定级预期(合规要求进需求验收,eng-requirements),上线前抱佛脚=整改地狱。
+
+## 三级高频技术要求工程清单（测评被扣分的常客,逐项落）
+
+| 要求 | 工程落点 | 常见失分 |
+|---|---|---|
+| 身份鉴别:双因素 | 管理后台/运维入口 MFA(sec-auth) | 只有密码;堡垒机没开双因素 |
+| 审计:日志留存 ≥6 个月且防篡改 | 集中日志+保留策略(eng-observability 分层存储)+完整性保护 | 本机日志滚动 7 天就没了 |
+| 密码策略 | 复杂度+定期更换+失败锁定(sec-auth 登录安全) | 测试账号弱口令;默认口令未改 |
+| 访问控制:最小权限 | 账号季度清理/权限矩阵/离职即禁(eng-security) | 共享账号;万能 root 满天飞 |
+| 剩余信息保护 | 退租/删除的存储清除(arch-multitenant 删除证明同拍) | 说不清删没删干净 |
+| 入侵防范与恶意代码 | 边界防护(infra-gateway WAF)/主机防护/漏洞修复 SLA 记录 | 高危漏洞超期未修且无记录 |
+| 通信与存储加密 | TLS 全站+敏感字段加密(密评场景国密,见下) | 内网明文传输"因为是内网" |
+| 数据备份 | 异地备份+恢复演练记录(eng-ops 3-2-1) | 有备份无演练记录 |
+| 安全区域边界 | 网络分区/访问控制策略表(eng-infra NetworkPolicy 落点) | 平面网络一马平川 |
+
+**证据先行心智**:测评看的是证据(配置截图/策略导出/制度文档/演练记录)——平时不留痕,测评两周全员补作业。
+
+## 测评配合工程
+
+测评前自查(对照本清单+上次整改项复核)→ 差距整改分级(高风险项阻塞/中低风险带整改计划)→
+证据包准备(按测评项组织:拓扑图/配置导出/日志样例/制度文件/演练与培训记录,**目录化管理别临时翻**)→
+测评中配合(工程接口人+环境访问审批走 eng-ops 变更)→ 整改闭环(报告风险项→工单→复测证据);
+整改项进安全例外台账(有期限有接受人,eng-security)——**测评报告的"部分符合"堆积=下次测评的雷**。
+
+## 密评与国密改造落点
+
+触发判据:关基/重要信息系统(客户合同或行业要求)——先问真触发没,国密改造是大工程;
+改造落点:传输(TLS 国密套件/网关卸载判据 infra-gateway)/存储(敏感字段 SM4)/签名认证(SM2/SM3:登录、重要操作、时间戳)/
+密钥管理(密码机/密码服务平台对接,eng-infra 密钥服务的国密版);
+**兼容双轨**:国密与国际算法并存期的协商与降级策略(老客户端不支持国密套件);
+密码应用方案先行评审(建设前评估,别建完再改)。
+
+## 开源合规治理（License 的合规面,eng-security SCA 的姊妹篇）
+
+License 扫描进 CI(SCA 工具的 license 面,cicd-pipeline);
+传染性处置表:GPL 系进产品分发场景的隔离策略(动态链接/服务化隔离/替换)——**私有化交付=分发**,SaaS 不分发的豁免逻辑要分清;
+义务履行:声明文件(NOTICE/第三方清单随发行包)/源码提供义务评估;
+商用限制条款排查(近年多个开源项目改协议,eng-research 许可证关的持续面:**升级依赖时 license 变更也要看**,dependency-upgrade)。
+
+## 软著与材料配合
+
+工程侧配合项:源码材料(前后各 30 页惯例,含版本信息)/操作手册(eng-docs 用户文档复用)/
+版本与著作权人信息一致性——材料从仓库脚本化导出(eng-automation),别每次手工攒。
+
+## 使用纪律
+
+合规要求进需求与门禁(日志留存/双因素/密码策略是配置基线,production-readiness 联动),不做测评前突击;
+证据留痕日常化(演练/培训/清理各有记录);合规台账(等级/测评到期日/整改项/例外)有 Owner;
+**法规与标准以当日文本和测评机构口径为准**——本链管"工程怎么落",不替代合规顾问(risk-compliance/legal-chain 衔接)。
+
+**作业包**:`references/dengbao-checklist.md`(三级高频技术核查表(要求→落点→证据)/测评准备与证据包目录/整改分级登记)。