@jspg-ai/coding-bb 0.0.3-beta.30 → 0.0.3-beta.31

package/cbb/lib/external/index.js

@@ -0,0 +1,228 @@
+#!/usr/bin/env node
+
+/**
+ * External 小型外部依赖管理模块
+ *
+ * 管理顶层 external/ 目录下的零散第三方依赖（当前为 frontend-design skill，
+ * 来源 anthropics/skills）。与 superpowers / openspec 的整仓 pin 不同，
+ * 这里是「一依赖一目录、pin 文件放依赖自己的子目录内」的轻量形态：
+ *
+ *   external/<dep-name>/
+ *   ├── .version        # pin：{ repo, ref(commit sha), path(tarball 内子路径), updatedAt }
+ *   └── ...             # 上游 path 子目录的内容（如 SKILL.md + LICENSE.txt）
+ *
+ * 新增外部依赖 = 在 external/ 下新建子目录并写入 .version，无需改本模块。
+ *
+ * 网络：GitHub 直连可能被墙 / 被本机 DNS 劫持，走 config/upstream-mirrors.json
+ * 的 'external' 镜像前缀列表（按顺序尝试，首个成功即用；空字符串 = 直连）。
+ *
+ * 升级方式：cbbm update --upstream-external [name]（按 .version 的 ref 幂等重拉，省略 name = 全部）
+ * 版本检查：cbbm check-upstream（对比 pinned sha 与上游 main 该 path 的最新提交）
+ */
+
+const fs = require('fs');
+const path = require('path');
+const os = require('os');
+
+const SHARED_STANDARDS_DIR = path.join(__dirname, '..', '..', '..');
+
+// External 依赖根目录
+const EXTERNAL_DIR = path.join(SHARED_STANDARDS_DIR, 'external');
+const VERSION_FILE_NAME = '.version';
+// skill 型依赖的完整性标记（上游 path 内容含 SKILL.md 时以其校验完整性）
+const SKILL_MARKER = 'SKILL.md';
+
+const { log } = require('../utils/output');
+const { extractTarGz } = require('../utils/tar');
+const { loadMirrors, fetchWithMirrors } = require('../utils/upstream');
+
+// ── 依赖发现与 pin 读取 ──────────────────────────────────────
+
+/**
+ * 读取依赖目录内的 .version pin。字段不全 / JSON 损坏 / 文件缺失返回 null。
+ * @param {string} dir
+ * @returns {{repo: string, ref: string, path: string, updatedAt?: string}|null}
+ */
+function readPin(dir) {
+  const file = path.join(dir, VERSION_FILE_NAME);
+  if (!fs.existsSync(file)) return null;
+  try {
+    const data = JSON.parse(fs.readFileSync(file, 'utf-8'));
+    if (!data || typeof data.repo !== 'string' || !data.repo.includes('/') ||
+        typeof data.ref !== 'string' || !data.ref ||
+        typeof data.path !== 'string' || !data.path) {
+      return null;
+    }
+    return data;
+  } catch (_) {
+    return null;
+  }
+}
+
+/**
+ * 扫描 external/ 下各依赖子目录，返回全部依赖（pin 无效的目录跳过并告警）。
+ * @returns {Array<{name: string, dir: string, pin: object}>}
+ */
+function listDeps() {
+  if (!fs.existsSync(EXTERNAL_DIR)) return [];
+  const deps = [];
+  for (const entry of fs.readdirSync(EXTERNAL_DIR)) {
+    const dir = path.join(EXTERNAL_DIR, entry);
+    if (!fs.statSync(dir).isDirectory()) continue;
+    const pin = readPin(dir);
+    if (!pin) {
+      log(`external/${entry}: 缺少有效 .version pin（{ repo, ref, path }），跳过`, 'warn');
+      continue;
+    }
+    deps.push({ name: entry, dir, pin });
+  }
+  return deps;
+}
+
+/**
+ * 依赖内容完整性：skill 型（上游含 SKILL.md）要求本地 SKILL.md 存在；
+ * 其余类型要求除 .version 外至少有一个条目。
+ * @param {string} dir
+ * @returns {boolean}
+ */
+function validateDepDir(dir) {
+  if (!fs.existsSync(dir)) return false;
+  if (fs.existsSync(path.join(dir, SKILL_MARKER))) return true;
+  return fs.readdirSync(dir).some(f => f !== VERSION_FILE_NAME);
+}
+
+// ── 上游拉取 ──────────────────────────────────────────────────
+
+/** tarball 下载地址（按镜像前缀拼接；ref = commit sha，上游无 skill 粒度 tag） */
+function tarballUrl(mirror, pin) {
+  return `${mirror}https://api.github.com/repos/${pin.repo}/tarball/${pin.ref}`;
+}
+
+/**
+ * 按 .version 的 ref 下载 tarball，解压出 pin.path 子目录，内容覆盖到 external/<name>/。
+ * 幂等：pin 一致且内容完整 → 跳过重拉。.version 由本模块改写，不被上游内容覆盖。
+ * @param {string[]} [names] - 指定依赖名；省略 = 全部
+ * @returns {Promise<Array<{name: string, ref: string, skipped: boolean, error?: string}>>}
+ */
+async function fetchDeps(names) {
+  const all = listDeps();
+  let deps = all;
+  if (names && names.length > 0) {
+    const known = new Set(all.map(d => d.name));
+    const unknown = names.filter(n => !known.has(n));
+    if (unknown.length > 0) {
+      throw new Error(`未知的 external 依赖: ${unknown.join(', ')}（现有: ${[...known].join(', ') || '无'}）`);
+    }
+    deps = all.filter(d => names.includes(d.name));
+  }
+
+  const results = [];
+  for (const dep of deps) {
+    try {
+      results.push(await fetchDep(dep));
+    } catch (err) {
+      results.push({ name: dep.name, ref: dep.pin.ref, skipped: false, error: err.message });
+    }
+  }
+  return results;
+}
+
+/**
+ * 拉取单个依赖。
+ * @param {{name: string, dir: string, pin: object}} dep
+ * @returns {Promise<{name: string, ref: string, skipped: boolean}>}
+ */
+async function fetchDep(dep) {
+  const { name, dir, pin } = dep;
+
+  // pin 一致且内容完整 → 幂等跳过
+  if (validateDepDir(dir)) {
+    log(`external/${name} 已按 pin ${pin.ref.slice(0, 12)} 就位，跳过重拉`, 'success');
+    return { name, ref: pin.ref, skipped: true };
+  }
+  log(`external/${name} 内容不完整，按 pin ${pin.ref.slice(0, 12)} 拉取...`, 'info');
+
+  const mirrors = loadMirrors('external');
+  log(`正在获取 ${pin.repo}@${pin.ref.slice(0, 12)}（${mirrors.map(m => m || '直连').join(' → ')}）...`, 'info');
+  const { buffer, mirror } = await fetchWithMirrors(mirrors, m => tarballUrl(m, pin));
+  log(`已从 ${mirror || '(直连)'} 下载 ${(buffer.length / 1024).toFixed(0)} KB`, 'info');
+
+  const tmpDir = fs.mkdtempSync(path.join(os.tmpdir(), 'cbb-ext-'));
+  try {
+    extractTarGz(buffer, tmpDir);
+
+    // GitHub tarball 顶层目录名格式：<owner>-<repo>-<short-sha>
+    const topPrefix = `${pin.repo.replace('/', '-')}-`;
+    const tops = fs.readdirSync(tmpDir).filter(f => {
+      const p = path.join(tmpDir, f);
+      return fs.statSync(p).isDirectory() && f.startsWith(topPrefix);
+    });
+    if (tops.length === 0) throw new Error(`解压后未找到 ${topPrefix}* 目录`);
+
+    // pin.path 是 tarball 内相对仓库根的子路径（如 skills/frontend-design）
+    const source = path.join(tmpDir, tops[0], pin.path);
+    if (!fs.existsSync(source)) {
+      throw new Error(`上游 ${pin.repo}@${pin.ref.slice(0, 12)} 中不存在路径 ${pin.path}（ref 或 path 配置有误）`);
+    }
+
+    // 覆盖内容到 external/<name>/（cpSync 合并，.version 保留）
+    fs.cpSync(source, dir, { recursive: true });
+    if (!validateDepDir(dir)) throw new Error('拉取后完整性校验未通过');
+
+    // 刷新 pin 时间戳（ref 不变）
+    fs.writeFileSync(
+      path.join(dir, VERSION_FILE_NAME),
+      JSON.stringify({ ...pin, updatedAt: new Date().toISOString() }, null, 2) + '\n'
+    );
+
+    log(`external/${name} 已更新: ${pin.repo}@${pin.ref.slice(0, 12)}`, 'success');
+    return { name, ref: pin.ref, skipped: false };
+  } finally {
+    try { fs.rmSync(tmpDir, { recursive: true, force: true }); } catch (_) { /* ignore */ }
+  }
+}
+
+/**
+ * 检查全部依赖上游是否有新提交（只读，不改动任何文件）。
+ * 对比 pinned sha 与上游 main 分支 pin.path 的最新提交 sha
+ * （commits?path= 只统计该子路径的变更，仓库其他目录的提交不告警）。
+ * 单依赖失败不阻塞其他依赖（返回 {name, error} 条目）。
+ * @returns {Promise<Array<{name: string, current: string, latest: string, outdated: boolean}|{name: string, error: string}>>}
+ */
+async function checkUpstream() {
+  const deps = listDeps();
+  const results = await Promise.allSettled(deps.map(async dep => {
+    const mirrors = loadMirrors('external');
+    const { buffer } = await fetchWithMirrors(mirrors, m =>
+      `${m}https://api.github.com/repos/${dep.pin.repo}/commits?path=${encodeURIComponent(dep.pin.path)}&sha=main&per_page=1`
+    );
+    const data = JSON.parse(buffer.toString('utf-8'));
+    const latest = Array.isArray(data) && data[0] ? data[0].sha : null;
+    return {
+      name: dep.name,
+      current: dep.pin.ref,
+      latest,
+      outdated: Boolean(latest && latest !== dep.pin.ref),
+    };
+  }));
+  return results.map((r, i) => r.status === 'fulfilled'
+    ? r.value
+    : { name: deps[i].name, error: r.reason.message });
+}
+
+// ── 导出 ──────────────────────────────────────────────────────
+
+module.exports = {
+  // 常量
+  EXTERNAL_DIR,
+  VERSION_FILE_NAME,
+  SKILL_MARKER,
+
+  // 核心函数
+  listDeps,
+  readPin,
+  validateDepDir,
+  fetchDeps,
+  checkUpstream,
+  tarballUrl,
+};

package/cbb/lib/install/init.js

@@ -84,6 +84,11 @@ const WORKTREE_SKILLS = ['cbb-worktree-init', 'cbb-worktree-close', 'cbb-worktre
 // cbb-design-to-wiki（Wiki 发布）与 cbb-wiki-ops 保留在源仓库，需要时加入本清单即恢复分发；Java 工具不装。
 const TOOLS_SKILLS = [];
 
+// external 外部依赖 skills 白名单：第三方上游 pin vendor 的 skill（源在 external/<name>/，
+// 各子目录自带 .version pin，供 cbbm update --upstream-external 维护）。
+// 非 skill 类外部依赖不走部署通道，不会进本清单。
+const EXTERNAL_SKILLS = ['frontend-design'];
+
 // 不随安装分发的官方 OpenSpec 命令（源仓库保留，仍由 CLI 接管升级）：
 // onboard 为新手引导教程，团队入门已由文档覆盖；sync 是 archive 流程承重件，保留分发。
 const OPENSPEC_COMMANDS_EXCLUDE = ['onboard.md'];
@@ -156,6 +161,9 @@ const superpowers = require('../superpowers');
 // OpenSpec 工作流管理（内置集成 + cbb update --upstream-openspec）
 const openspec = require('../openspec');
 
+// External 外部依赖管理（内置集成 + cbbm update --upstream-external）
+const external = require('../external');
+
 // ── 颜色与输出辅助 ──────────────────────────────────────
 
 const { COLOR, COLOR_ENABLED, c, log, section, step, padVisual, progress, LOG_STYLES } = require('../utils/output');
@@ -1156,6 +1164,22 @@ async function init(targetDir, options = {}) {
       log('可运行 cbb update --upstream-superpowers 下载最新 skills', 'warn');
     }
 
+    // 部署 external 外部依赖 Skills（第三方上游 pin vendor，白名单控制）
+    const externalSkillsSrc = external.EXTERNAL_DIR;
+    let exCount = 0;
+    if (fs.existsSync(externalSkillsSrc)) {
+      skillsAdapters.forEach(adapter => {
+        const exResult = deploySkills(adapter, isUpgrade, managedPaths, externalSkillsSrc, EXTERNAL_SKILLS);
+        if (exResult.count > 0) {
+          exCount = exResult.count;
+          exResult.names.forEach(name => newPaths.add(`${adapter.skillsDir}/${name}`));
+        }
+      });
+      if (exCount > 0) log(`External Skills → ${skillsDests.join(', ')} (${exCount}/${EXTERNAL_SKILLS.length} 个，白名单)`, 'success');
+    } else {
+      log('external/ 目录不存在，跳过 External Skills 部署', 'warn');
+    }
+
     // 检测用户级 superpowers 安装，避免与项目级重复导致 skill 冲突
     await detectUserLevelSuperpowers(selectedAdapters, yes);
   }
@@ -2164,13 +2188,14 @@ async function uninstall() {
 // ── 上游版本检查 ──────────────────────────────────────────────
 
 /**
- * 检查 openspec / superpowers 是否有上游新版本（只读，不改动任何文件）。
+ * 检查 openspec / superpowers / external 是否有上游新版本（只读，不改动任何文件）。
  * 供 cbbm check-upstream 调用。
  */
 async function checkUpstream() {
   const results = await Promise.allSettled([
     openspec.checkUpstream().then(r => ({ name: 'openspec', ...r })),
     superpowers.checkUpstream().then(r => ({ name: 'superpowers', ...r })),
+    external.checkUpstream().then(list => ({ name: 'external', list })),
   ]);
 
   let outdated = false;
@@ -2179,6 +2204,22 @@ async function checkUpstream() {
       log(`检查失败: ${r.reason.message}`, 'error');
       continue;
     }
+    // external 是多依赖聚合结果，逐依赖渲染
+    if (r.value.name === 'external') {
+      for (const item of r.value.list) {
+        if (item.error) {
+          log(`external/${item.name}: 检查失败: ${item.error}`, 'error');
+        } else if (!item.latest) {
+          log(`external/${item.name}: 无法获取上游版本`, 'warn');
+        } else if (item.outdated) {
+          log(`external/${item.name}: ${item.current.slice(0, 12)} → ${item.latest.slice(0, 12)}（上游有新提交）`, 'warn');
+          outdated = true;
+        } else {
+          log(`external/${item.name}: ${item.current.slice(0, 12)} 已是最新`, 'success');
+        }
+      }
+      continue;
+    }
     const { name, current, latest, outdated: isOutdated } = r.value;
     if (!latest) {
       log(`${name}: 无法获取上游版本`, 'warn');
@@ -2196,7 +2237,7 @@ async function checkUpstream() {
   }
 
   if (outdated) {
-    log('升级方式：修改对应 .version 的 pin 后，执行 cbbm update --upstream-openspec / --upstream-superpowers', 'info');
+    log('升级方式：修改对应 .version 的 pin 后，执行 cbbm update --upstream-openspec / --upstream-superpowers / --upstream-external', 'info');
   }
 }
 
@@ -2205,7 +2246,7 @@ async function checkUpstream() {
 // 入口身份：cbb（用户命令） / cbbm（内部命令，由流程、hook、Agent 技能调用）
 const ENTRY = process.env.CBB_ENTRY === 'cbbm' ? 'cbbm' : 'cbb';
 const INTERNAL_COMMANDS = ['check-update', 'check-upstream', 'wiki', 'wp'];
-const UPSTREAM_FLAGS = ['--upstream-superpowers', '--upstream-openspec'];
+const UPSTREAM_FLAGS = ['--upstream-superpowers', '--upstream-openspec', '--upstream-external'];
 
 const args = process.argv.slice(2);
 const command = args[0];
@@ -2213,11 +2254,11 @@ const restArgs = args.slice(1);
 const hasUpstreamFlag = restArgs.some(a => UPSTREAM_FLAGS.includes(a));
 
 if (ENTRY === 'cbb' && command === 'update' && hasUpstreamFlag) {
-  log('维护者拉源选项已迁移到 cbbm：cbbm update --upstream-superpowers / --upstream-openspec', 'error');
+  log('维护者拉源选项已迁移到 cbbm：cbbm update --upstream-superpowers / --upstream-openspec / --upstream-external', 'error');
   process.exit(1);
 }
 if (ENTRY === 'cbbm' && command === 'update' && !hasUpstreamFlag) {
-  log('cbbm update 仅用于维护者拉源（--upstream-superpowers / --upstream-openspec）', 'error');
+  log('cbbm update 仅用于维护者拉源（--upstream-superpowers / --upstream-openspec / --upstream-external）', 'error');
   log('升级已安装内容请使用 cbb update', 'warn');
   process.exit(1);
 }
@@ -2242,7 +2283,8 @@ switch (command) {
   case 'update': {
     const upstreamSuperpowers = restArgs.includes('--upstream-superpowers');
     const upstreamOpenspec = restArgs.includes('--upstream-openspec');
-    if (upstreamSuperpowers || upstreamOpenspec) {
+    const upstreamExternal = restArgs.includes('--upstream-external');
+    if (upstreamSuperpowers || upstreamOpenspec || upstreamExternal) {
       // 维护者选项：按 .version 的 pin 重新拉取上游原生内容到本包源仓库（发布流程用）
       if (upstreamSuperpowers) {
         superpowers.fetchLatestSkills().then(result => {
@@ -2275,6 +2317,26 @@ switch (command) {
           process.exit(1);
         });
       }
+      if (upstreamExternal) {
+        // 可选依赖名参数：cbbm update --upstream-external [name]（省略 = 全部）
+        const extNames = [];
+        for (let i = 0; i < restArgs.length; i++) {
+          if (restArgs[i] === '--upstream-external' && restArgs[i + 1] && !restArgs[i + 1].startsWith('-')) {
+            extNames.push(restArgs[i + 1]);
+          }
+        }
+        external.fetchDeps(extNames).then(results => {
+          const failed = results.filter(r => r.error);
+          if (failed.length > 0) {
+            failed.forEach(r => log(`external/${r.name}: 更新失败: ${r.error}`, 'error'));
+            process.exit(1);
+          }
+          log('external 外部依赖完整性校验通过', 'success');
+        }).catch(err => {
+          log(`更新失败: ${err.message}`, 'error');
+          process.exit(1);
+        });
+      }
     } else {
       updateInstalled().catch(err => {
         log(err.message, 'error');
@@ -2329,12 +2391,13 @@ function showHelp() {
 @jspg-ai/coding-bb v${pkg.version} — cbbm：内部命令（由流程 / hook / Agent 技能调用）
 
   cbbm check-update          版本检查（用户级 hook 每日自动触发）
-  cbbm check-upstream        检查 openspec / superpowers 是否有上游新版本
+  cbbm check-upstream        检查 openspec / superpowers / external 是否有上游新版本
   cbbm wiki / cbbm wp        Wiki 查询与发布（AI 通过技能调用）
 
 维护者选项（按 .version 的 pin 重新拉取上游原生内容到本包源仓库）：
   cbbm update --upstream-superpowers    按 pin tag 拉取 superpowers skills（走镜像）
   cbbm update --upstream-openspec       按 pin 版本从 npmmirror 渲染 OpenSpec 工作流
+  cbbm update --upstream-external [名]  按 pin sha 拉取 external 外部依赖（省略名 = 全部，走镜像）
 `);
     return;
   }

package/cbb/worktrees/skills/cbb-local-mode/SKILL.md

@@ -73,7 +73,7 @@ node "<skill_dir>/scripts/start-local.js" "<ws_root>" "<branch>" --apps "<app1>,
 
 ## Step 4：提交推送（转 cbb-worktree-push）
 
-对话中说"提交并推送"即触发 `cbb-worktree-push`——其仓库发现已支持**本地布局**（根 + 持有同名分支的 `.codespace/<app>/`），dry-run 预览 → 用户确认 commit 信息 → 批量 commit → push → MR 预填链接，全流程与 worktree 模式一致。
+对话中说"提交并推送"即触发 `cbb-worktree-push`——其仓库发现已支持**本地布局**（根 + 持有同名分支的 `.codespace/<app>/`），dry-run 预览（含 agent 生成的 commit 信息）→ 批量 commit → push → MR 预填链接，全流程与 worktree 模式一致。
 
 ## Step 5：收尾（MR 合并后）
 

package/cbb/worktrees/skills/cbb-worktree-init/SKILL.md

@@ -265,7 +265,7 @@ node "<skill_dir>/scripts/create-branches.js" "<ws_root>" "<branch>" [--apps "ap
 
 ### 3.4 分支就位（lazy push，不推远端）
 
-**本技能不执行任何远端推送（ADR 0002 lazy push）**：分支创建止步于本地。远端副作用收敛到 `cbb-worktree-push` 唯一出口（dry-run 预览 → 用户确认 commit 信息 → push → MR 链接）——推送类失败（认证/网络/保护分支）在 push 技能内暴露并处理，不在创建流程中阻塞。
+**本技能不执行任何远端推送（ADR 0002 lazy push）**：分支创建止步于本地。远端副作用收敛到 `cbb-worktree-push` 唯一出口（dry-run 预览 → agent 生成 commit 信息并提交 → push → MR 链接）——推送类失败（认证/网络/保护分支）在 push 技能内暴露并处理，不在创建流程中阻塞。
 
 > 旧版在本步骤推送空分支建立 upstream（`push-branches.js`），自 0.0.3-beta.22 起移除：避免每个需求在远端留下空分支尸体；`push-worktrees.js` 首次推送时自动建立 upstream，行为等价。
 

package/cbb/worktrees/skills/cbb-worktree-push/SKILL.md

@@ -21,7 +21,7 @@ description: "提交并推送当前需求的所有关联仓库（跨 worktree
 - **本技能支持两层执行位置**（与 `cbb-worktree-close` 对称）：
   - 工作空间根目录（`WS_ROOT/`）
   - worktree 内部（`WS_ROOT/.worktrees/worktree-<需求名>/` 或其子目录）
-- 输入约定：**自由文本**（commit 信息、需求名等）直接在对话中提问并等待回复；**固定选项多选**（如 "应用统一信息 vs 分别信息"）使用 `AskUserQuestion`
+- 输入约定：**自由文本**（需求名等）直接在对话中提问并等待回复；**固定选项多选**使用 `AskUserQuestion`。**例外：commit 信息由 agent 自行生成，不提问、不等待确认**
 
 ---
 
@@ -56,7 +56,7 @@ node "<skill_dir>/scripts/<name>.js" <参数>
 |------|------|------|
 | **A. cbb 工作空间根** | cwd（或其 git 顶层）含 `CBB-WORKSPACE.json`；`find-workspace-root.js` 退出码 0 | 走 **Step 1 → 6** 的跨 worktree 批量流程 |
 | **B. worktree 内** | cwd 命中 `<ws_root>/.worktrees/worktree-<需求名>/` | 用 cwd 反推 `<需求名>`，走 **Step 1 → 6** 批量流程 |
-| **C. 普通 git 仓库** | 在 git 仓库内，但无 `CBB-WORKSPACE.json`（`find-workspace-root.js` 退出码 1） | **降级为单仓库提交推送**：不调 worktree 脚本，按常规 `git add -u` → 向用户询问 commit 信息 → `git commit` → `git push`（保留本 skill 的"必问 commit 信息"约束） |
+| **C. 普通 git 仓库** | 在 git 仓库内，但无 `CBB-WORKSPACE.json`（`find-workspace-root.js` 退出码 1） | **降级为单仓库提交推送**：不调 worktree 脚本，按常规 `git add -u` → agent 生成 commit 信息 → `git commit` → `git push`（信息生成规则与 A/B 场景一致：精炼最简、5–50 字符） |
 | **D. 非 git 目录** | `git rev-parse --is-inside-work-tree` 失败 | 说明"当前目录不是 git 仓库"，终止，不做任何操作 |
 
 **判场景与定位（A/B 场景）：**
@@ -74,9 +74,9 @@ node "<skill_dir>/scripts/find-workspace-root.js"
 **场景 C 降级流程**（普通仓库误触）：
 
 1. `git status` 报告改动现状
-2. 直接对话询问 commit 信息（**禁止**自动生成）
+2. agent 基于改动内容生成 commit 信息（精炼最简，5–50 字符；规则见 Step 3）
 3. `git add -u`（默认不含未追踪文件；用户明确要求时才 `git add -A`）
-4. `git commit -m "<用户提供的信息>"`
+4. `git commit -m "<agent 生成的信息>"`
 5. `git push`（无 upstream 时先询问用户是否 `-u`）
 6. 汇报结果；**不要**提及 worktree 批量流程
 
@@ -111,36 +111,27 @@ node "<skill_dir>/scripts/commit-worktrees.js" "<ws_root>" "<branch>" --message
 - `skipped (skip-repo)`：用户指定跳过
 - `failed`：错误
 
-> ⓘ **dry-run 必跑**：让用户确认将要 commit 的内容，避免误纳 `.idea/` 等被 git 忽略的文件（虽然 `git add -u` 已天然排除，但 dry-run 仍是最后的兜底确认）。
+> ⓘ **dry-run 必跑**：把将要 commit 的文件清单与 agent 生成的 commit 信息一并展示给用户（透明可见，**不停顿等待回复**），避免误纳 `.idea/` 等被 git 忽略的文件（虽然 `git add -u` 已天然排除，但 dry-run 仍是最后兜底）。
 
 ---
 
-## Step 3：收集 commit 信息（对话中提问）
+## Step 3：生成 commit 信息（agent 自主）
 
-AI agent 在执行真实 commit 前**必须**在对话中向用户确认 commit 信息。**禁止**自动生成。
+AI agent 在执行 commit 前**自行生成** commit 信息，**不向用户提问、不等待确认**。
 
-**问询模板**（直接对话提问，不用 `AskUserQuestion`）：
+**生成规则（硬约束）**：
 
-```
-检测到以下 worktree 仓库有未提交改动：
-  - workspace: 5 个文件（CBB-WORKSPACE.json, openspec/changes/foo/...）
-  - ep-foo-app: 12 个文件
-  - ep-bar-app: 3 个文件
-
-请提供 commit 信息：
-  [1] 所有仓库用同一条信息（推荐简单场景）
-  [2] 每仓库分别提供（推荐多仓库改不同东西）
-
-回复示例（统一）：
-  feat(<branch>): 实现客户运费逻辑
-
-回复示例（分别）：
-  workspace: chore(<branch>): 同步 openspec 标准
-  ep-foo-app: feat(<branch>): 实现 saveClientExpectFreight
-  ep-bar-app: refactor(<branch>): 拆分 PlanService
-```
+| 规则 | 要求 |
+|------|------|
+| 长度 | **5–50 字符**（按字符计：1 个中文字 = 1，1 个英文字母 / 空格 / 标点 = 1）；超出范围不得提交 |
+| 风格 | 精炼、最简——一句话说清"改了什么"，不写缘由、不换行、不堆砌 |
+| 依据 | 以 Step 2 dry-run 的实际改动 + `openspec/changes/<branch>/tasks.md` 已完成 task 为准；禁止凭空编造 |
+| 格式 | 沿用 Conventional Commits 前缀（`feat` / `fix` / `refactor` / `chore` / `docs` 等）+ 需求名，如 `feat(<branch>): 实现客户运费逻辑` |
+| 多仓库 | 各仓库改动语义不同时**逐仓库分别生成**（经 `--per-repo`），禁止硬塞同一条 |
+
+**展示时机**：生成的每条信息在 Step 2 dry-run 预览中随待提交文件一并输出（透明可见），但**不停顿等待回复**，直接进入 Step 4。
 
-**自动建议**（仅作辅助）：agent 可以从 `openspec/changes/<branch>/tasks.md` 已完成的 task 描述生成建议，但**必须**由用户确认或修改后才能传给脚本。
+> ⓘ 用户若在对话中显式给出 commit 信息，直接采用（不覆盖用户意图）；未给出时按上述规则自行生成。
 
 ---
 
@@ -163,7 +154,7 @@ node "<skill_dir>/scripts/commit-worktrees.js" "<ws_root>/.worktrees/worktree-<b
 **选项**：
 | 选项 | 说明 |
 |------|------|
-| `--message / -m` | 必填（除非 --per-repo 完全覆盖）。commit 信息 |
+| `--message / -m` | 必填（除非 --per-repo 完全覆盖）。commit 信息（agent 生成，5–50 字符） |
 | `--per-repo "<name>:msg;<name>:msg"` | 覆盖特定仓库的 commit 信息 |
 | `--untracked` | 同时 stage 未追踪文件（默认 `git add -u`，加此项时 `git add -A`） |
 | `--allow-empty` | 允许空提交 |
@@ -283,11 +274,11 @@ node "<skill_dir>/scripts/make-mr-urls.js" "<ws_root>" "<branch>" "<target>" --o
 |------|----------|
 | **任何触发** | **先做 Step 0 场景识别**，再决定策略 |
 | 场景 A：cwd 在 cbb 工作空间根 | find-workspace-root 成功 → 多个 worktree 时让用户选 |
-| 场景 B：cwd 在 worktree 内 | 自动用 cwd 反推分支，扫描后进入询问 commit 信息 |
+| 场景 B：cwd 在 worktree 内 | 自动用 cwd 反推分支，扫描后 agent 生成 commit 信息 |
 | 场景 C：cwd 在普通 git 仓库（无 CBB-WORKSPACE.json） | **降级为单仓库提交推送**，不调用 worktree 脚本 |
 | 场景 D：cwd 非 git 目录 | 说明情况并终止，不做任何操作 |
-| commit 信息缺失 | 必须询问用户；禁止自动生成（可基于 apply task 上下文给建议） |
-| 多仓库需不同 commit 信息 | 用 `--per-repo "ep-foo:m1;ep-bar:m2"`，必须由用户逐条提供 |
+| commit 信息 | agent 自行生成（5–50 字符，精炼最简），不询问用户；dry-run 预览时一并展示 |
+| 多仓库改动语义不同 | agent 逐仓库分别生成，用 `--per-repo "ep-foo:msg;ep-bar:msg"` |
 | 仓库干净 | commit-worktrees 自动 skipped，只 push 不 commit |
 | 仓库已有 ahead commit | commit-worktrees 自动 skipped（不重复 commit），只 push |
 | 未追踪文件 | 默认不纳入（避免误纳 .idea）；用户明确要求时加 `--untracked` |
@@ -308,10 +299,10 @@ node "<skill_dir>/scripts/make-mr-urls.js" "<ws_root>" "<branch>" "<target>" --o
 - **问题：** 用户在普通仓库说"提交代码"，技能被 description 匹配触发，直接跑 `find-workspace-root.js` 失败并报错终止
 - **修复：** Step 0 先判场景；场景 C（普通 git 仓库）降级为单仓库提交推送，不调用 worktree 脚本、不提及批量流程
 
-### 自动生成 commit 信息不让用户确认
+### commit 信息超长或空洞
 
-- **问题：** agent 拍脑袋写 "feat: xxx"，与用户实际意图不符
-- **修复：** Step 3 必须**直接对话提问**让用户输入或确认
+- **问题：** agent 生成的 commit 信息过长（罗列全部改动、写缘由）或过于笼统（"更新代码"），与"5–50 字符、精炼最简"不符
+- **修复：** Step 3 按规则生成——以实际 diff / 已完成 task 为依据，一句话说清改了什么，长度落在 5–50 字符
 
 ### 误纳未追踪文件
 
@@ -328,10 +319,10 @@ node "<skill_dir>/scripts/make-mr-urls.js" "<ws_root>" "<branch>" "<target>" --o
 - **问题：** apply 实现完 → 用户关掉 IDE → 调 close-worktree → ahead 提交永久丢失
 - **修复：** 强烈建议 apply 完成后立即调本 skill 推送；或 close-worktree Step 3.4 兜底
 
-### 多仓库用同一条 commit 信息
+### 多仓库硬塞同一条 commit 信息
 
 - **问题：** workspace 改了 CBB-WORKSPACE.json，ep-foo-app 改了 Java 代码，硬塞同一条 "feat: 实现 XX" 信息不准确
-- **修复：** 用 `--per-repo` 模式，让用户逐仓库提供
+- **修复：** agent 逐仓库生成各自的 commit 信息，用 `--per-repo` 传入
 
 ### push 失败时跳过失败仓库直接继续
 
@@ -349,7 +340,7 @@ node "<skill_dir>/scripts/make-mr-urls.js" "<ws_root>" "<branch>" "<target>" --o
 
 **绝不允许**
 
-- 自动生成 commit 信息不让用户确认
+- commit 信息超出 5–50 字符范围 / 空洞无意义 / 与改动不符
 - 默认 `git add -A` 误纳未追踪文件
 - push 失败后跳过失败仓库直接继续
 - 远程分支已存在时脚本自动 set-upstream-to
@@ -363,9 +354,10 @@ node "<skill_dir>/scripts/make-mr-urls.js" "<ws_root>" "<branch>" "<target>" --o
 - 严格按 Step 0 → 1 → 2 → 3 → 4 → 5 → 6 顺序执行（场景 C/D 除外，按 Step 0 降级策略）
 - 所有脚本调用以 `node "<skill_dir>/scripts/<name>.js"` 形式发起（`<skill_dir>` = 本 SKILL.md 所在目录）
 - 执行脚本时 cwd 保持在工作空间根；场景 C 降级时按普通 git 流程
-- Step 2 dry-run 必跑，让用户看到将要 commit 的内容
-- Step 3 必问用户 commit 信息（自由文本），禁止自动生成
-- commit 信息涉及业务语义时（feature/refactor/fix 等）必须从 apply task 上下文生成建议并由用户确认
+- Step 2 dry-run 必跑，把待提交文件清单与 agent 生成的 commit 信息一并展示给用户
+- Step 3 由 agent 自行生成 commit 信息（5–50 字符、精炼最简），不向用户提问、不等待确认；生成结果在 dry-run 预览中展示
+- commit 信息必须依据实际 diff / 已完成 task 生成，沿用 Conventional Commits 前缀（feature/refactor/fix 等语义）
+- 多个仓库改动语义不同时必须逐仓库分别生成（`--per-repo`），禁止硬塞同一条
 - commit-worktrees / push-worktrees 退出码 2 时必须阻塞流程
 - 远程分支已存在时 AI 必须先输出 commit 元信息再询问
 - push 成功后必须走 Step 7 MR 提案（AskUserQuestion 固定选项；用户选"暂不提"则正常结束）

package/config/upstream-mirrors.json

@@ -8,5 +8,10 @@
   "openspec": [
     "https://registry.npmmirror.com",
     "https://registry.npmjs.org"
+  ],
+  "external": [
+    "https://gh-proxy.com/",
+    "https://ghfast.top/",
+    ""
   ]
 }

package/external/frontend-design/.version

@@ -0,0 +1,6 @@
+{
+  "repo": "anthropics/skills",
+  "ref": "41bbe19d1a1a7eaab5e7bb9050a417e5c6cffc8f",
+  "path": "skills/frontend-design",
+  "updatedAt": "2026-09-28T07:10:02.694Z"
+}