@loom-framework/core 0.1.0-alpha.19 → 0.1.0-alpha.191

package/builtin-skills/app-skill/references/auth.md

@@ -0,0 +1,180 @@
+# 认证命令参考
+
+## 认证命令
+
+### 登录
+```bash
+loom auth login -u <username> -p <password>
+loom auth login  # 交互式提示
+```
+
+### 注册（需要 admin 令牌）
+```bash
+loom auth register -u <username> -p <password> [--role <role>] --token <admin-jwt>
+```
+
+### 登出
+```bash
+loom auth logout --refresh-token <token> --token <jwt>
+```
+
+### 查看当前用户
+```bash
+loom auth whoami --token <jwt>
+```
+
+## 用户管理（仅管理员）
+
+### 添加用户
+```bash
+loom user add <username> -p <password> -r <role> --token <admin-jwt>
+```
+
+### 列出用户
+```bash
+loom user list --token <jwt>
+```
+
+### 更新用户
+```bash
+loom user update <id> -r <role> --token <jwt>
+loom user update <id> -p <newpassword> --token <jwt>
+```
+
+### 删除用户
+```bash
+loom user delete <id> --token <admin-jwt>
+```
+
+### 修改角色
+```bash
+loom user role <id> <role> --token <admin-jwt>
+```
+
+## 角色管理
+
+### 列出角色
+```bash
+loom role list [--token <jwt>]
+```
+注意：`role list` 不需要认证（该端点是公开的）。
+
+### 创建角色（需要管理员权限）
+```bash
+loom role create <name> -p '[{"model":"*","level":"read"}]' --token <admin-jwt>
+```
+
+### 更新角色（需要管理员权限）
+```bash
+loom role update <name> -n <new-name> --token <admin-jwt>
+loom role update <name> -p '[{"model":"items","level":"write"}]' --token <admin-jwt>
+```
+
+### 删除角色（需要管理员权限）
+```bash
+loom role delete <name> --token <admin-jwt>
+```
+无法删除仍有关联用户的角色。
+
+### 权限等级
+```bash
+loom role permissions
+```
+
+## 带认证的数据命令
+
+启用认证后，数据命令通过 HTTP API 路由，需要令牌：
+
+```bash
+loom data read <model> --token <jwt>
+loom data write <model> --data '<json>' --token <jwt>
+loom data update <model> --id <id> --data '<json>' --token <jwt>
+loom data delete <model> --id <id> --token <jwt>
+loom data schema <model> --token <jwt>
+```
+
+## 自动令牌注入
+
+在 Web 聊天和 Process 执行场景中，`LOOM_TOKEN` 会自动注入到环境变量中，无需 `--token`：
+
+| 场景 | 令牌来源 | 需要 --token？ |
+|------|---------|---------------|
+| Web 聊天（ChatDrawer → Claude Code） | 框架在启动 `claude -p` 时将用户 JWT 注入为 `LOOM_TOKEN` 环境变量 | 否 |
+| Process 自动化（cron/事件） | 框架将所有者的 JWT 注入为 `LOOM_TOKEN` 环境变量 | 否（在 prompt 中使用 `$LOOM_TOKEN` shell 变量引用） |
+| 本地终端 `loom` 命令 | 无自动注入 | 是 |
+
+优先级：`--token` 参数 > `LOOM_TOKEN` 环境变量。`--token` 参数作为后备/覆盖使用——始终包含是安全的，但在 Web/Process 场景中是冗余的。
+
+## 权限模型
+
+### 等级（层级关系）
+| Level | 访问权限 |
+|-------|---------|
+| `none` | 无访问权限 |
+| `read` | GET（只读） |
+| `write` | GET、POST、PUT |
+| `admin` | GET、POST、PUT、DELETE |
+
+### 在 loom.config.ts 中配置
+```typescript
+auth: {
+  provider: 'builtin',
+  secret: 'env:JWT_SECRET',  // 或明文字符串（不推荐）
+  roles: [
+    { role: 'admin', permissions: [{ model: '*', level: 'admin' }] },
+    { role: 'editor', permissions: [{ model: 'items', level: 'write' }] },
+    { role: 'viewer', permissions: [{ model: '*', level: 'read' }] },
+  ],
+  permissions: {
+    defaults: {
+      read: 'read',
+      write: 'write',
+      writeExcludesDelete: false,     // write 角色是否可以删除？
+    },
+  },
+}
+```
+
+### 通配符权限
+使用 `model: '*'` 将权限等级应用到所有模型。
+显式模型权限覆盖通配符。
+
+### 默认管理员用户
+首次启用认证时，会创建默认管理员用户：
+- 用户名：`admin`
+- 密码：`admin123`
+- **首次登录后请立即修改密码！**
+
+### 服务令牌
+每个用户在注册时会获得一个服务令牌（长效 JWT，30 天有效期）。
+创建用户时在 API 响应中返回——管理员应安全保存。
+Process 自动化使用它来以该用户身份执行操作。
+
+## API 端点
+
+| Method | Path | Auth | Description |
+|--------|------|------|-------------|
+| POST | /api/v1/auth/login | No | 登录 |
+| POST | /api/v1/auth/register | Admin | 注册新用户 |
+| POST | /api/v1/auth/logout | Yes | 登出 |
+| POST | /api/v1/auth/refresh | No* | 刷新令牌 |
+| GET | /api/v1/auth/whoami | Yes | 当前用户信息 |
+| GET | /api/v1/auth/roles | No | 列出角色 |
+| POST | /api/v1/auth/roles | Admin | 创建角色 |
+| PUT | /api/v1/auth/roles/:role | Admin | 更新角色 |
+| DELETE | /api/v1/auth/roles/:role | Admin | 删除角色 |
+| GET | /api/v1/auth/users | Admin | 列出用户 |
+| POST | /api/v1/auth/users | Admin | 创建用户 |
+| GET | /api/v1/auth/users/:id | Self/Admin | 获取用户信息 |
+| PUT | /api/v1/auth/users/:id | Self/Admin | 更新用户 |
+| DELETE | /api/v1/auth/users/:id | Admin | 删除用户 |
+
+*刷新令牌需要存储中有效的 refresh token
+
+## 审计字段
+
+启用认证后，写操作会自动注入：
+- `createdBy` — 创建该记录的用户名（POST）
+- `updatedBy` — 最后更新该记录的用户名（PUT）
+
+这些字段是可选的，不会影响现有数据。

package/builtin-skills/app-skill/references/data-semantics.md

@@ -0,0 +1,44 @@
+# 数据语义引导
+
+> 本文件由 `loom generate capabilities` 自动生成。请勿手动编辑 — 重新生成时将被覆盖。
+
+生成 `loom data` CLI 命令时，阅读 `loom.config.ts` 获取数据模型定义，并遵循以下规则生成贴合业务的输出。
+
+注：本文中的"数据模型"指 loom.config.ts 中定义的数据结构（如 wrong_questions、review_plans），而非大语言模型。
+
+## 示例数据生成
+
+构造 write 命令的 `--data` JSON 时：
+
+- 根据字段名、类型、描述和枚举值生成**贴合业务的真实值**。
+  例如名为 `questionContent`、描述为"题目内容"的字段，应填真实题目如 `"3+5=?"`，而非 `"value"`。
+- 遵守 **FieldType**：`number` → 不加引号的数字（`1`），`boolean` → 不加引号的布尔值（`false`），
+  `date` → ISO 日期字符串（`"2026-01-15"`），`string[]` → JSON 数组（`["标签1"]`），`json` → JSON 对象（`{}`）。
+- 有 **enum** 时必须使用枚举值 — 这是该字段唯一切合法的取值。
+- write 命令只需包含**必填字段**，可选字段可省略。
+- update 命令只需传入**要变更的字段**。
+
+## 筛选条件选择
+
+构造 read 命令的 `--filter` JSON 时：
+
+- **优先使用 enum 和 boolean 字段**做筛选 — 它们能产生最有意义的分区
+  （如 `{"subject": "数学"}`、`{"mastered": false}`）。
+- 选择**业务含义最丰富的筛选条件**，而非按字母序取第一个字段。
+- 可组合多个筛选：`{"subject": "数学", "mastered": false}`。
+- 数据量大时使用 `--limit` 避免输出过多。
+
+## 跨数据模型关联
+
+当字段名以 `Id` 结尾（如 `wrongQuestionId`）时，通常引用的是另一个数据模型的记录。
+
+- 查询关联记录：`loom data read <目标数据模型> --id <值>`。
+- 查询指向某条记录的所有关联：`loom data read <数据模型> --filter '{"<外键字段>": "<id>"}'`。
+- 常见命名模式：`parentId` → 自引用，`<数据模型名>Id` → 引用该数据模型。
+
+<!-- MODEL_NAMES -->
+
+## AI 按钮校验
+
+执行 AI 按钮操作前，验证 prompt 中所有 `{{var}}` 占位符是否对应目标数据模型上的实际字段。
+如果变量引用了不存在的字段，告知用户并建议添加该字段或更新 prompt。

package/builtin-skills/app-skill/references/events.md

@@ -0,0 +1,365 @@
+# 事件系统参考
+
+> **配置 Schema 参考**：事件订阅的声明式配置 (`events.subscriptions`) 见 Loom Skill (`references/data-model.md` → EventsConfig)。
+
+Loom 事件系统在数据变更和系统操作时自动触发事件，可用于通知、审计和自动化。
+
+## 事件模式格式
+
+事件使用 `category:action:target` 三段式模式：
+
+| 段 | 说明 | 示例 |
+|----|------|------|
+| category | 事件类别 | `data`, `user`, `skill`, `ai`, `session`, `file` |
+| action | 操作类型 | `create`, `update`, `delete`, `login`, `logout` |
+| target | 操作对象 | 模型名、`models`、技能名等 |
+
+## 通配符订阅
+
+| 通配符 | 匹配规则 | 示例 |
+|--------|----------|------|
+| `*` | 单段匹配 | `data:*:tasks` 匹配 `data:create:tasks`、`data:update:tasks` |
+| `**` | 任意深度匹配 | `data:**` 匹配所有 data 类事件 |
+
+## 数据事件（EventEmittingAdapter 自动触发）
+
+这些事件由 DataAdapter 操作自动触发，无需手动代码：
+
+| 事件模式 | 触发时机 | Payload 字段 |
+|----------|----------|-------------|
+| `data:create:<model>` | 创建记录 | model, id, data |
+| `data:update:<model>` | 更新记录 | model, id, data, previousData, changedFields |
+| `data:delete:<model>` | 删除记录 | model, id, previousData |
+| `data:import:<model>` | CSV 导入完成 | model, imported, errors |
+| `data:batch_delete:<model>` | 批量删除完成 | model, count, errors |
+
+## 认证事件
+
+| 事件模式 | 触发时机 | Payload 字段 |
+|----------|----------|-------------|
+| `user:login` | 用户登录 | userId, username, role |
+| `user:logout` | 用户登出 | userId |
+| `user:created` | 创建用户 | userId, username, role |
+| `user:updated` | 更新用户 | userId, username, role |
+| `user:deleted` | 删除用户 | userId |
+
+## 技能管理事件
+
+| 事件模式 | 触发时机 | Payload 字段 |
+|----------|----------|-------------|
+| `skill:created` | 创建技能 | skillName |
+| `skill:deleted` | 删除技能 | skillName |
+| `skill:file_updated` | 更新技能文件 | skillName, filename, path |
+
+## AI 配置事件
+
+| 事件模式 | 触发时机 | Payload 字段 |
+|----------|----------|-------------|
+| `ai:models_updated` | 模型列表更新 | count |
+
+## 会话事件
+
+| 事件模式 | 触发时机 | Payload 字段 |
+|----------|----------|-------------|
+| `session:created` | 创建会话 | sessionId |
+| `session:deleted` | 删除会话 | sessionId |
+| `session:truncated` | 截断会话消息 | sessionId, fromIndex |
+
+## 文件上传事件
+
+| 事件模式 | 触发时机 | Payload 字段 |
+|----------|----------|-------------|
+| `file:uploaded` | 文件上传成功 | filename, sessionId, path, size |
+
+## 订阅可用处理器
+
+| handler | 说明 | config 字段 |
+|---------|------|------------|
+| `process` | 触发 Process 执行 | `process`（必填）, `filter`, `debounceMs` |
+| `webhook` | 发送 HTTP 请求 | `url`（必填）, `method`, `headers` |
+| `log` | 写入服务器日志 | `level`: info/debug/warn |
+| `notify` | 创建站内通知 | `title`, `description` |
+
+## 配置声明式订阅
+
+在 `loom.config.ts` 中声明事件订阅（服务启动时自动注册）：
+
+```typescript
+export default defineConfig({
+  // ...
+  events: {
+    subscriptions: [
+      { pattern: 'data:create:orders', handler: 'process', config: { process: 'order-processor' } },
+      { pattern: 'data:create:orders', handler: 'webhook', config: { url: 'https://example.com/webhook' } },
+      { pattern: 'user:login', handler: 'log', config: { level: 'info' } },
+      { pattern: 'alert:critical', handler: 'notify', config: { title: 'Critical Alert' } },
+    ],
+  },
+});
+```
+
+## CLI 管理
+
+### `loom event list`
+
+列出所有事件订阅（显示稳定 ID）。
+
+```bash
+loom event list
+```
+
+输出示例：
+```
+Event Subscriptions:
+  sub_1747301234_ab data:create:tasks → process (on-task-create) ●
+  sub_1747301235_cd user:login → log (info)
+  sub_1747301236_ef alert:critical → webhook → https://example.com/hook
+```
+
+`●` 表示订阅活跃（process 类型需目标进程已注册事件监听；webhook/log/notify 类型在 EventBus 运行时始终活跃），`○` 表示未激活。
+
+### `loom event patterns`
+
+列出所有已注册的事件模式（按类别分组显示，标注来源）。
+
+```bash
+loom event patterns
+loom event patterns --category data
+```
+
+**Options:**
+| Flag | Required | Description |
+|------|----------|-------------|
+| `--category <cat>` | No | 按类别过滤（如 data、user、skill、ai、session、file、lifecycle、process） |
+| `--token` | No | Auth token（或设置 LOOM_TOKEN） |
+| `--server` | No | Server URL（或设置 LOOM_SERVER） |
+
+输出示例：
+```
+DATA (5):
+  data:create:tasks — 创建任务记录 [builtin]
+  data:update:tasks — 更新任务记录 [builtin]
+  ...
+
+Total: 12 pattern(s)
+```
+
+模式来源：`[builtin]` 由 DataAdapter 等内置模块自动注册，`[config]` 由 loom.config.ts 声明式配置注册。
+
+### `loom event subscribe <pattern>`
+
+添加事件订阅，返回稳定 ID。
+
+```bash
+# 触发 Process 执行
+loom event subscribe "data:create:tasks" \
+  --handler process \
+  --process "on-task-create"
+
+# 带过滤和防抖
+loom event subscribe "data:update:*" \
+  --handler process \
+  --process "on-data-update" \
+  --filter '{"model":"tasks"}' \
+  --debounce 2000
+
+# Webhook
+loom event subscribe "alert:critical" \
+  --handler webhook \
+  --url "https://example.com/hook"
+
+# 日志
+loom event subscribe "data:*" \
+  --handler log \
+  --level debug
+
+# 通知
+loom event subscribe "incident:created" \
+  --handler notify \
+  --title "New Incident"
+```
+
+**Options:**
+| Flag | Required | Description |
+|------|----------|-------------|
+| `--handler` | Yes | Handler type: `process` \| `webhook` \| `log` \| `notify` |
+| `--process` | process | 目标 Process 名称（handler=process 时必填） |
+| `--url` | webhook | Webhook URL（handler=webhook 时必填） |
+| `--method` | No | HTTP 方法，默认 POST（handler=webhook） |
+| `--headers` | No | Webhook 请求头 JSON |
+| `--level` | No | 日志级别 info/debug/warn（handler=log） |
+| `--title` | No | 通知标题模板（handler=notify） |
+| `--description` | No | 通知描述模板（handler=notify） |
+| `--filter` | No | 事件载荷过滤 JSON（handler=process） |
+| `--debounce` | No | 防抖窗口 ms，默认 0（即无防抖，handler=process） |
+| `--token` | No | Auth token（或设置 LOOM_TOKEN） |
+| `--server` | No | Server URL（或设置 LOOM_SERVER） |
+
+### `loom event update <id>`
+
+按 ID 部分更新事件订阅（只需指定要修改的字段）。
+
+```bash
+# 修改防抖值
+loom event update sub_1747301234_ab --debounce 2000
+
+# 修改 pattern
+loom event update sub_1747301234_ab --pattern "data:update:tasks"
+
+# 修改 process 配置
+loom event update sub_1747301234_ab --process "new-processor" --filter '{"status":"critical"}'
+
+# 修改 webhook URL
+loom event update sub_1747301235_cd --url "https://new-hook.example.com"
+```
+
+**Options:**
+| Flag | Required | Description |
+|------|----------|-------------|
+| `--pattern` | No | 新的事件模式 |
+| `--handler` | No | 新的处理器类型 |
+| `--process` | No | Process 名称（handler=process） |
+| `--filter` | No | 事件载荷过滤 JSON（handler=process） |
+| `--debounce` | No | 防抖窗口 ms（handler=process） |
+| `--url` | No | Webhook URL（handler=webhook） |
+| `--method` | No | HTTP 方法（handler=webhook） |
+| `--headers` | No | Webhook 请求头 JSON（handler=webhook） |
+| `--level` | No | 日志级别（handler=log） |
+| `--title` | No | 通知标题（handler=notify） |
+| `--description` | No | 通知描述（handler=notify） |
+| `--token` | No | Auth token |
+| `--server` | No | Server URL |
+
+### `loom event unsubscribe <id>`
+
+按 ID 删除事件订阅。
+
+```bash
+loom event unsubscribe sub_1747301234_ab
+```
+
+### `loom event test <pattern>`
+
+发送测试事件（调试用）。
+
+```bash
+loom event test "data:create:tasks"
+loom event test "data:update:items" --payload '{"id":"test_123"}'
+```
+
+## 事件 API
+
+| 端点 | 方法 | 说明 |
+|------|------|------|
+| `/api/v1/events/emit` | POST | 外部事件注入（CLI 使用） |
+| `/api/v1/events/patterns` | GET | 查看已注册的事件模式 |
+| `/api/v1/events/subscriptions` | GET | 列出所有事件订阅 |
+| `/api/v1/events/subscriptions` | POST | 添加事件订阅 |
+| `/api/v1/events/subscriptions/:id` | PUT | 部分更新事件订阅 |
+| `/api/v1/events/subscriptions/:id` | DELETE | 删除事件订阅 |
+| `/api/v1/events/test` | POST | 发送测试事件 |
+
+### POST /api/v1/events/emit
+
+```json
+{
+  "pattern": "data:create:tasks",
+  "payload": { "model": "tasks", "id": "rec_123" },
+  "source": "cli"
+}
+```
+
+### POST /api/v1/events/subscriptions
+
+返回值包含自动生成的稳定 `id`：
+
+```json
+{
+  "pattern": "data:create:orders",
+  "handler": "process",
+  "config": { "process": "order-processor", "debounceMs": 1000 }
+}
+```
+
+响应：
+```json
+{ "ok": true, "id": "sub_1747301234_ab", "subscription": { "id": "sub_1747301234_ab", "pattern": "...", "handler": "...", "config": {...} } }
+```
+
+### PUT /api/v1/events/subscriptions/:id
+
+部分更新（只发送要修改的字段）：
+
+```json
+{ "config": { "debounceMs": 2000 } }
+```
+
+## Process 事件绑定
+
+Process 通过事件订阅响应事件。三种绑定方式：
+
+1. **创建 Process 时绑定**（原子操作）：`loom process add --subscribe "pattern"` — 同时创建 process 和 subscription，保证 process 存在时订阅立即生效
+2. **给已有 Process 添加订阅**：`loom process update <name> --subscribe-add "pattern"` 或 `loom event subscribe "pattern" --handler process --process <name>`
+3. **移除订阅**：`loom process update <name> --subscribe-remove <id>` 或 `loom event unsubscribe <id>`
+
+注意：避免对同一 pattern + process 重复声明（声明式配置 + CLI/API），否则会双重触发。
+
+### `loom process add --subscribe`
+
+创建 Process 时同时绑定事件订阅（原子操作）：
+
+```bash
+loom process add --name "on-task-create" \
+  --prompt "自动处理新任务" \
+  --subscribe "data:create:tasks" \
+  --event-filter '{"priority":"high"}' \
+  --event-debounce 2000 \
+  --owner admin
+```
+
+**Options:**
+| Flag | Description |
+|------|-------------|
+| `--subscribe <pattern>` | 事件模式（如 `data:create:tasks`）|
+| `--event-filter <json>` | 事件载荷过滤（可选）|
+| `--event-debounce <ms>` | 防抖窗口，默认 1000ms（可选）|
+| `--source <command>` | Feeder 命令，必须同时指定 `--subscribe`（可选）|
+
+### `loom process update --subscribe-add / --subscribe-remove`
+
+给已有 Process 动态添加或移除事件订阅：
+
+```bash
+# 添加订阅
+loom process update my-process \
+  --subscribe-add "data:update:orders" \
+  --subscribe-filter '{"status":"urgent"}' \
+  --subscribe-debounce 1500
+
+# 移除订阅
+loom process update my-process --subscribe-remove sub_1747301234_ab
+```
+
+## 声明式配置
+
+事件订阅也可以在 `loom.config.ts` 的 `events.subscriptions` 中声明式定义（完整 Schema 见 Loom Skill `references/data-model.md` → EventsConfig）。服务启动时自动注册，修改后需重启生效。适合固定不变的订阅（如 webhook 推送、日志记录）。
+
+CLI/API 与声明式配置不要对同一 pattern + handler 重复声明，否则会双重触发。
+
+## 事件管理页面
+
+系统管理 → 事件管理 页面提供可视化操作：
+
+- **查看所有订阅**：表格展示 pattern、handler、config 详情、活跃状态
+- **添加/编辑/删除订阅**：按 handler 类型动态渲染配置表单
+- **测试事件**：输入 pattern + payload 发送测试事件调试
+
+通过 `loom generate system-settings event` 接入 App.tsx，或 `loom eject system-settings event` 定制。
+
+## 校验行为
+
+| 操作 | 校验规则 |
+|------|---------|
+| `handler: 'process'` | 目标 process 必须存在，否则返回 `Process "xxx" not found` |
+| `handler: 'webhook'` | `config.url` 必填，否则返回 `webhook handler requires config.url` |
+| `handler: 'process'` + 无 `--process` | 返回 `--process is required when handler=process` |

package/builtin-skills/app-skill/references/evolution.md

@@ -0,0 +1,90 @@
+# Process 演化指南
+
+## 概述
+
+Process 演化是基于执行结果持续改进自动化流程的实践。Loom 提供工具（日志、指标）供 AI 随时间分析和优化流程。
+
+## 演化工作流程
+
+1. **监控**：查看执行日志和指标
+2. **分析**：识别模式、失败原因和优化机会
+3. **决策**：确定需要变更的内容（prompt、trigger、references）
+4. **执行**：更新流程定义或 PROCESS.md
+5. **验证**：监控后续运行以确认改进效果
+
+## 读取指标
+
+```bash
+# 查看最近日志
+loom process logs <name> --limit 20
+
+# 查看 process 状态
+loom process status <name>
+```
+
+### 关键指标
+
+| 指标 | 良好 | 需要改进 |
+|------|------|----------|
+| 成功率 | > 95% | < 80% |
+| 平均耗时 | 稳定或下降 | 上升趋势 |
+| 超时率 | 0% | > 5% |
+| 错误模式 | 错误各不相同 | 同一错误反复出现 |
+
+## 演化策略
+
+### Prompt 优化
+
+如果流程频繁失败或产生低质量结果：
+
+1. 读取当前 prompt：`loom process export <name>`
+2. 分析日志中的失败模式
+3. 让 prompt 更具体：
+   - 添加约束（"输出必须为 JSON"）
+   - 添加示例（"好的输出示例：..."）
+   - 添加错误处理指令
+4. 更新：`loom process export <name>` → 编辑 → API 更新
+
+### Trigger 调整
+
+如果流程运行过于频繁或过少：
+
+- 调整 cron 频率
+- 通过 `loom event subscribe/unsubscribe` 管理事件订阅
+- 通过 `loom event subscribe --debounce --filter` 添加防抖或过滤
+
+```bash
+# 对突发事件添加防抖订阅
+loom event subscribe "data:update:*" --handler process --process <name> --debounce 5000
+
+# 添加过滤条件，仅在特定条件下触发
+loom event subscribe "data:update:tasks" --handler process --process <name> --filter '{"status":"urgent"}'
+```
+
+### Reference 更新
+
+对于完整流程，更新引用文件：
+- 过时的 API 文档 → 替换为最新版本
+- 缺少上下文 → 添加新的 reference 文件
+- 不必要的引用 → 移除以减少 prompt 大小
+
+## 安全约束
+
+演化仅限于以下安全操作：
+- **通知**：通过事件发送告警
+- **数据写入**：通过 `loom data` CLI 创建/更新记录
+- **Process 更新**：通过 CLI 修改流程定义
+
+演化严禁：
+- 未经用户明确批准删除数据
+- 未经用户同意修改其他流程
+- 更改认证或授权设置
+- 在沙箱外执行 shell 命令
+
+## 监控清单
+
+应用演化变更后：
+1. 手动运行：`loom process run <name>`
+2. 检查结果：`loom process logs <name> --limit 1`
+3. 验证后续 5-10 次定时运行的指标是否改善
+4. 情况恶化时回滚：恢复之前的定义