@shirayner/ace 0.1.8 → 0.1.10-SNAPSHOT

package/README.md

@@ -27,7 +27,7 @@ ACE 是一个**AI 开发环境配置工具**，基于 Claude Code 官方最佳
 
 - 🧠 **认知增强规则** — 8 条基于认知科学的深度思考与代码质量原则
 - 🤖 **专业级 AI Skills** — 4 个面向不同开发场景的智能技能
-- 🛡️ **安全防护体系** — Shell Hooks 守卫 + Settings Deny 规则双重保障
+- 🛡️ **安全防护体系** — Hookify 守卫 + 角色脚本双重保障
 - 📝 **规范驱动工作流** — OpenSpec 集成的需求管理体系
 - 🧩 **跨会话记忆系统** — 持久化的开发者画像与项目记忆
 
@@ -76,7 +76,7 @@ $ ace init
 │  Customize
 │    Change role      edit ~/.claude/memory/user_profile.md
 │    Adjust rules     edit ~/.claude/rules/ace/
-│    Safety guards    edit ~/.claude/settings.json (deny rules)
+│    Safety guards    edit ~/.claude/hookify.ace.*.local.md
 │    Verify setup     ace doctor
 └
 └  Done. Go to your project and run ace spec init.
@@ -151,7 +151,7 @@ $ ace doctor
 ✓ CLAUDE.md 配置正常
 ✓ 8 条规则文件完整
 ✓ 4 个 Skills 可正常加载
-✓ Hooks 安全守卫运行中
+✓ Hookify 插件运行中
 ✓ 记忆目录可访问
 All systems operational.
 ```
@@ -166,17 +166,17 @@ All systems operational.
 ├─────────────────────────────────────────────────────────────┤
 │                                                             │
 │  ┌─────────────┐  ┌─────────────┐  ┌─────────────┐         │
-│  │   Rules     │  │   Skills    │  │   Hooks   │         │
-│  │  (8 规则)    │  │  (4 技能)    │  │  (Shell守卫) │         │
+│  │   Rules     │  │   Skills    │  │  Hookify    │         │
+│  │  (8 规则)    │  │  (4 技能)    │  │  (3 守卫)    │         │
 │  ├─────────────┤  ├─────────────┤  ├─────────────┤         │
-│  │ • thinking  │  │ • auto-goal │  │ • bash-     │         │
-│  │ • clean-code│  │ • coding    │  │   guard     │         │
-│  │ • code-qual │  │ • skill-    │  │ • file-     │         │
-│  │ • reporting │  │   creator   │  │   guard     │         │
-│  │ • task-rec  │  │ • skill-    │  │ • content-  │         │
-│  │ • context-  │  │   optimize  │  │   guard     │         │
-│  │   hygiene   │  │             │  │ • java-     │         │
-│  │ • memory-   │  │             │  │   compile   │         │
+│  │ • thinking  │  │ • auto-goal │  │ • block-    │         │
+│  │ • clean-code│  │ • coding    │  │   dangerous │         │
+│  │ • code-qual │  │ • skill-    │  │ • protect-  │         │
+│  │ • reporting │  │   creator   │  │   secrets   │         │
+│  │ • task-rec  │  │ • skill-    │  │ • require-  │         │
+│  │ • context-  │  │   optimize  │  │   verify    │         │
+│  │   hygiene   │  │             │  │             │         │
+│  │ • memory-   │  │             │  │             │         │
 │  │   policy    │  │             │  │             │         │
 │  │ • interactive│  │             │  │             │         │
 │  └─────────────┘  └─────────────┘  └─────────────┘         │
@@ -242,7 +242,7 @@ ace init
 - 全局 CLAUDE.md 索引
 - 8 条认知规则
 - 4 个 AI Skills
-- Shell Hooks 安全守卫
+- Hookify 安全守卫
 - 角色特定脚本和开发者画像
 
 ### 3. 验证安装
@@ -284,7 +284,7 @@ claude
 - [8 条规则详解](docs/architecture/rules.md) — 每条规则的用途与设计
 - [4 个 Skills 详解](docs/architecture/skills.md) — 工作原理与最佳实践
 - [aspec 规范驱动](docs/architecture/aspec.md) — spec coding 完整工作流
-- [Shell Hooks 安全体系](docs/architecture/hooks.md)
+- [Hookify 安全体系](docs/architecture/hookify.md)
 - [Hooks 角色脚本](docs/architecture/hooks.md)
 - [记忆系统](docs/architecture/memory.md)
 - [OpenSpec 集成](docs/architecture/spec.md)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@shirayner/ace",
-  "version": "0.1.8",
+  "version": "0.1.10-SNAPSHOT",
   "description": "AI Coding Environment - One command to set up your Claude Code harness",
   "bin": {
     "ace": "./bin/ace.js"

package/plugin/.claude-plugin/plugin.json

@@ -1,6 +1,6 @@
 {
   "name": "ace",
-  "version": "0.1.8-SNAPSHOT.5",
+  "version": "0.1.8-SNAPSHOT",
   "description": "AI Coding Environment - Skills and commands for Claude Code",
   "author": {
     "name": "shirayner"

package/plugin/skills/auto-goal/SKILL.md

@@ -21,42 +21,21 @@ description: |
 
 ## 硬规则（不可跳过）
 
-### 规则 0：Pre-execution Checkpoint（结构性屏障）
-
-**在发出第一个修改性工具调用（Edit/Write/创建或修改文件的 Bash）之前，必须通过此检查：**
-
-> 我是否已完成 Step 3 的对齐确认，且用户已通过 AskUserQuestion 确认？
-
-- **是** → 继续执行
-- **否** → **立即停止**，返回规则 1 执行对齐流程
-
-此规则存在的原因：auto mode 的"立即执行"指令会与对齐要求冲突。当模型感到"这个任务很简单，不需要对齐"时，恰恰是最需要对齐的时刻——因为"简单"往往意味着隐含决策被忽略了。
-
-**Auto mode 优化的是执行效率，不是对齐质量。跳过对齐不是"更快"——是"更可能做错"。**
-
 ### 规则 1：首轮对齐（MANDATORY — 优先于 auto mode）
 
 接收目标后，**必须完成以下三步才能开始执行**。
 
-**Step 1: 苏格拉底式分析（AI 内部推理，不直接展示给用户）** — 这是思维方法，不是输出格式。结合已有上下文（memory、CLAUDE.md、git status、会话历史）和探索性工具（Read/Grep/Glob/Agent），在内部深入分析目标。
+**Step 1: 苏格拉底式分析** — 结合已有上下文（memory、CLAUDE.md、git status、会话历史）和探索性工具（Read/Grep/Glob/Agent），并行执行，形成对目标的深层理解。
 
-在思考过程中执行以下追问，形成深层理解：
+分析时在内部（思考过程中）进行苏格拉底式追问：
 - **追问目的**：用户为什么要做这个？解决什么根本问题？做了之后谁受益？
 - **追问完整性**：用户说的是全貌还是冰山一角？有没有没意识到的关联问题或前置依赖？
 - **追问前提**：用户的假设成立吗？有没有更好的问题框架？是不是在解决错误的问题？
 - **追问约束**：什么不能动？什么是硬限制？时间/资源/技术债/团队认知负担？
 
-输出：不是追问本身，而是经分析后形成的深层理解（用于指导 Step 2 的提问设计和 Step 3 的对齐展示）。
 目标：不只是理解用户说了什么，而是理解用户**真正需要**什么——包括他们自己可能没意识到的部分。
 
-**Step 2: 澄清** — 基于 Step 1 的内部分析结论，设计面向用户的具体问题，**调用 AskUserQuestion 工具**批量澄清歧义和关键决策点。问题应具体、可行动、关联用户场景，而非重复抽象的苏格拉底追问。复杂项目可多轮澄清。
-
-跳过条件（必须**同时满足全部**才可跳过 Step 2，直接进入 Step 3）：
-- 用户在**同一会话中**已明确表达过完整意图，且你在 Step 1 分析后未发现任何隐含决策点
-- 不存在"用户可能会惊讶"的假设需要验证
-- 任务是对前一个已对齐目标的延续性修复（而非新目标）
-
-**如果不确定是否需要澄清 → 澄清。** 默认执行，跳过是例外。
+**Step 2: 澄清** — **调用 AskUserQuestion 工具**向用户批量澄清歧义和关键决策点。复杂项目可多轮澄清。仅当目标完全明确无歧义时可跳过。
 
 澄清时采用引导性提问（而非纯选择题）：
 - "你提到了 X，但我注意到这还关联到 Y——这是否也在范围内？"
@@ -65,26 +44,12 @@ description: |
 
 好的引导性问题能帮用户发现自己没想到的维度，而不只是确认 AI 已知的信息。
 
-**Step 3: 对齐确认（不可跳过）** — 用普通文本（markdown）向用户呈现，格式要求：每要素标题独占一行，内容换行后写，列表用 bullet。
-
-```
-**我的理解**
-（1-2 句概括核心意图 + 关联问题）
-
-**计划方向**
-（1-2 句高层策略）
-
-**关键假设**
-- 假设 1
-- 假设 2
-
-**完成标准**
-- 可测试条件 1
-- 可测试条件 2
-```
+**Step 3: 对齐确认（不可跳过）** — 用普通文本（markdown）向用户呈现：
 
-禁止：标题和内容写在同一行（如"我的理解 — xxx"导致长行难读）。
-AskUserQuestion 仅用于确认（"以上对齐是否正确？"），不放大段对齐内容。
+1. **我的理解** — 复述目标核心意图（包含分析中发现的用户可能没意识到的关联问题）
+2. **计划方向** — 打算怎么做（高层策略）
+3. **关键假设** — 不确定的假设，标注出来
+4. **完成标准** — "我认为完成的标志是..."（必须可测试，描述需求状态而非执行命令）
 
 呈现完毕后，**调用 AskUserQuestion 工具**让用户确认或补充。确认后才能开始执行。
 

package/src/commands/spec.js

@@ -51,7 +51,7 @@ async function initTeamConventions(targetDir, options) {
 
     const urlInput = await p.text({
       message: 'Enter the Git repository URL for team conventions:',
-      placeholder: 'http://git.dev.sh.ctripcorp.com/r.shi/dev-guide.git',
+      placeholder: 'https://gitlab.example.com/team/conventions.git',
       validate: (value) => {
         if (!value || value.trim().length === 0) return 'URL is required';
         if (!value.match(/^(https?:\/\/|git@)/)) return 'Must be a valid git URL (https:// or git@)';

package/src/core/constants.js

@@ -17,7 +17,7 @@ export const MARKETPLACE_DIR = path.join(CLAUDE_DIR, 'plugins', 'marketplaces',
 export const PLUGIN_KEY = `${PLUGIN_NAME}@${MARKETPLACE_NAME}`;
 
 export const PRESETS = {
-  full: ['core', 'rules', 'plugin', 'hooks', 'scripts', 'memory'],
+  full: ['core', 'rules', 'plugin', 'hooks', 'memory'],
   minimal: ['core', 'rules', 'plugin'],
   safe: ['core', 'rules', 'plugin', 'memory'],
 };
@@ -64,7 +64,6 @@ export const ACE_OWNED_PATTERNS = [
   /^ace\/rules\//,          // ace/rules/*.md (v2.0+)
   /^rules\/ace\//,          // rules/ace/*.md (legacy, for migration detection)
   /^hooks\/ace\./,          // hooks/ace.*.sh
-  /^scripts\/statusline/,   // scripts/statusline*
 ];
 
 /**
@@ -120,14 +119,6 @@ export const COMPONENTS = {
       { src: 'hooks/ace.java-compile-check.sh', dest: 'hooks/ace.java-compile-check.sh', roles: ['backend', 'fullstack'] },
     ],
   },
-  scripts: {
-    description: 'Utility scripts (status line)',
-    required: false,
-    files: [
-      { src: 'scripts/statusline-command.sh', dest: 'scripts/statusline-command.sh' },
-      { src: 'scripts/statusline.py', dest: 'scripts/statusline.py' },
-    ],
-  },
   memory: {
     description: 'Global memory templates',
     required: false,

package/src/core/installer.js

@@ -280,7 +280,7 @@ export class Installer {
 
     // 3. Register in known_marketplaces.json
     const marketplaceEntry = {
-      source: { source: 'directory', path: MARKETPLACE_DIR },
+      source: { source: 'local' },
       installLocation: MARKETPLACE_DIR,
       lastUpdated: new Date().toISOString(),
     };

package/templates/CLAUDE.md

@@ -26,10 +26,11 @@
 - ~/.claude/ace/rules/gitflow.md — GitFlow 工作流（分支管理时阅读）
 
 ## 流程门禁优先级
-Auto mode 不覆盖 auto-goal/aspec/OpenSpec 流程门禁。标注"不可跳过"的门禁步骤（需求澄清、设计澄清、审批确认）在任何执行模式下均必须执行，不得以"减少打断"为由跳过。
+Auto mode 不覆盖 aspec/OpenSpec 流程门禁。标注"不可跳过"的门禁步骤（需求澄清、设计澄清、审批确认）在任何执行模式下均必须执行，不得以"减少打断"为由跳过。
 
 ## 安全策略
 安全由外部机制保障，不占用上下文 token：
 - settings.json deny 规则 → 硬拦截 rm -rf、sudo 等
-- Shell hooks → 进程级检查（编译、类型检查、内容审查）
+- Shell hooks → 进程级检查（编译、类型检查）
+- Hookify 插件 → 模式匹配拦截（危险命令、敏感文件）
 <!-- ace:managed:end -->

package/templates/hookify/hookify.ace.block-dangerous-ops.local.md

@@ -0,0 +1,16 @@
+---
+name: block-dangerous-ops
+enabled: true
+event: bash
+pattern: rm\s+-rf|git\s+push\s+.*(-f|--force)|DROP\s+TABLE|TRUNCATE\s+TABLE|git\s+reset\s+--hard|git\s+clean\s+-fd
+action: block
+---
+
+**危险操作已阻止!**
+
+检测到高风险命令，已自动拦截。请确认:
+- 是否真的需要执行此操作？
+- 是否有更安全的替代方案？
+- 数据是否已备份？
+
+如确需执行，请手动在终端中运行。

package/templates/hookify/hookify.ace.code-quality-gate.local.md

@@ -0,0 +1,45 @@
+---
+name: code-quality-gate
+enabled: true
+event: file
+conditions:
+  - field: file_extension
+    operator: in
+    value: [".js", ".ts", ".tsx", ".java", ".py", ".go", ".rs"]
+action: warn
+---
+
+**代码质量检查**
+
+保存代码文件时，请自检以下项目：
+
+## 检查清单
+
+### 1. 调试代码
+- [ ] 已移除 `console.log` / `System.out.println` / `print`
+- [ ] 已移除 `debugger;` 语句
+- [ ] 已移除临时代码注释 (`// TEMP`, `// HACK`)
+
+### 2. 代码规范
+- [ ] 函数长度适中（理想 20 行内，最多 30 行）
+- [ ] 嵌套深度不超过 3 层
+- [ ] 无魔法值，使用命名常量
+- [ ] 错误处理显性化
+
+### 3. 测试相关
+- [ ] 新增代码有对应测试
+- [ ] 测试能通过
+- [ ] 考虑边界条件
+
+### 4. 敏感信息
+- [ ] 无硬编码密码/API Key
+- [ ] 配置文件使用环境变量
+
+## 代码异味标记
+
+| 标记 | 含义 | 建议 |
+|------|------|------|
+| `TODO` | 待办事项 | 确保有跟进计划 |
+| `FIXME` | 需要修复 | 优先处理或创建 Issue |
+| `HACK` | 临时方案 | 记录原因，计划重构 |
+| `XXX` | 警告标记 | 高风险代码，需要审查 |

package/templates/hookify/hookify.ace.dangerous-commands.local.md

@@ -0,0 +1,20 @@
+---
+name: block-dangerous-commands
+enabled: true
+event: bash
+pattern: rm\s+-rf|sudo\s+|dd\s+if=|mkfs|format\s+|>:\s*/
+action: block
+---
+
+**危险命令 detected！**
+
+此命令可能造成数据丢失或系统损坏：
+- `rm -rf` - 强制递归删除
+- `sudo` - 特权执行
+- `dd if=` / `mkfs` / `format` - 磁盘操作
+- `> /path` - 重定向到系统文件
+
+请确认：
+1. 路径是否正确
+2. 是否有备份
+3. 是否可以使用更安全的方式

package/templates/hookify/hookify.ace.protect-secrets.local.md

@@ -0,0 +1,17 @@
+---
+name: protect-secrets
+enabled: true
+event: file
+conditions:
+  - field: file_path
+    operator: regex_match
+    pattern: \.env$|\.env\.|credentials|\.key$|secrets|\.pem$|\.p12$|password
+action: warn
+---
+
+**敏感文件编辑警告!**
+
+正在编辑可能包含敏感信息的文件。请确认:
+- 文件已加入 .gitignore
+- 未硬编码任何凭据或密钥
+- 使用环境变量引用敏感值

package/templates/hookify/hookify.ace.require-verification.local.md

@@ -0,0 +1,13 @@
+---
+name: require-verification
+enabled: true
+event: stop
+action: warn
+---
+
+**交付前验证提醒**
+
+请确认已完成以下检查:
+- 代码变更已通过编译
+- 相关测试已执行且通过
+- 变更符合项目规范

package/templates/hookify/hookify.ace.safe-git-commands.local.md

@@ -0,0 +1,38 @@
+---
+name: safe-git-commands
+enabled: true
+event: bash
+pattern: git\s+push\s+.*(-f|--force)|git\s+reset\s+--hard|git\s+clean\s+-fd|git\s+rebase\s+-i|git\s+commit\s+--amend
+action: warn
+---
+
+**Git 危险操作警告!**
+
+即将执行可能影响团队协作的 Git 命令，请确认：
+
+## 受保护命令
+
+### Force Push (`git push --force`)
+⚠️ 这会覆盖远程分支历史，可能影响其他协作者
+- **建议**: 使用 `git push --force-with-lease`
+- **确认**: 已通知团队成员，无人基于此分支工作
+
+### Reset Hard (`git reset --hard`)
+⚠️ 这会丢弃所有未提交的更改
+- **建议**: 先用 `git stash` 保存更改
+- **确认**: 已备份重要修改
+
+### Clean Force (`git clean -fd`)
+⚠️ 这会删除未跟踪的文件和目录
+- **建议**: 先用 `git clean -n` 预览将被删除的文件
+- **确认**: 不会误删重要文件
+
+### Interactive Rebase (`git rebase -i`)
+⚠️ 修改已发布的提交会改变历史
+- **建议**: 仅对本地未推送的提交使用
+- **确认**: 了解变基后需要 force push
+
+### Amend Commit (`git commit --amend`)
+⚠️ 修改已推送的提交需要 force push
+- **建议**: 仅修改本地最新提交
+- **确认**: 尚未推送到远程

package/templates/hookify/hookify.ace.sensitive-data.local.md

@@ -0,0 +1,22 @@
+---
+name: warn-sensitive-data
+enabled: true
+event: file
+action: warn
+conditions:
+  - field: new_text
+    operator: regex_match
+    pattern: (API_KEY|SECRET|TOKEN|PASSWORD|PWD)\s*[=:]\s*["'][^"']+["']
+---
+
+**敏感信息 detected！**
+
+文件内容可能包含硬编码凭证：
+- API_KEY / API_SECRET
+- TOKEN / ACCESS_TOKEN
+- PASSWORD / PWD
+
+建议：
+1. 使用环境变量替代硬编码
+2. 确认文件已在 .gitignore 中
+3. 考虑使用密钥管理服务

package/templates/hooks/ace.bash-guard.sh

@@ -4,13 +4,11 @@
 # exit 0 = 允许（stdout 作为警告信息传递给模型）
 # exit 2 = 阻止执行
 
-# NOTE: 不使用 set -e — grep 无匹配返回 1 会导致脚本崩溃
-set -uo pipefail
+set -euo pipefail
 
 INPUT=$(cat)
 
-# 提取命令：替换转义引号为占位符，用 grep -o 精确匹配 JSON value，再还原
-COMMAND=$(echo "$INPUT" | sed 's/\\"/\x01/g' | grep -o '"command"[[:space:]]*:[[:space:]]*"[^"]*"' | head -1 | sed 's/.*"command"[[:space:]]*:[[:space:]]*"//;s/"$//' | sed 's/\x01/\\"/g' || true)
+COMMAND=$(echo "$INPUT" | grep -o '"command"[[:space:]]*:[[:space:]]*"[^"]*"' | head -1 | sed 's/.*"command"[[:space:]]*:[[:space:]]*"//;s/"$//')
 
 [[ -z "$COMMAND" ]] && exit 0
 
@@ -20,8 +18,8 @@ BLOCK_PATTERNS=(
     'rm\s+-rf'
     'rm\s+-r\s'
     'rm\s+.*--recursive'
-    'git\s+push\s+(.*\s)?-f(\s|$)'
-    'git\s+push\s+.*--force(\s|$)'
+    'git\s+push\s+.*(-f|--force)[^-]'
+    'git\s+push\s+.*--force$'
     'DROP\s+TABLE'
     'TRUNCATE\s+TABLE'
     'git\s+reset\s+--hard'

package/templates/hooks/ace.content-guard.sh

@@ -1,57 +1,52 @@
 #!/bin/bash
 # Content Guard — PostToolUse Hook
+# 合并规则: sensitive-data, code-quality-gate
 # 检测写入内容中的硬编码凭证和调试代码残留
 # exit 0 = 无问题, exit 1 = 发现问题（反馈给模型）
 
-# NOTE: 不使用 set -e — grep 无匹配返回 1 会导致脚本崩溃
-set -uo pipefail
+set -euo pipefail
 
 INPUT=$(cat)
 
-# 提取 file_path（文件路径不含转义引号，简单模式安全）
-FILE_PATH=$(echo "$INPUT" | grep -o '"file_path"[[:space:]]*:[[:space:]]*"[^"]*"' | head -1 | sed 's/.*"file_path"[[:space:]]*:[[:space:]]*"//;s/"$//' || true)
+FILE_PATH=$(echo "$INPUT" | grep -o '"file_path"[[:space:]]*:[[:space:]]*"[^"]*"' | head -1 | sed 's/.*"file_path"[[:space:]]*:[[:space:]]*"//;s/"$//')
 
 [[ -z "$FILE_PATH" ]] && exit 0
 
-# 提取待检查内容：取 "new_string": 或 "content": 之后的全部文本
-# 策略：不做精确 JSON value 提取（转义引号会截断），而是检查 key 之后的原始文本
-# 在 Claude Code 的 JSON 中，old_string 位于 new_string 之前，不会误报
-CHECK_CONTENT=""
-if echo "$INPUT" | grep -q '"new_string"'; then
-    CHECK_CONTENT=$(echo "$INPUT" | sed 's/.*"new_string"[[:space:]]*:[[:space:]]*//')
-elif echo "$INPUT" | grep -q '"content"'; then
-    CHECK_CONTENT=$(echo "$INPUT" | sed 's/.*"content"[[:space:]]*:[[:space:]]*//')
+# 提取写入的新内容（new_string 用于 Edit, content 用于 Write）
+NEW_CONTENT=$(echo "$INPUT" | grep -o '"new_string"[[:space:]]*:[[:space:]]*"[^"]*"' | head -1 | sed 's/.*"new_string"[[:space:]]*:[[:space:]]*"//;s/"$//')
+if [[ -z "$NEW_CONTENT" ]]; then
+    NEW_CONTENT=$(echo "$INPUT" | grep -o '"content"[[:space:]]*:[[:space:]]*"[^"]*"' | head -1 | sed 's/.*"content"[[:space:]]*:[[:space:]]*"//;s/"$//')
 fi
 
-[[ -z "$CHECK_CONTENT" ]] && exit 0
+[[ -z "$NEW_CONTENT" ]] && exit 0
 
 ISSUES=""
 
 # === 检测硬编码凭证 ===
-if echo "$CHECK_CONTENT" | grep -qiE '(API_KEY|API_SECRET|SECRET_KEY|ACCESS_TOKEN|PASSWORD|PWD)\s*[=:]\s*["\x27][^"\x27]+["\x27]'; then
+if echo "$NEW_CONTENT" | grep -qiE '(API_KEY|API_SECRET|SECRET_KEY|ACCESS_TOKEN|TOKEN|PASSWORD|PWD)\s*[=:]\s*["'"'"'][^"'"'"']+["'"'"']'; then
     ISSUES="${ISSUES}⚠️ 检测到可能的硬编码凭证 (API_KEY/SECRET/TOKEN/PASSWORD)\n"
 fi
 
 # === 检测源代码中的调试残留（仅针对代码文件）===
 case "$FILE_PATH" in
     *.java)
-        if echo "$CHECK_CONTENT" | grep -qE 'System\.(out|err)\.print'; then
+        if echo "$NEW_CONTENT" | grep -qE 'System\.(out|err)\.print'; then
             ISSUES="${ISSUES}⚠️ 检测到 System.out/err.print — 请使用 Logger\n"
         fi
         ;;
     *.js|*.ts|*.tsx)
-        if echo "$CHECK_CONTENT" | grep -qE 'console\.(log|debug|warn|error)'; then
+        if echo "$NEW_CONTENT" | grep -qE 'console\.(log|debug|warn|error)'; then
             ISSUES="${ISSUES}⚠️ 检测到 console.log — 请确认是否为调试残留\n"
         fi
-        if echo "$CHECK_CONTENT" | grep -qE '\bdebugger\b'; then
+        if echo "$NEW_CONTENT" | grep -qE '\bdebugger\b'; then
             ISSUES="${ISSUES}⚠️ 检测到 debugger 语句\n"
         fi
         ;;
     *.py)
-        if echo "$CHECK_CONTENT" | grep -qE 'print\('; then
+        if echo "$NEW_CONTENT" | grep -qE '^\s*print\('; then
             ISSUES="${ISSUES}⚠️ 检测到 print() — 请确认是否为调试残留\n"
         fi
-        if echo "$CHECK_CONTENT" | grep -qE 'breakpoint\(\)'; then
+        if echo "$NEW_CONTENT" | grep -qE '^\s*breakpoint\(\)'; then
             ISSUES="${ISSUES}⚠️ 检测到 breakpoint()\n"
         fi
         ;;
@@ -60,7 +55,7 @@ esac
 if [[ -n "$ISSUES" ]]; then
     echo "🔍 内容安全检查发现问题:"
     echo ""
-    printf "%b" "$ISSUES"
+    echo -e "$ISSUES"
     echo "文件: $FILE_PATH"
     exit 1
 fi

package/templates/hooks/ace.file-guard.sh

@@ -4,12 +4,11 @@
 # 检测对敏感文件的编辑操作，输出警告
 # exit 0 + stdout = 警告（不阻止）
 
-# NOTE: 不使用 set -e — grep 无匹配返回 1 会导致脚本崩溃
-set -uo pipefail
+set -euo pipefail
 
 INPUT=$(cat)
 
-FILE_PATH=$(echo "$INPUT" | grep -o '"file_path"[[:space:]]*:[[:space:]]*"[^"]*"' | head -1 | sed 's/.*"file_path"[[:space:]]*:[[:space:]]*"//;s/"$//' || true)
+FILE_PATH=$(echo "$INPUT" | grep -o '"file_path"[[:space:]]*:[[:space:]]*"[^"]*"' | head -1 | sed 's/.*"file_path"[[:space:]]*:[[:space:]]*"//;s/"$//')
 
 [[ -z "$FILE_PATH" ]] && exit 0
 

package/templates/openspec/config.yaml

@@ -1,5 +1,5 @@
 schema: spec-driven
-version: 12.0.0
+version: 10.0.0
 context: |
   ## 语言
   所有交互、思考链、文档一律使用中文。OpenSpec 英文标题保留。
@@ -23,57 +23,11 @@ context: |
   - 惊讶测试：替用户做选择时，若用户看到会惊讶 → 暂停展示选项
   - 对齐内容用 markdown 文本输出（大段内容在 AskUserQuestion 中显示异常），确认通过 AskUserQuestion
 
-  ## 深度认知方法论
-
-  ### 苏格拉底式分析（AI 内部推理，不直接展示给用户）
-  这是 AI 的思维方法，不是输出格式。分析时在内部执行以下追问，形成深层理解后再转化为对用户的具体问题。
-  - **追问目的**：用户为什么要这个？解决什么根本问题？做了之后谁受益？
-  - **追问完整性**：说的是全貌还是冰山一角？关联问题？前置依赖？
-  - **追问前提**：假设成立吗？有更好的问题框架吗？是不是在解决错误的问题？
-  - **追问约束**：什么不能动？硬限制？时间/资源/技术债/团队认知负担？
-
-  输入：Read dimensions.md，用其深度提问启发分析方向，用盲区表验证覆盖完整性。
-  输出：不是追问本身，而是经分析后识别出的具体问题列表（写入 issues 文件）。
-  目标：不只理解用户说了什么，而是理解用户**真正需要**什么——包括他们没意识到的部分。
-
-  ### 引导性提问（澄清时面向用户）
-  基于内部苏格拉底分析的结论，设计面向用户的引导性问题。问题应具体、可行动、关联用户业务场景，而非重复抽象追问。
-  - "你提到了 X，但我注意到这还关联到 Y——这是否也在范围内？"
-  - "如果做了 X 但不处理 Y，后续有什么风险？"
-  - "在这几个约束中，你的首要优先级是什么？"
-
-  ### 对齐确认四要素
-  展示时每个要素独占一段，要素标题单独一行，内容换行后写。列表项用 bullet：
-
-  ```
-  **我的理解**
-  （1-2 句话概括核心意图）
-
-  **方案方向**
-  （1-2 句话概括策略）
-
-  **关键假设**
-  - 假设 1
-  - 假设 2
-
-  **完成标准**
-  - 标准 1
-  - 标准 2
-  ```
-
-  禁止：标题和内容写在同一行（如"我的理解 — xxxxxx"），会导致长行难读。
-  AskUserQuestion 仅用于确认（"以上对齐是否正确？"），不要把对齐内容放入 AskUserQuestion。
-
-  ### 深度聚焦
-  Read dimensions.md 后不逐条遍历，而是主动筛选：哪些维度在当前需求中最不确定？哪些遗漏的返工成本最高？聚焦于这些维度深挖，其余略过。
-
-  ### 并行探索策略
-  分析需求或设计时，通过 Agent 工具并行探索独立维度以提升深度：
-  - 识别独立分析维度（彼此结果不影响），分组后每个 Agent 负责一组（2-3 维度）
-  - 每个 Agent prompt 须自包含：分析目标 + 项目上下文 + 输出格式（问题列表）
-  - 回收后整合：合并发现、识别交叉问题、去重后写入 issues 文件
-  - 触发条件：分析维度 ≥3 个且彼此独立 → 并行；<3 个或强依赖 → 串行
-  - 约束：并行 Agent ≤4 个，不修改同一文件
+  ## 深度探索
+  不要遍历维度清单做表面扫描。聚焦于：
+  - 哪些部分让你最不确定？为什么？
+  - 哪些误解的返工成本最高？
+  - dimensions.md 的已知盲区是否相关？
 
   ## 文件约定
   - 需求问题：issues/requirement-issues.md（id, description, severity, status, answer）
@@ -95,15 +49,9 @@ rules:
     - "[PRE] 读取 experience.md 需求相关经验，告知用户"
     - |
       [PRE] 需求澄清流程（三步顺序执行，每步完成后再进入下一步）：
-      1. **内部深度分析** — Read dimensions.md，结合需求维度的深度提问和盲区表，运用苏格拉底式四追问（目的/完整性/前提/约束）在内部深入分析：
-         - 用 dimensions.md 的深度提问启发分析方向（如"数据从哪来？生命周期？""并发竞态？"）
-         - 用盲区表逐项验证是否遗漏高风险不确定性
-         - 若分析维度 ≥3 个且独立，通过 Agent 工具并行探索（见"并行探索策略"）
-         - 分析结论写入 issues/requirement-issues.md，每个问题含：具体风险描述 + 为何重要（返工成本）
-      2. **引导性澄清** — 基于步骤 1 的分析结论，设计面向用户的具体问题，通过 AskUserQuestion 澄清 High/Medium 问题：
-         - 问题应具体、可行动、关联用户业务，而非重复抽象的苏格拉底追问
-         - 主动指出关联："我注意到 X 还涉及 Y，是否在范围内？"
-      3. **结构化对齐** — 用 markdown 按"对齐确认四要素"格式展示（每要素独占一段，列表用 bullet），然后通过 AskUserQuestion 仅确认（不放内容）
+      1. **分析→写入** — 自主分析需求不确定性（参考 dimensions.md 盲区），结果写入 issues/requirement-issues.md
+      2. **澄清** — 通过 AskUserQuestion 批量澄清 High/Medium 问题
+      3. **对齐确认** — 用 markdown 展示需求理解摘要，再通过 AskUserQuestion 确认
     - |
       🚫 GATE: 满足以下全部条件前，禁止创建 proposal：
       - issues/requirement-issues.md 已创建且 High/Medium 问题已澄清
@@ -116,17 +64,9 @@ rules:
     - "[PRE] 读取 experience.md 技术相关经验，告知用户"
     - |
       [PRE] 设计澄清流程（三步顺序执行，每步完成后再进入下一步）：
-      1. **内部深度分析** — Read dimensions.md，结合设计维度的深度提问和盲区表，运用苏格拉底式四追问深入分析技术方案：
-         - 追问目的：架构决策服务什么质量属性？（参考 dimensions.md 架构/性能/安全维度的深度提问）
-         - 追问完整性：遗漏的交互场景或失败模式？（参考盲区表验证）
-         - 追问前提：技术选型的隐含假设（性能、规模、团队能力）是否成立？
-         - 追问约束：现有系统/团队/时间的硬限制？
-         - 若需评估多个备选方案，通过 Agent 工具并行调研（每个 Agent 研究一个方案的可行性）
-         - 分析结论写入 issues/design-issues.md，每个决策含：备选方案 + 排除理由 + 风险
-      2. **引导性澄清** — 基于步骤 1 的分析结论，设计面向用户的具体问题，通过 AskUserQuestion 澄清 High/Medium 决策：
-         - 问题应具体、暴露取舍，而非重复抽象追问
-         - 主动暴露取舍："方案 A 更简单但 X 场景有风险，方案 B 更复杂但覆盖更全——优先级？"
-      3. **结构化对齐** — 用 markdown 按"对齐确认四要素"格式展示（每要素独占一段，列表用 bullet），然后通过 AskUserQuestion 仅确认（不放内容）
+      1. **分析→写入** — 自主分析设计不确定性，结果写入 issues/design-issues.md
+      2. **澄清** — 通过 AskUserQuestion 批量澄清 High/Medium 决策（即使无问题也须展示决策摘要）
+      3. **对齐确认** — 用 markdown 展示技术方案摘要，再通过 AskUserQuestion 确认
     - |
       🚫 GATE: 满足以下全部条件前，禁止创建 design.md：
       - issues/design-issues.md 已创建且 High/Medium 决策已澄清

package/templates/openspec/dimensions.md

@@ -1,90 +1,11 @@
 # 澄清维度
 
-分析不确定性时参考以下维度和深度问题。**聚焦实际不确定的部分，不逐条遍历。**
+**需求**：功能完整性 | 数据关切 | 用户体验 | 边界异常 | 集成依赖 | 优先级范围
+**设计**：架构决策 | 技术选型 | 接口设计 | 数据状态 | 安全合规 | 性能可靠性 | 部署运维
 
-## 需求维度
-
-**功能完整性**
-- 用户说的是最终目标还是只第一步？完整闭环还需要什么？
-- 涉及几种角色？每种角色的核心操作路径？
-- 正常流完成后系统状态应该是什么？如何验证？
-
-**数据关切**
-- 数据从哪来？谁写入？生命周期多长？
-- 一致性要求：最终一致还是强一致？跨服务如何协调？
-- 量级估算：初始多少？增长速率？是否影响方案选择？
-
-**用户体验**
-- 操作频率和场景？高频操作的摩擦成本？
-- 失败时用户看到什么？如何恢复？
-- 响应时间预期？异步还是同步？
-
-**边界异常**
-- 并发：多人同时操作同一资源会怎样？
-- 极端输入：为空？超长？格式异常？
-- 中断恢复：操作一半断连/崩溃，系统如何恢复？
-
-**集成依赖**
-- 外部服务 SLA？不可用时如何降级？
-- 上游接口版本兼容：变更如何感知和适配？
-- 超时和重试策略？
-
-**优先级范围**
-- MVP 边界：什么可以二期？判断标准？
-- 硬截止日期？日期压力如何影响范围？
-- 只能交付 60% 时哪些最优先？
-
-## 设计维度
-
-**架构决策**
-- 什么规模下会不适用？预期何时需重新评估？
-- 选 X 意味着放弃什么（lock-in）？回头成本？
-- 团队有运维经验吗？学习曲线？
-
-**技术选型**
-- 隐含假设（版本稳定性、社区活跃度）是否成立？
-- 与现有技术栈集成成本？新运维负担？
-- 是否有"够用就好"的简单替代？
-
-**接口设计**
-- 消费者是谁？最在意什么（延迟/吞吐/易用性）？
-- 向后兼容：字段废弃、版本迁移如何处理？
-- 数据量增长后接口行为如何变化（批量/分页）？
-
-**数据状态**
-- Schema 变更迁移策略？需要双写过渡期？
-- 删除策略：软删还是物理删？合规要求？
-- 缓存与源数据一致性？失效策略？
-
-**安全合规**
-- 认证授权模型：谁能访问什么？最小权限？
-- 敏感数据（PII）处理：加密？审计？
-- 第三方依赖安全状态？已知 CVE？
-
-**性能可靠性**
-- 量化目标：P99 延迟？QPS 峰值？
-- 故障隔离：组件失败的爆炸半径？熔断/限流？
-- 可观测性：如何发现问题？告警阈值？
-
-**部署运维**
-- 发布策略：滚动/蓝绿/金丝雀？回滚时间目标？
-- 配置管理：环境相关的部分如何切换？
-- 关键监控指标？on-call 责任？
-
-## 通用高频盲区（首次使用即有效）
-
-| 维度 | 盲区 | 为何常被忽视 | 暴露时机 |
-|------|------|-------------|----------|
-| 边界异常 | 并发竞态条件 | 单用户测试通过 | 上线后流量压力下 |
-| 集成依赖 | 第三方限流/降级 | 开发环境无限制 | 生产流量尖峰 |
-| 数据状态 | 迁移向后兼容 | 新字段易加旧数据难迁 | 发布后无法回滚 |
-| 性能可靠性 | 缓存击穿/雪崩 | 缓存正常时一切OK | 缓存失效瞬间 |
-| 接口设计 | 幂等性缺失 | 正常调用无问题 | 重试/补偿场景 |
-| 安全合规 | 横向越权 | 纵向权限明确横向常漏 | 渗透测试 |
-| 部署运维 | 有状态服务扩缩容 | 无状态容易有状态难 | 扩容时数据不一致 |
-| 功能完整性 | 取消/撤销/回退路径 | 正向流程优先实现 | 用户误操作时 |
+分析不确定性时参考以上维度，聚焦实际不确定的部分，不逐条遍历。
 
 ## 项目已知盲区（优先检查）
 
-<!-- 由经验进化体系自动维护。格式：维度 | 盲区描述 | 来源 change -->
+<!-- 由进化体系自动维护。格式：维度 | 盲区描述 | 来源 change -->
 *首次 archive 后自动填充。*

package/templates/scripts/statusline-command.sh

@@ -1,2 +0,0 @@
-#!/bin/bash
-cat | python ~/.claude/scripts/statusline.py

package/templates/scripts/statusline.py

@@ -1,32 +0,0 @@
-import sys, json, subprocess
-
-try:
-    d = json.load(sys.stdin)
-except Exception:
-    print('')
-    sys.exit(0)
-
-cwd = d.get('workspace', {}).get('current_dir', '')
-model = d.get('model', {}).get('display_name', '')
-used = d.get('context_window', {}).get('used_percentage')
-
-parts = []
-if model:
-    parts.append(model)
-if used is not None:
-    parts.append(f'ctx:{round(used)}%')
-
-try:
-    branch = subprocess.check_output(
-        ['git', '-C', cwd, 'rev-parse', '--abbrev-ref', 'HEAD'],
-        stderr=subprocess.DEVNULL, text=True
-    ).strip()
-    if branch:
-        parts.append(branch)
-except Exception:
-    pass
-
-if cwd:
-    parts.append(cwd.rstrip('/').split('/')[-1])
-
-print(' | '.join(parts))