@v587d/capital-generation 2.7.2 → 2.7.4

package/CHANGELOG.md

@@ -7,6 +7,125 @@
 - **第三位（patch）**：不破坏既有工具 / 配置 / 会话的新增与修复（如 2.1.1、2.1.2）。
 - **第二位（minor）**：有需要用户知晓的行为变更，且段内附迁移说明（如 2.1.0 的图表呈现通道重做、2.2.0 的数据源与检索来源扩容、2.4.0 的**必须换宿主版本**——本插件自己的工具与数据契约没变，所以只抬第二位）。
 
+## [2.7.4] - 2026-10-11
+
+社区 Skill 目录多了第六份快照（**54 条**可选），也是本仓第一份 **Apache-2.0** 的快照，改正文时因此多了一条
+必须在正文里留痕的义务。既有契约完全没动：工具入参与返回、能力清单、四把密钥与凭据引用名、配置字段、
+会话日志格式、你已有的自选股数据与**已经开启的那几项 Skill**，全部照旧；宿主要求与 2.7.3 相同
+（DSH`@0.2.0-rc.2`），不必换版本。
+
+### Added
+
+- **社区 Skill 目录新增第六份快照**：`jwangkun/claude-for-financial-services-cn`（Apache-2.0，commit
+  `d7585ca`）——一整套按**中国大陆卖方研究体例**写的模块：业绩点评（实际 / 预期 / 上期的超预期分解）、
+  财报公布前的三档情景与"要盯的三到五个指标"、A 股口径的可比倍数（动态 / 静态 / TTM 三套市盈率与涨跌停
+  带来的折溢价）、DCF 的中国参数档（十年期国债、A 股风险溢价、25% 与高新技术企业 15% 税率）、行业全景、
+  按披露节奏排的催化剂日历、按报表科目与监管文书走的财务核查、业绩差异的中文表述写法，以及首次覆盖的报告
+  骨架。上游 63 个模块里开放 **9 个**，整份目录从 45 条变成 **54 条**，默认仍然全部关闭。这也是本仓第一份
+  **整份按 A 股写**的快照：此前 A 股只有六颗专题模块，其余三十多颗都按美股语境。
+- **五十四颗不进可选清单，逐颗有名字和理由**（写在该快照的 `UPSTREAM.md`）：`china-market-data` 自己就是
+  那份服务商工具目录（收录等于在本插件的取数协议之外再造一条取数路由）；元技能那颗教助手新写 skill 并要求
+  跑上游的校验脚本；上游自己标注的 alias 与同一题材的薄一份不开放；四颗给买卖方向与仓位的（晨会纪要给
+  Long／Short 与止损位、论点跟踪给 Maintain／Add／Reduce／Exit、选股清单含仓位规模建议、税损收割教你怎么
+  卖出替换）按本仓一贯口径属于明确冲突——本项目不提供投资建议，也不替你动仓；十一颗的交付物是一份 Excel
+  工作簿或一份 deck（本插件没有 shell、报告链路已删除、出图只有一条通道）；总账对账、计提计划与一级市场
+  筛选三颗不是本插件使用者的场景；投行、私募、基金运营、财富管理与账户合规这五条业务线（32 颗）整条不开放。
+  四份**可运行的取数服务端**（万得 / 同花顺 / AkShare / 新闻，带密钥配置形态）**连发布包都不进**，与不发布
+  券商下单接口是同一条线。
+- **Apache-2.0 多出来的那条义务落成了可见的一行**：该许可第 4 条 (b) 款要求"修改过的文件本身带上显著声明"，
+  所以被改写的九份正文在标题下各留一句改动声明，指回该快照的 `UPSTREAM.md`；与上游逐字节相同的五十四份不带。
+  回归测试新增一条**正向**断言钉住这件事——少一行不会有别的报错，只能单独问。
+- **首页那行的总数跟着变成 6 个开源项目、共 54 个可选模块**。数字仍由回归测试按目录现算核对，不靠人抄。
+
+### Changed
+
+- **这九份正文的取数层整段重做**（9 份文件、28 处，+152 / −200 行）：与前几颗"改掉某一句"不同，这一份是
+  **每一份正文都自带一套数据层**——按付费程度排开的三档服务商阶梯（顶层写着密钥名与申请去处）、一段看起来
+  能跑的伪调用（`get_financials(ticker, "income", "annual")` 一类）、尾部一个用环境变量决定"这次用哪家、
+  取不到降级到哪家"的开关，以及把服务商名写死的引用格式与检查项。这些一律换成"要哪些字段、as-of 哪天"的
+  委派 brief（字段词汇是上游的，保留）；密钥名与申请去处整段删掉——凭据只进宿主的凭据域。判定档位表、
+  五档评级、阈值、报告骨架与分析结论**一字未改**。
+- **一处必须如实说明的事：一致预期那一类字段本插件取不到**。结构化数据面没有盈利预测或一致预期条目，唯一
+  带预测形状字段的是券商研报条目上的本年 / 次年每股收益，而那是单家口径、不是市场共识。上游正文里
+  "取不到预期就用历史增速、管理层口径与行业基准推一个"与"标个 `[UNSOURCED]` 然后凭理由估"这几处逃生口
+  已经消掉：现在缺那一列就留空并点名缺失，差异写在去年同期、你自己先前的口径或公司披露的区间上，
+  并说明那是哪一种基线。没有任何工具会拦"用记忆里的数字继续分析"，所以只能写在正文里。
+- **正文合规闸门从十二条加到二十三条**（服务商阶梯、伪调用围栏、模式开关、凭据名与申请去处、各家具名服务商
+  按词组族扫）。顺带修了闸门自己的一个坑：这条测试把命中统计强制成大小写不敏感，于是按英文单词扫
+  `\bWind\b` 会撞上按"风电"写的模块、`\bChoice\b` 会撞上把 choice 当普通词用的句子——一条误伤就足以让
+  下一个人把整族削掉，所以改按无歧义形状扫（中文名、`Wind / Choice` 的阶梯形状、不成词的品牌名）。反证照旧
+  打在新族上：把任何一颗换回上游原文，红的是新加的那几条，既有十二条一条都不响。
+- **结构上新遇到的形态**：上游有六个并列的 skills 根（按业务线分），本仓只登记其中一条线——依据是上游自己的
+  说明里写明哪一条是正文的出处，而它另四个角色包里的副本明确规定不许直接编辑。`src/` 与运行时代码一行没动。
+  这一手同时避开了同一仓库内部的撞名：五颗模块在两条线里同名而内容不同，两个根一起登记必然撞上
+  "启用集合只按名字认"。
+- **对外清单的另一半边也核到底**（`THIRD_PARTY_NOTICES.md`）：清单原来只列本插件**直接声明**的四颗运行时依赖，
+  现在补上依赖树的口径——`turndown` 带一个 BSD-2-Clause 的传递依赖（`@mixmark-io/domino`，版权行是
+  The Mozilla Foundation），这是本插件依赖树里唯一非 MIT 的传递依赖。"由宿主提供"那节此前笼统写"三个
+  bundle 都把 React 全家留成 external"，实际三个并不相同（图表卡片与自选股卡片都不带 `react-dom`），
+  现在按各自构建脚本分开写清，并补上七个**由宿主运行时注入、本插件既不声明也不打包**的界面模块。
+  外部服务那节原来用"若干具名公开来源"带过，现在把来源列全：需自备密钥的四项各自说清能力面（Wind 是
+  信披文档检索 + 宏观指标 + 历史 K 线三个能力面，另有几个端点声明而未接入；PaddleOCR 的解析结果要从服务方的
+  **预签名对象存储**取回，与提交作业的不是同一台主机），公开口径的八个来源逐条点名。首页致谢与指向清单那句话
+  跟着改成覆盖这些内容；数据侧的结论没变——原始数据不重新分发，只存在你本机。
+- **第三方清单补第六行，首页致谢补第六个仓库**：此前那句"均 MIT License"从本版起不再成立，改成前五份 MIT、
+  第六份 Apache-2.0，并写明它自己又是基于 Anthropic 官方仓库适配 A 股的。上游三处署名互不一致（许可附录的
+  版权行还带着没去掉的方括号、manifest 署 `Anthropic FSI China`），按现状记录，不做取舍。
+- **包变大了一点**：整包 291 → 356 个文件，解包 3.49 → **3.98 MB**、下载 1.15 → **1.31 MB**。随包发出的是
+  六十三份正文（含未开放那五条业务线的正文，作为"为什么不收这五十四颗"的可审查材料）、上游 `LICENSE`
+  与本仓写的 `UPSTREAM.md`；挡在包外的是四份取数服务端、上游自己 vendored 的 skill 副本、它给别家宿主编排
+  用的 cookbook 与接线配置、仓库脚本与根级文档。排除口径写在该快照自己的 `.npmignore` 里，回归测试逐条反查。
+
+> 与前三次一样：**新开一份 Capital 会话才会读到新快照**，而第一次开启任何一格 Skill 之后请**重启 DSH 进程**
+> （技能来源在会话创建时装配）。所有新模块默认关闭，配置页「精选 Skills」里逐格打开。
+
+## [2.7.3] - 2026-10-11
+
+社区 Skill 目录多了第五份快照（**45 条**可选），并把首页与第三方清单对外说的内容核了一遍——顺带把包里
+不该带的上游仓库材料挡掉，整包反而比上一版**小**。既有契约完全没动：工具入参与返回、能力清单、四把密钥
+与凭据引用名、配置字段、会话日志格式、你已有的自选股数据与**已经开启的那几项 Skill**，全部照旧；
+宿主要求与 2.7.2 相同（DSH`@0.2.0-rc.2`），不必换版本。
+
+### Added
+
+- **社区 Skill 目录新增第五份快照**：`marian2js/trading-skills`（MIT，commit `f1ae7d4`）。前四份都是
+  "把这家生意研究清楚"，这一份管**下单前的检查与下单后的复盘**：催化剂怎么排注意力、自选清单里哪些理由
+  已经不成立、这笔想法还缺哪些证据、一个说法能不能被检验、盈亏比结构是否自洽、计划在实际盘面上落不落得
+  了地、组合有没有压在同一批暴露上、交易日志里的重复失误、一笔已经平掉的交易怎么复盘。上游 19 个模块里
+  开放 **9 个**，整份目录从 36 条变成 **45 条**，默认仍然全部关闭。
+- **十颗不进可选清单，逐颗有名字和理由**（写在该快照的 `UPSTREAM.md`）：券商 API 执行面那颗（`etoro`：
+  让你在对话里交密钥、教助手真实下单）**连发布包都不进**；给仓位数字的（`position-sizing`）与给持仓
+  加减动作的（`position-management`）按本仓一贯口径属于明确冲突——本项目不提供投资建议，也不替你动仓；
+  四颗"把模块串成一条流程"的编排不开放（会话怎么分流由本插件自己决定，两处都在路由就会打架）；三颗把
+  取数写死成"先问你用哪家付费服务商、再自己调接口"的不开放，本插件没有那些服务商的凭据，其中
+  `earnings-preview` 还与已经收录的同名模块撞车。
+- **「精选 Skills」的筛选条多一个标签：交易纪律**（中英文各一套显示名，切到中文界面不会露出英文原词）。
+- **首页那行现在写着总数**：5 个开源项目、共 **45 个可选模块**。这个数字不再靠人手抄——配置页每一行都是
+  按目录现算的，两处一旦不一致，回归测试会点名该改哪一边。
+
+### Changed
+
+- **这份快照的正文按本插件的取数与计算边界改了一遍**（10 份文件、17 处，只动"谁去取数、谁去算"这一件
+  事）：这一份里没有"你自己去搜"那一句，但伸手取数换了形态——要使用者点选付费服务商、自己调它们的接口、
+  认领对话里给过的 API 凭据，以及"宿主能跑代码就去用那个共享 python 模块"。在本插件里取数和统计量都是
+  交出去的。判定档位、阈值、输入清单与分析结论**一字未改**；哪一颗完全没动（`post-trade-review` 原文
+  就过关），也记在 `UPSTREAM.md` 里。
+- **第三方清单补全**（`THIRD_PARTY_NOTICES.md`）：每份快照多一列「可选模块 / 快照内共」，一次说清
+  卡片比快照少的那些是什么；宿主提供的那一节补上 React 与两个宿主客户端库（本插件既不打进也不声明
+  它们）；新增"构建期使用、不随包分发"一节。首页致谢也补齐了五份快照。
+- **包变小了**：上游仓库自己的 README 变体、CI 与 workflow、静态文档站、路线图和贡献指南这类只有人类
+  读者会用的材料不再随包发出。排除口径写在每份快照自己的 `.npmignore` 里，回归测试逐条反查它是否真的
+  生效——**现在连文件级规则也查**（此前只查目录，文件规则写了不生效也不会报错）。整包解包
+  3.8 MB → **3.5 MB**、下载 1.3 MB → **1.15 MB**。上游自带的脚本与安装脚本作为可审查材料照旧留在
+  盘上，本插件从不执行它们；老快照里残留的四份上游 `.gitignore` 一并清掉（ignore 规则会在本仓继续
+  生效，那是过去真挡掉过文件的一族）。
+- **社区 Skill 正文的合规检查多认六种形态**：`curl` 外部接口、"宿主能跑代码就去用脚本"、向使用者点选
+  付费服务商、在对话里认领凭据，以及把取数写成"除非使用者明确要求否则别取实时数据"那类条件分支。
+  这一族最早只有"你自己去 web search"一种写法；检查跟着上游的形态加宽，而不是跟着措辞放宽。
+
+**开启新快照后请重启 DSH**：社区 Skill 的名单在宿主装配时算好，刷新页面不会重算（表现是卡片能勾、
+点「详情」读不到原文、会话里也不出现）——上一版的"重启才装配"是同一件事。
+
 ## [2.7.2] - 2026-10-11
 
 社区 Skill 目录多了第四份快照（**36 条**可选）。既有契约完全没动：工具入参与返回、能力清单、四把密钥

package/README.md

@@ -15,7 +15,7 @@
 <p align="center">
   <a href="https://awesome-dsh-plugin.com"><img src="https://awesome-dsh-plugin.com/badge.svg" alt="awesome · DSH plugin"></a>
   <a href="LICENSE"><img src="https://img.shields.io/badge/License-MIT-green" alt="License"></a>
-  <a href="https://github.com/v587d/capital-generation/releases"><img src="https://img.shields.io/badge/version-2.7.2-9cf" alt="Version"></a>
+  <a href="https://github.com/v587d/capital-generation/releases"><img src="https://img.shields.io/badge/version-2.7.4-9cf" alt="Version"></a>
 </p>
 
 # Capital Generation
@@ -131,7 +131,7 @@ https://github.com/v587d/capital-generation
 
 - **查数据和资料：** 覆盖A股、港股、美股，由 Agents 按需获取行情、财务、指数、基金与宏观行业数据，检索公告、新闻和研报。共计 **94** 个数据收集能力和 **14** 个网页检索能力，部分公开数据源无需额外密钥；具体覆盖范围见 [数据收集能力表](docs/data-collector-capabilities.md) 和 [网页检索能力表](docs/web-retriever-capabilities.md)。
 - **数据分析：** 所有 Agents 均不直接接触原始结构数据，Agents 按需读取数据、校验数据，并写脚本挖掘数据背后含义。 
-- **可视化：** 将数据交给不同角色处理，再生成可交互图表。图表会作为本轮交付物出现在会话中，可在侧栏查看或离线打开。了解处理流程可看 [Agent 角色说明](docs/agent-roles.md)。
+- **可视化：** Agent 视情况将校验后数据交给可视化专家生成可交互图表。图表会作为本轮交付物出现在会话中，可在侧栏查看或离线打开。了解处理流程可看 [Agent 角色说明](docs/agent-roles.md)。
 
 | 走势折线 | K 线与量价 |
 | :---: | :---: |
@@ -143,7 +143,7 @@ https://github.com/v587d/capital-generation
 | :---: | :---: |
 | <a href="assets/watchlist-popup.png"><img src="assets/watchlist-popup.png" alt="管理自选股" width="400"></a> | <a href="assets/watchlist-more.png"><img src="assets/watchlist-more.png" alt="标记持仓" width="400"></a> |
 
-- **精选 Skills：** 当前收录四个开源项目：[The Investment Skills Lexicon](https://github.com/finterm-ai/investment-skills)（Buffett Investment Framework）、[China Stock Research Skills](https://github.com/spikeHongg/china-stock-research-skills)（六个 A 股研究模块）、[InvestSkill](https://github.com/yennanliu/InvestSkill)（28 个美股模块：逐条主张核验、空头反方、披露文件与内部人追踪、压力测试等）与 [Peter Lynch Research](https://github.com/DjNero11/peter-lynch-skill)（一条完整的个股研究流程：先快筛决定值不值得深挖，再按固定证据预算出尽调报告，每条主张都带可点开的来源链接）。
+- **精选 Skills：** 当前收录 6 个开源项目、共 54 个可选模块（默认全部关闭，在配置页逐格打开）：[The Investment Skills Lexicon](https://github.com/finterm-ai/investment-skills)（Buffett Investment Framework）、[China Stock Research Skills](https://github.com/spikeHongg/china-stock-research-skills)（六个 A 股研究模块）、[InvestSkill](https://github.com/yennanliu/InvestSkill)（28 个美股模块：逐条主张核验、空头反方、披露文件与内部人追踪、压力测试等）、[Peter Lynch Research](https://github.com/DjNero11/peter-lynch-skill)（一条完整的个股研究流程）、[Trading Skills](https://github.com/marian2js/trading-skills)（9 个交易过程模块：催化剂排布、自选股分诊、论点压力测试、执行计划检查、交易日志复盘等，美股与境外交易口径）与 [Claude for Financial Services CN](https://github.com/jwangkun/claude-for-financial-services-cn)（9 个 A 股卖方研究模块：业绩点评与差异表述、财报前瞻、可比倍数、A 股 DCF 口径、行业全景、催化剂日历、财务核查与首次覆盖）。
 
 <p align="center">
   <a href="assets/selected-skills配置.png">
@@ -162,10 +162,11 @@ https://github.com/v587d/capital-generation
 
 目前 Windows 桌面端有一项[已知宿主差异](CHANGELOG.md)：主 Agent 的部分工具限制可能不生效。请特别留意它实际调用了哪些工具；结构化数据的取数限制仍由工具自身执行。
 
-## 开发与贡献
-[![OctoCounts](https://api.octocounts.com/badge/v587d/capital-generation/branch/master)](https://octocounts.com/github/v587d/capital-generation/tree/master)
+## 开发与贡献 
 普通用户不需要执行下面的命令。修改源码时请参考 [贡献指南](CONTRIBUTING.md) 和 [开发约定](AGENTS.md)：
 
+[![OctoCounts](https://api.octocounts.com/badge/v587d/capital-generation/branch/master)](https://octocounts.com/github/v587d/capital-generation/tree/master)
+
 ```bash
 npm install
 npm run build       # 构建 lib/ 和浏览器端资源
@@ -178,8 +179,8 @@ npm run smoke:boot  # 检查插件装配
 
 ## 致谢
 
-- 「精选 Skills」的研究流程按固定 commit **快照收录**自 [finterm-ai/investment-skills](https://github.com/finterm-ai/investment-skills)、[spikeHongg/china-stock-research-skills](https://github.com/spikeHongg/china-stock-research-skills) 与 [yennanliu/InvestSkill](https://github.com/yennanliu/InvestSkill)（均 MIT License）。
-- 会话里的可交互图表由 [TradingView Lightweight Charts](https://github.com/tradingview/lightweight-charts)（Apache-2.0）渲染。
-- 行情、财务、公告与网页材料来自同花顺 Fuyao、Wind Alice、AnySearch、PaddleOCR 以及东方财富、腾讯等公开或申请制接口；数据版权归各服务方，额度与条款以服务方为准，本项目不重新分发原始数据。
+- 「精选 Skills」的研究与交易过程模块按固定 commit **快照收录**自 [finterm-ai/investment-skills](https://github.com/finterm-ai/investment-skills)、[spikeHongg/china-stock-research-skills](https://github.com/spikeHongg/china-stock-research-skills)、[yennanliu/InvestSkill](https://github.com/yennanliu/InvestSkill)、[DjNero11/peter-lynch-skill](https://github.com/DjNero11/peter-lynch-skill)、[marian2js/trading-skills](https://github.com/marian2js/trading-skills)（这五份均 MIT License）与 [jwangkun/claude-for-financial-services-cn](https://github.com/jwangkun/claude-for-financial-services-cn)（Apache-2.0，它自己又基于 [anthropics/claude-for-financial-services](https://github.com/anthropics/claude-for-financial-services) 适配 A 股）。
+- 会话里的可交互图表由 [TradingView Lightweight Charts](https://github.com/tradingview/lightweight-charts)（Apache-2.0）渲染，图上保留它自带的归属标识。
+- 行情、财务、公告与网页材料来自四类需自备密钥的服务（同花顺 Fuyao、Wind Alice、AnySearch、PaddleOCR）与一批公开口径的来源（东方财富、腾讯、新浪、财联社、华尔街见闻、巨潮互动易、上证 e互动、同花顺公开站点）；数据版权归各服务方，额度与条款以服务方为准，本项目不重新分发原始数据。
 
-随包分发的第三方组件、版本与许可逐条列在 [第三方组件与许可](THIRD_PARTY_NOTICES.md)。
+第三方组件、版本与许可，以及宿主提供哪部分、构建期用什么、各服务的数据会出到哪些地方，逐条列在 [第三方组件与许可](THIRD_PARTY_NOTICES.md)。

package/THIRD_PARTY_NOTICES.md

@@ -1,53 +1,139 @@
 # 第三方组件与许可（Third-Party Notices）
 
-本文件集中列出 Capital Generation 随包分发或调用的第三方组件：项目名、作者、许可证与原始仓库。
-本文件随 npm 包一起发布。各组件的许可全文以仓库内文件为准（下表"许可文本"列给出位置）。
+本文件集中列出 Capital Generation 随包分发、随包调用、或只在构建期使用的第三方组件：项目名、作者、
+许可证、原始仓库，以及它在本插件里的位置。本文件随 npm 包一起发布；各组件的许可全文以仓库内文件为准
+（下表"许可文本"列给出位置）。**这份清单不是手抄的**：仓库回归测试会把这里点名的仓内路径拿去问一次
+真实打包器（写了却没发出去就红），也会按 catalog 现算核对首页的模块总数，所以它与装出去的包同步。
 
 ## 随包分发的代码与内容
 
-| 组件 | 作者 | 许可证 | 原始仓库 | 许可文本 | 用在哪里 |
-|---|---|---|---|---|---|
-| Lightweight Charts™ 5.2.1（standalone 构建） | TradingView | Apache-2.0 | <https://github.com/tradingview/lightweight-charts> | `lib/chart/vendor/LICENSE` | 插件内所有可交互图表的渲染层；`VERSION.json` 记有该构建的 sha256，归属标识（attribution logo）保持开启 |
-| Investment Skills Lexicon（`7235d34`，固定快照；仅改写路由段的一句前置条件与退路） | finterm.ai | MIT | <https://github.com/finterm-ai/investment-skills> | `selected-skills/investment-skills/LICENSE` | 「精选 Skills」中的 `buffett-investment-framework` |
-| China Stock Research Skills（`d49f1f3`，未修改的固定快照） | spikeHongg | MIT | <https://github.com/spikeHongg/china-stock-research-skills> | `selected-skills/china-stock-research-skills/LICENSE` | 「精选 Skills」中的 `financial-health`、`risk-warning-catalysts`、`valuation-investment-strategy`、`strategy-business-transition`、`industry-competition-moat`、`business-decomposition-order-quality` |
-| InvestSkill（`c3f2a17`，固定快照；补 `name` 字段 + 28 颗的取数口径改写，分析正文未改） | yennanliu | MIT | <https://github.com/yennanliu/InvestSkill> | `selected-skills/InvestSkill/LICENSE` | 「精选 Skills」中的 28 个美股模块（`fact-check`、`bear-case`、`10k-digest`、`stock-valuation`、`risk-stress-test`、`tax-lens` 等） |
-| Peter Lynch Research（`e0eaf58`，固定快照；套一层 skills 目录 + 取数口径改写，方法论、预算与输出模板未改） | Szymon Nycz（仓库账号 `DjNero11`） | MIT | <https://github.com/DjNero11/peter-lynch-skill> | `selected-skills/peter-lynch-skill/LICENSE` | 「精选 Skills」中的 `peter-lynch-skill`（个股快筛与尽调工作流，美股与境外上市口径） |
-
-四份 Skill 快照的收录方式、上游 commit、维护状态与排除项逐条记在各自的 `UPSTREAM.md` 里；它们**默认全部关闭**，
-只在使用者于配置页显式开启后才对新建的 Capital 会话可见，上游自带的脚本一律不作为可执行面引入。
-上游自带的编排、报告与出图 skill 不进入可选清单（六颗仍留在快照里作为可审查材料）：前者与本插件既有的角色
-路由冲突，后两者与已删除的报告交付链路、以及"出图只走 `render_chart`"的约定冲突。
-
-**三处对上游正文的改写都是合规改写，不是编辑**：上游 skill 写给"什么工具都在手边"的宿主，成规模地要求
-分析角色自己去 `web search` 取实时行情；前两份还留着"取不到就凭印象估一个"的逃生口，最新这份没有这个
-逃生口，但取数归属同样要改。本插件的取数只有一个入口（交给负责取数的
-角色），而"用记忆里的数字继续分析"没有任何工具会拦，所以只能改在正文里。
+| 组件 | 作者 | 许可证 | 原始仓库 | 许可文本 | 可选模块 / 快照内共 | 用在哪里 |
+|---|---|---|---|---|---|---|
+| Lightweight Charts™ 5.2.1（standalone 构建） | TradingView | Apache-2.0 | <https://github.com/tradingview/lightweight-charts> | `lib/chart/vendor/LICENSE` | — | 插件内所有可交互图表的渲染层；`VERSION.json` 记有该构建的 sha256，归属标识（attribution logo）保持开启，出图产物页脚打印版本与许可。同一份副本又被 tree-shake 链接进图表卡片的客户端 bundle，那份里不再单独带许可文件——以 vendor 目录这份为准 |
+| Investment Skills Lexicon（`7235d34`，固定快照；仅改写路由段的一句前置条件与退路） | finterm.ai | MIT | <https://github.com/finterm-ai/investment-skills> | `selected-skills/investment-skills/LICENSE` | 1 / 1 | 「精选 Skills」中的 `buffett-investment-framework` |
+| China Stock Research Skills（`d49f1f3`，未修改的固定快照） | spikeHongg | MIT | <https://github.com/spikeHongg/china-stock-research-skills> | `selected-skills/china-stock-research-skills/LICENSE` | 6 / 7 | 「精选 Skills」中的六颗 A 股模块：`financial-health`、`risk-warning-catalysts`、`valuation-investment-strategy`、`strategy-business-transition`、`industry-competition-moat`、`business-decomposition-order-quality`；快照内的 orchestrator 不开放（与本插件的角色路由冲突） |
+| InvestSkill（`c3f2a17`，固定快照；补 `name` 字段 + 28 颗的取数口径改写，分析正文未改） | yennanliu | MIT | <https://github.com/yennanliu/InvestSkill> | `selected-skills/InvestSkill/LICENSE` | 28 / 34 | 「精选 Skills」中的 28 个美股模块（`fact-check`、`bear-case`、`10k-digest`、`stock-valuation`、`risk-stress-test`、`tax-lens` 等）；另六颗（编排、报告输出口、自带出图、三颗 alias 残片）留在快照里作为可审查材料 |
+| Peter Lynch Research（`e0eaf58`，固定快照；套一层 skills 目录 + 取数口径改写，方法论、预算与输出模板未改） | Szymon Nycz（仓库账号 `DjNero11`） | MIT | <https://github.com/DjNero11/peter-lynch-skill> | `selected-skills/peter-lynch-skill/LICENSE` | 1 / 1 | 「精选 Skills」中的 `peter-lynch-skill`（个股快筛与尽调工作流，美股与境外上市口径） |
+| Trading Skills（`f1ae7d4`，固定快照；平铺掉上游的主题分组 + 取数与计算口径改写，判定档位、阈值与分析结论未改） | marian2js | MIT | <https://github.com/marian2js/trading-skills> | `selected-skills/trading-skills/LICENSE` | 9 / 19 | 「精选 Skills」中的 9 颗交易过程模块（`catalyst-map`、`watchlist-review`、`evidence-gap-check`、`thesis-validation`、`risk-reward-sanity-check`、`execution-plan-check`、`portfolio-concentration`、`journal-pattern-analyzer`、`post-trade-review`）；券商执行面那颗不进发布包，其余排除项留在快照里作为材料 |
+| Claude for Financial Services CN（`d7585ca`，固定快照；改写 9 颗正文的取数层与出图口径，判定档位、报告骨架与分析结论未改） | jwangkun（`LICENSE` 的署名行还带着没去掉的方括号，六份 plugin manifest 另署 `Anthropic FSI China`；上游自称基于 Anthropic 官方仓库适配 A 股） | **Apache-2.0** | <https://github.com/jwangkun/claude-for-financial-services-cn> | `selected-skills/claude-for-financial-services-cn/LICENSE` | 9 / 63 | 「精选 Skills」中的 9 颗 A 股卖方研究模块（`china-earnings-analysis`、`china-earnings-preview`、`china-comps-analysis`、`china-dcf`、`china-sector-overview`、`china-catalyst-calendar`、`china-break-trace`、`china-variance-commentary`、`china-initiating-coverage`）；正文本身就是取数目录的那颗、元技能与 alias 残片、给买卖方向与仓位的四颗、以及要求产出或读取工作簿与 deck 的十一颗都不开放；四份可运行的取数服务端不进发布包 |
+
+六份快照合计 **54 个可选模块**（快照里共有 125 颗 skill，差额逐颗记在各自的 `UPSTREAM.md` 里）。
+首页「精选 Skills」那句里的两个数字与此同源，由回归测试按 catalog 现算钉住。
+它们的收录方式、上游 commit、维护状态与逐颗排除理由记在各自的 `UPSTREAM.md` 里，并且**默认全部关闭**，
+只在使用者于配置页显式开启后才对新建的 Capital 会话可见。
+上游自带的编排、报告与出图 skill 不进入可选清单（InvestSkill 的六颗、Trading Skills 的九颗与这第六颗的 54 颗
+仍留在快照里作为可审查材料）：前者与本插件既有的角色路由冲突，后两者与已删除的报告交付链路、
+以及"出图只走 `render_chart`"的约定冲突。
+Trading Skills 另外排除的几类走的是同一批约定：券商 API 执行面（在对话里采集凭据、真实下单）不进可选清单、
+也不进发布包；给仓位数字与持仓加减动作的模块按「买卖动作与仓位决策属于明确冲突」的既有口径排除；
+把取数写死成"向用户点选付费服务商再自己调接口"的三颗不收录，本插件没有那些服务商的凭据，密钥只进凭据域。
+第六颗排除得更多，因为它的取数层是**全量**的：63 份正文每一份都自带一节三档服务商阶梯
+（含密钥申请去处与一个用环境变量决定"用哪家"的开关）、一段看起来能跑的伪调用，以及把服务商名写死的引用格式。
+其中 `china-market-data` 整颗就是那份服务商工具目录，收录它等于在本插件既有的取数协议之外再造一条取数路由；
+四份配套的服务端脚本（万得 / 同花顺 / AkShare / 新闻）与本插件不发布券商执行面是同一条线，连发布包都不进。
+
+**五处对上游正文的改写都是合规改写，不是编辑**：上游 skill 写给"什么工具都在手边"的宿主——前三份成规模地要求
+分析角色自己去 `web search` 取实时行情，其中两份还留着"取不到就凭印象估一个"的逃生口；第五份一次 `web search`
+都没写，但伸手取数换了形态：`curl` 付费服务商的接口、认领对话里给过的 API 凭据，以及"能跑代码的宿主就去用共享
+python 模块"；第六颗（本颗）把形态摊成全量：每份正文自带一节按付费程度排开的数据服务商阶梯、一个决定"这次用哪家"
+的环境变量开关、一段看起来能跑的取数伪调用，并把服务商名写死在引用格式里。本插件的取数只有一个入口
+（交给负责取数的角色），统计量交给数据侧，凭据不进对话，
+而"用记忆里的数字继续分析"没有任何工具会拦，所以只能改在正文里。
+本颗改写后的正文另要如实说一句：**一致预期那一类字段本插件取不到**（本插件的结构化数据面没有盈利预测条目），
+所以差异与情景只能写在公司自己披露的区间、历史与使用者自己的先前口径上，并标明是哪一种基线。
 改了什么、影响几篇，逐条记在对应快照的 `UPSTREAM.md`；改写结果由仓库自带的回归测试逐条复查。
 方法论、评分表、输出模板与分析结论一字未改。
 
+**本颗是六份里唯一的 Apache-2.0 快照**（其余五份为 MIT），许可义务也因此多一条：Apache-2.0 第 4 条 (b) 款要求
+"修改过的文件本身带上显著声明"，而不只是在他处说明。所以被改写的那 9 份正文在标题下各留了一句可见的改动声明，
+点名所钉 commit 并指回该快照的 `UPSTREAM.md`；与上游逐字节相同的 54 份不带这一行。上游没有 `NOTICE` 文件，
+因此随包保留 `LICENSE` 原件与这份清单即可。
+
+## 随包发布的是什么
+
+每份快照在 npm 包里只带**运行时正文与溯源**：那颗 skill 的 `SKILL.md` 与其附属文件、`LICENSE` 原件、
+以及本仓写的 `UPSTREAM.md`。上游仓库的其他材料（README 及其变体、它自己的 CI 与 workflow、静态站与成图、
+roadmap 与贡献指南、站点体检记录、给别的宿主用的接线配置）由该快照目录里的 `.npmignore` 挡在包外——
+那份文件是排除口径的唯一声明处，回归测试逐颗读它并拿发布清单反查（目录规则与文件规则两类都问）。
+全量快照完整住在 git，`github:` 安装与"当时是哪个 commit"的复核都不受影响。
+
+上游自带的可执行面文件（`framework.py`、`install.sh`、`Makefile`、`openai.yaml`）**照旧随包保留作为可审查材料**：
+本插件的根角色没有 shell，provider 与工具面只读取文档、从不执行它们，正文里也不许出现"跑这个脚本"的指令
+（有方法论入口的那颗同时写明了没有 shell 时直接读哪份附属文件）。不进可选清单的 skill 同样随包保留，
+但运行时读不到：技能注册的名单与原文旁路的文件名都是按可选清单现算的闭集。
+第六颗有一个例外走的是执行面那条线：它自带的四份取数服务端（能连付费数据接口、带密钥配置形态）
+**不进发布包**，与本插件不发布券商下单接口同一口径；全量仍完整住在 git。
+
 ## npm 运行时依赖
 
-| 包 | 版本 | 许可证 | 用途 |
+| 包 | 声明版本 | 许可证 | 用途 |
 |---|---|---|---|
-| `@deepseek-ai/schemastery` | 3.18.4 | MIT | 工具参数的 JSON Schema 构造 |
-| `zod` | 4.5.4 | MIT | 配置与持久化结构的校验 |
-| `turndown` | 7.2.4 | MIT | 网页材料 HTML → Markdown |
-| `@joplin/turndown-plugin-gfm` | 1.0.68 | MIT | 同上，表格等 GFM 扩展 |
+| `@deepseek-ai/schemastery` | ^3.18.4 | MIT | 工具参数的 JSON Schema 构造 |
+| `zod` | ^4.5.4 | MIT | 配置与持久化结构的校验 |
+| `turndown` | ^7.2.4 | MIT | 网页材料 HTML → Markdown |
+| `@joplin/turndown-plugin-gfm` | ^1.0.68 | MIT | 同上，表格等 GFM 扩展 |
+
+图表 UI、设置卡片与自选股这三个随包携带的嵌套包复用同一批运行时依赖（前者不带依赖，
+后两者分别只用 schemastery 与 zod），不各带一份副本。
+
+**这张表列的是本插件直接声明的运行时依赖**。它们从 npm registry 拉取的传递依赖不在此逐条列名——那些包的
+许可由各自作者在其包内声明，安装时随各包自带的 `LICENSE` 走。需要点名的一处：`turndown` 带一个
+**BSD-2-Clause** 的传递依赖 `@mixmark-io/domino`（2.2.0，版权行是 The Mozilla Foundation），
+它是本插件依赖树里唯一非 MIT 的传递依赖，其版权声明与免责条款随该包原文保留。
 
 ## 由宿主提供、不随本包分发
 
 `@deepseek-ai/cordis`（`^4.0.2`）、`@deepseek-ai/dsh-skill` 与 `@deepseek-ai/dsh-skill-filesystem`
-（均 `0.2.0-rc.2`）由 DSH 宿主提供，本插件只声明依赖。宿主的许可见 <https://github.com/deepseek-ai>。
+（均 `0.2.0-rc.2`）由 DSH 宿主提供，本插件只声明依赖。
+
+三个客户端 bundle 在构建时把宿主已有的模块留成 external，**三个并不完全相同**（以各自构建脚本为准）：
+图表卡片只留 `react` 与 react 的 jsx-runtime 入口，设置卡片另留 `react-dom`、
+`@deepseek-ai/dsh-client-store` 与 `@deepseek-ai/dsh-client-ui-primitives`，自选股卡片留
+`react`、react 的 jsx-runtime 入口与后两者。留出来的东西本插件既不打进去也不声明，运行时由宿主页面提供。
+
+三个客户端还引用一组**由宿主在运行时注入**的界面模块（`@deepseek-ai/dsh-client-ui-conversation`、
+`-locale`、`-ui-settings`、`-plugin-manager`、`-api-remotes`、`-api-session-controller`、`-ui-commands`）：
+它们既不在本插件的依赖声明里，也不在 external 清单里，只在宿主注入的上下文里存在。宿主的许可见
+<https://github.com/deepseek-ai>。
+
+## 构建期使用、不随包分发
+
+| 包 | 声明版本 | 许可证 | 构建期用途 |
+|---|---|---|---|
+| `typescript` | ^5.0.0（实测 5.9.3） | Apache-2.0 | 把仓内 TypeScript 源码编译为随包发布的 lib 产物 |
+| `esbuild` | ^0.28.2 | MIT | 打三个客户端 bundle；上面留成 external 的那些就是它分出来的 |
+| `js-yaml` | ^5.4.1 | MIT | 解析与校验 preset 的 patch 声明 |
+| `lightweight-charts` | 5.2.1 | Apache-2.0 | 构建期把 standalone 副本 vendored 进 lib/chart/vendor 目录，随包发布的是那份副本（见上表） |
+| `@deepseek-ai/dsh-system-prompt` | ^0.2.0-rc.2 | MIT | 只用它的类型面（一处 `import type`），编译产物里不留引用 |
 
 ## 外部数据与检索服务
 
-以下服务由使用者自备密钥调用，**不是代码依赖，也不受上表许可约束**；接口条款、额度与数据版权归各服务方所有：
-同花顺 Fuyao 结构化数据接口、Wind Alice 金融信披文档检索、AnySearch 网页搜索与提取、
-PaddleOCR 文档解析，以及东方财富、腾讯的公开行情接口与若干具名公开来源。
+以下服务**不是代码依赖，也不受上表许可约束**；接口条款、额度与数据版权归各服务方所有。分两组列全：
+
+**需要使用者自备密钥的四项**（对应首页「数据源」那四格，密钥一律只进宿主的凭据域）：
+
+- **同花顺 Fuyao** —— 结构化数据：行情、财务、基金与指数，以及自选股报价。
+- **Wind Alice** —— 三个能力面：公告与新闻等信披文档检索、宏观 / 行业 / 汇率等指标（EDB）、按日期区间取的
+  历史 K 线；它在代码里还声明了几个未接入的端点，本插件不调用。按次消耗你在服务方的额度。
+- **AnySearch** —— 网页搜索与正文提取。
+- **PaddleOCR（百度 AIStudio）** —— PDF 与图片的文字解析。注意解析结果不是从作业接口直接返回的：
+  本插件按服务方给的**预签名地址**到它的对象存储主机取回结果（与提交作业的不是同一台主机），
+  取回后只落在使用者本机。
+
+**公开口径的来源**（无需密钥，但同样受各服务方的条款与数据版权约束）：东方财富（宏观与个股数据、公告与
+研报列表、7×24 快讯与新闻）、腾讯（公开行情与历史 K 线、代码检索）、新浪（研报列表）、财联社（电报）、
+华尔街见闻（直播与快讯）、巨潮互动易（深市投资者问答）、上证 e互动（沪市投资者问答）、以及同花顺公开站点
+（每股收益预测等公开口径）。
+
 本插件不重新分发这些服务的原始数据，图表与结论所依据的数据集只保存在使用者本机，默认保留 7 天。
+本插件也不接入券商接口：可选清单里没有任何下单、改单或读取账户的能力。
 
 ## 本插件自身
 
 Capital Generation 的原创代码与文档以 MIT 许可发布，见仓库根的 `LICENSE`。
-本文件不构成对任何第三方项目、数据源或其观点的背书；四份 Skill 快照里的方法论与结论属于原作者，
-使用前请自行复核来源，尤其不要把按美股语境写的框架直接当作 A 股规则。
+本文件不构成对任何第三方项目、数据源或其观点的背书；六份 Skill 快照里的方法论与结论属于原作者，
+使用前请自行复核来源，尤其不要把按美股语境写的框架直接当作 A 股规则——反过来也一样，
+第六份是按中国大陆卖方与机构研究惯例（中金 / 中信 / 华泰体例、申万与中信行业分类、CAS 科目、涨跌停与北向资金）写的，
+不能当作境外市场的口径。
+交易过程类的模块（第五份）提供的是下单前的检查与下单后的复盘方法，本插件不据它们下单、不改单，也不给仓位数字；
+第六份的报告模板以投资评级与目标价收尾，那一套属于推演练习，本插件明确不提供投资评级、目标价与仓位建议。