@wdyy/skills 0.1.23 → 0.1.24

package/.well-known/skills/index.json

@@ -2,7 +2,7 @@
   "skills": [
     {
       "name": "wdyy-database-standard",
-      "description": "将已确认的 PRD 与 DDL 转为 PostgreSQL 18 无外键逻辑关联设计，约束业务域表名前缀、自增主键 {前缀}_id、统一状态字段 {前缀}_status、timestamp(0) 时间类型、字段可空策略、注释、幂等、审计与向前兼容。Use when 审查 DDL、建立 V001 基线、增加后续迁移或验证生产数据库兼容性时。",
+      "description": "将已确认的 PRD 与 DDL 转为原则上符合第三范式（3NF）的 PostgreSQL 18 无外键逻辑关联设计；反范式例外须记录依据与一致性策略并经人工确认。约束业务域表名前缀、自增主键 {前缀}_id、统一状态字段 {前缀}_status、timestamp(0) 时间类型、字段可空策略、注释、幂等、审计与向前兼容。Use when 审查 DDL、设计表结构、建立 V001 基线、增加后续迁移或验证生产数据库兼容性时。",
       "files": ["SKILL.md", "agents/openai.yaml", "reference/database-rules.md", "scripts/apply-migrations.sh", "scripts/apply-migrations.test.mjs", "scripts/validate-migration-layout.mjs", "scripts/validate-migration-layout.test.mjs", "scripts/validate-table-design.mjs", "scripts/validate-table-design.test.mjs", "templates/table-design.template.md"]
     },
     {
@@ -17,8 +17,8 @@
     },
     {
       "name": "wdyy-logging-standard",
-      "description": "为 NestJS 和 Vue 项目实现仅写入项目根目录 ./logs 的结构化 JSON 日志、前端异常上报、traceId 传递、完整原始入参与 2MB 文件轮转。Use when 编写日志、错误处理、接口日志或审查生产可观测性时。",
-      "files": ["SKILL.md", "agents/openai.yaml", "reference/logging-rules.md", "scripts/validate-log-entry.mjs", "scripts/validate-log-entry.test.mjs", "templates/frontend-error-report.template.ts", "templates/logger.template.ts"]
+      "description": "为 NestJS 和 Vue 项目实现固定写入项目根目录 ./logs 的访问、应用、安全与审计 JSON 日志，记录来源 IP、时间、业务功能、操作主体与结果，并提供 W3C trace、敏感字段净化、前端异常上报、2MB 轮转、哈希链及可执行校验。Use when 编写或审查日志、错误处理、请求追踪、安全访问记录、安全事件、审计溯源及生产可观测性时。",
+      "files": ["SKILL.md", "agents/openai.yaml", "reference/logging-rules.md", "scripts/validate-log-entry.mjs", "scripts/validate-log-entry.test.mjs", "templates/frontend-error-report.template.ts", "templates/logger.template.ts", "templates/nestjs-http-logging.middleware.template.ts", "templates/security-audit-logger.template.ts"]
     },
     {
       "name": "wdyy-ui",

package/.well-known/skills/wdyy-database-standard/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: wdyy-database-standard
-description: 将已确认的 PRD 与 DDL 转为 PostgreSQL 18 无外键逻辑关联设计，约束业务域表名前缀、自增主键 {前缀}_id、统一状态字段 {前缀}_status、timestamp(0) 时间类型、字段可空策略、注释、幂等、审计与向前兼容。Use when 审查 DDL、建立 V001 基线、增加后续迁移或验证生产数据库兼容性时。
+description: 将已确认的 PRD 与 DDL 转为原则上符合第三范式（3NF）的 PostgreSQL 18 无外键逻辑关联设计；反范式例外须记录依据与一致性策略并经人工确认。约束业务域表名前缀、自增主键 {前缀}_id、统一状态字段 {前缀}_status、timestamp(0) 时间类型、字段可空策略、注释、幂等、审计与向前兼容。Use when 审查 DDL、设计表结构、建立 V001 基线、增加后续迁移或验证生产数据库兼容性时。
 ---
 
 # 企业数据库规范
@@ -26,13 +26,14 @@ description: 将已确认的 PRD 与 DDL 转为 PostgreSQL 18 无外键逻辑关
 ## 执行步骤
 
 1. 确认 PRD 与 DDL 已通过就绪检查，识别实体、聚合关系、状态机、唯一约束、幂等键和审计责任人。
-2. 为每个表设计小写下划线名称，表名必须添加业务域英文简写前缀（见业务域前缀映射表）；若业务实体无对应前缀，须提示用户并给出建议，不得自行决定。首字段固定为 `{业务域前缀}_id`，类型使用自增主键，不得使用 `uuid`；所有时间类型字段统一使用 `timestamp(0)`；统一状态字段 `{业务域前缀}_status`（varchar(1)，默认空值，仅使用 `e` 表示启用、`d` 表示停用）。除 `created_at`、`updated_at` 和主键外，所有字段默认允许空值，`deleted_flag` 默认为空。
-3. 建立逻辑关联和必要索引，不创建数据库外键；明确每个枚举、默认值和字段业务含义。
-4. 为每张表编写表注释，为每个字段编写字段注释；迁移 SQL 必须包含 `COMMENT ON TABLE` 与 `COMMENT ON COLUMN`。
-5. 新项目将工程师确认的完整 DDL 固化为 `database/migrations/V001__baseline.sql`；后续变更只新增连续编号的 `VNNN__lower_snake_name.sql`，不得修改已执行文件。
-6. 使用原生 `psql` 和 `schema_migrations` 记录表执行迁移；每个迁移由执行器包裹在同一事务中并记录校验值。
-7. 为接口写操作定义幂等与并发处理策略，并审查新旧后端并存、应用回滚和历史数据兼容性。
-8. 运行 `scripts/validate-table-design.mjs` 和 `scripts/validate-migration-layout.mjs`。
+2. 为每个表评估第三范式（3NF），识别重复数据、部分依赖和传递依赖，并在表设计说明中记录结论。确需反范式设计时，先记录业务或性能依据、冗余数据权威来源、一致性维护策略、影响和验证方案；未取得工程师明确人工确认前，不得生成或执行相关 DDL。
+3. 为每个表设计小写下划线名称，表名必须添加业务域英文简写前缀（见业务域前缀映射表）；若业务实体无对应前缀，须提示用户并给出建议，不得自行决定。首字段固定为 `{业务域前缀}_id`，类型使用自增主键，不得使用 `uuid`；所有时间类型字段统一使用 `timestamp(0)`；统一状态字段 `{业务域前缀}_status`（varchar(1)，默认空值，仅使用 `e` 表示启用、`d` 表示停用）。除 `created_at`、`updated_at` 和主键外，所有字段默认允许空值，`deleted_flag` 默认为空。
+4. 建立逻辑关联和必要索引，不创建数据库外键；明确每个枚举、默认值和字段业务含义。
+5. 为每张表编写表注释，为每个字段编写字段注释；迁移 SQL 必须包含 `COMMENT ON TABLE` 与 `COMMENT ON COLUMN`。
+6. 新项目将工程师确认的完整 DDL 固化为 `database/migrations/V001__baseline.sql`；后续变更只新增连续编号的 `VNNN__lower_snake_name.sql`，不得修改已执行文件。
+7. 使用原生 `psql` 和 `schema_migrations` 记录表执行迁移；每个迁移由执行器包裹在同一事务中并记录校验值。
+8. 为接口写操作定义幂等与并发处理策略，并审查新旧后端并存、应用回滚和历史数据兼容性。
+9. 运行 `scripts/validate-table-design.mjs` 和 `scripts/validate-migration-layout.mjs`。
 
 ## 禁止事项
 
@@ -45,6 +46,7 @@ description: 将已确认的 PRD 与 DDL 转为 PostgreSQL 18 无外键逻辑关
 - 不得创建不带业务域前缀的业务表（除非确认为非业务表并已说明理由）。
 - 不得将任何字段设为 NOT NULL（主键、`created_at`、`updated_at` 除外），所有字段默认允许空值。
 - 时间类型字段不得使用 `timestamptz` 或无精度 `timestamp`，统一使用 `timestamp(0)`。
+- 不得在未记录例外材料并取得工程师明确人工确认的情况下，生成或执行不符合 3NF 的设计 DDL。
 
 ## Red Flags
 
@@ -53,6 +55,7 @@ description: 将已确认的 PRD 与 DDL 转为 PostgreSQL 18 无外键逻辑关
 - 表名缺少业务域前缀。
 - 时间类型字段使用 `timestamptz` 或无精度 `timestamp`。
 - 发布迁移删除字段或改变旧字段语义。
+- 重复存储、派生字段、部分依赖或传递依赖没有 3NF 评估，或反范式例外缺少工程师确认。
 
 ## Verification
 
@@ -62,6 +65,7 @@ description: 将已确认的 PRD 与 DDL 转为 PostgreSQL 18 无外键逻辑关
 - [ ] `{前缀}_status` 字段类型为 varchar(1)，默认空值，仅使用 `e`（启用）或 `d`（停用）。
 - [ ] 除主键、`created_at`、`updated_at` 外，所有字段默认允许空值，`deleted_flag` 默认为 NULL。
 - [ ] 所有时间类型字段均使用 `timestamp(0)`，未出现 `timestamptz`。
+- [ ] 每张表均记录 3NF 评估结论；反范式例外已记录理由、权威来源、一致性维护策略、影响、验证方案和工程师确认结果，未确认的例外未进入 DDL 实施。
 - [ ] 每张表的字段、类型、必填、默认值、索引、唯一约束、逻辑关联和枚举均有说明。
 - [ ] 表尾固定字段顺序符合要求，逻辑关联无外键。
 - [ ] 写路径具有幂等与状态流转测试。

package/.well-known/skills/wdyy-database-standard/reference/database-rules.md

@@ -51,6 +51,13 @@
 - 使用逻辑关联和应用层校验，不建立外键。
 - 写接口应说明唯一约束、幂等键与状态迁移条件。
 
+## 规范化与反范式例外
+
+- 数据库设计原则上符合第三范式（3NF）：评估重复数据、部分依赖和传递依赖，使每项可独立维护的事实仅由其业务主键决定。
+- 每张表设计说明必须记录 3NF 评估结论。符合 3NF 时，反范式例外项明确标记为不适用。
+- 确需反范式时，设计说明必须记录业务或性能依据、冗余数据权威来源、一致性维护策略、影响和验证方案，并在生成或执行相关 DDL 前取得工程师明确人工确认。
+- 未完整记录例外材料或未取得确认时，保持 DDL 实施阻塞；不得以默认值、推测或静默跳过替代人工决定。
+
 ## 注释
 
 - 每张表必须有表注释，每个字段必须有字段注释；迁移 SQL 必须包含 `COMMENT ON TABLE` 与 `COMMENT ON COLUMN`。

package/.well-known/skills/wdyy-database-standard/scripts/validate-table-design.mjs

@@ -14,6 +14,13 @@ const required = [
   'COMMENT ON TABLE',
   'COMMENT ON COLUMN',
   '自增',
+  '- 3NF 评估结论：',
+  '- 反范式例外理由：',
+  '- 冗余数据权威来源：',
+  '- 一致性维护策略：',
+  '- 影响：',
+  '- 验证方案：',
+  '- 反范式例外确认：',
 ];
 const missing = required.filter((text) => !content.includes(text));
 if (missing.length) throw new Error(`Missing table design requirements: ${missing.join(', ')}`);

package/.well-known/skills/wdyy-database-standard/scripts/validate-table-design.test.mjs

@@ -39,3 +39,27 @@ test('拒绝非 varchar(1) 或未声明 e/d 的状态字段', async () => {
     },
   );
 });
+
+test('拒绝缺少 3NF 评估记录的表设计', async () => {
+  await withDesign(
+    (content) => content.replace('- 3NF 评估结论：符合 3NF / 反范式例外候选\n', ''),
+    async (designPath) => {
+      await assert.rejects(
+        execFile('node', [script.pathname, designPath]),
+        /3NF 评估结论/,
+      );
+    },
+  );
+});
+
+test('拒绝缺少反范式例外确认记录的表设计', async () => {
+  await withDesign(
+    (content) => content.replace('- 反范式例外确认：符合 3NF 时填写“不适用；符合 3NF”；例外时记录工程师明确确认结果。\n', ''),
+    async (designPath) => {
+      await assert.rejects(
+        execFile('node', [script.pathname, designPath]),
+        /反范式例外确认/,
+      );
+    },
+  );
+});

package/.well-known/skills/wdyy-database-standard/templates/table-design.template.md

@@ -12,6 +12,17 @@
 - 状态流转：
 - 幂等键：
 
+## 3NF 评估与反范式例外确认
+
+- 3NF 评估结论：符合 3NF / 反范式例外候选
+- 重复数据、部分依赖和传递依赖评估：
+- 反范式例外理由：符合 3NF 时填写“不适用”；例外时填写业务或性能依据。
+- 冗余数据权威来源：符合 3NF 时填写“不适用”；例外时说明唯一权威来源。
+- 一致性维护策略：符合 3NF 时填写“不适用”；例外时说明写入、同步和校验责任。
+- 影响：符合 3NF 时填写“不适用”；例外时说明数据、性能、回滚和兼容性影响。
+- 验证方案：符合 3NF 时填写“不适用”；例外时说明一致性与回归验证。
+- 反范式例外确认：符合 3NF 时填写“不适用；符合 3NF”；例外时记录工程师明确确认结果。
+
 ## 字段
 
 | 顺序 | 字段 | 类型 | 必填 | 默认值 | 说明 | 字段注释/COMMENT | 索引/唯一约束 |

package/.well-known/skills/wdyy-logging-standard/SKILL.md

@@ -1,64 +1,52 @@
 ---
 name: wdyy-logging-standard
-description: 为 NestJS 和 Vue 项目实现仅写入项目根目录 ./logs 的结构化 JSON 日志、前端异常上报、traceId 传递、完整原始入参与 2MB 文件轮转。Use when 编写日志、错误处理、接口日志或审查生产可观测性时。
+description: 为 NestJS 和 Vue 项目实现固定写入项目根目录 ./logs 的访问、应用、安全与审计 JSON 日志，记录来源 IP、时间、业务功能、操作主体与结果，并提供 W3C trace、敏感字段净化、前端异常上报、2MB 轮转、哈希链及可执行校验。Use when 编写或审查日志、错误处理、请求追踪、安全访问记录、安全事件、审计溯源及生产可观测性时。
 ---
 
-# 企业日志规范
+# 企业安全日志与溯源规范
 
 ## Overview
 
-建立可追踪、可轮转的结构化日志，以支撑运行时排障并保留完整原始上下文。
+建立可追踪、可审计、可验证完整性的结构化日志。净化秘密和敏感个人信息后，保留其余完整业务参数结构。
 
-## When to Use
+## 输入与确认项
 
-- 编写业务日志、错误处理、接口中间件或进行可观测性审查时。
-
-## 协作边界
-
-日志实现必须纳入可观测性、实现计划和测试验证，不能降低 RED 指标、追踪或告警要求。
-
-## 输入与输出
-
-- 输入：服务名、进程实例标识、环境和请求上下文；应用从项目根目录启动。
-- 输出：统一 logger、前端异常上报客户端、HTTP 日志中间件、日志文件命名规则和日志验证结果。
-- 使用 [日志规则](reference/logging-rules.md) 和 [logger 模板](templates/logger.template.ts)。
+- 输入：服务名、实例标识、环境、HTTP 与业务上下文，以及经工程师确认的业务功能目录；应用从项目根目录启动。
+- 实施前由工程师确认：项目特有敏感字段、可信代理链、业务功能编码与名称、动作、审计主体映射、留存责任人，以及外部不可变副本的平台与接入参数。
+- 未确认外部平台、地址、凭据时保持 `待确认`，不得虚构已接入、已备份或合规达标。
 
 ## 执行步骤
 
-1. 定义 `timestamp`、`level`、`service`、`instanceId`、`env`、`traceId`、`userId`、`method`、`path`、`query`、`body`、`response`、`statusCode`、`result`、`durationMs`、`errorCode`、`message`、`params` 的最小 JSON 契约。`timestamp` 必须为服务器本地时间 `YYYY-MM-DD HH:mm:ss`，精确到秒。
-2. 在入口生成或透传 traceId；在内部 REST 调用中继续传递。Vue 的 Axios 请求拦截器生成 `x-trace-id` 时，优先调用 `crypto.randomUUID()`；HTTP IP 等非安全上下文中该 API 不可用时，必须降级为“时间戳 + 随机数”生成的非空 traceId，且生成过程不得抛异常或阻断任何请求（包括登录）。可复用实现见 [前端异常上报模板](templates/frontend-error-report.template.ts)。
-3. 统一封装 logger；业务代码不得直接使用 `console.log`。
-4. HTTP 请求日志记录完整的原始 `query`（查询参数）和 `body`（请求体）；授权请求可记录实际用户、模式、表和权限等入参。服务端返回成功时记录 `result: success`；返回失败时记录 `result: failure`，并在 `response` 中记录完整失败内容。HTTP `statusCode` 为 100–399 时为成功，400–599 时为失败。
-5. 日志不执行脱敏、数组截断或大对象裁剪；`body` 必须保留完整原始入参。
-6. Vue 捕获未处理异常和 Promise 拒绝并上报后端；浏览器不得尝试写服务器文件。
-7. 后端只在项目根目录创建 `./logs`，并直接按 `./logs/yyyy-mm-dd_hh24-mm-ss.log` 写入；不得读取 `LOG_DIR`、`HOST_LOG_DIR` 或其他目录配置，不得在 `logs` 中创建任何子目录。使用排他创建避免并发覆盖；同一秒发生冲突时依次使用 `_1`、`_2` 等递增后缀。最新文件超过 2MB 时仍在 `./logs` 创建新文件，既有文件不得移动、重命名或覆盖。
+1. 阅读 [详细日志规则](reference/logging-rules.md)，确定四类日志及事件清单。
+2. 将 [后端 logger 模板](templates/logger.template.ts) 接入统一日志模块；业务代码不得直接使用 `console.log`。
+3. 建立显式业务功能目录，再将 [NestJS HTTP 中间件模板](templates/nestjs-http-logging.middleware.template.ts) 接入入口；每个 `method + route` 必须映射稳定的功能编码、名称和动作。
+4. 将 [安全审计模板](templates/security-audit-logger.template.ts) 接入认证、授权、权限变更、敏感数据导出和配置变更路径。
+5. 将 [前端异常模板](templates/frontend-error-report.template.ts) 接入 Axios、未处理异常和 Promise 拒绝。
+6. 写盘或上报前统一递归净化；必须删除凭据、令牌、Cookie、连接串、身份证件、银行卡、病历与健康数据字段，项目确认的附加字段一并删除。
+7. 进入本 Skill 目录，执行 `node --test scripts/validate-log-entry.test.mjs`，再运行目标项目的完整测试。
 
-## 禁止事项
+## 核心合同
 
-- 不得将 `message` 仅限制为 `success` 或 `error`。
-- 不得用 console 输出替代业务日志。
-- 不得将日志写入项目根目录 `./logs` 之外，或按服务、实例、日期等维度创建日志子目录。
+- `logType` 仅为 `access`、`application`、`security`、`audit`。
+- 通用字段包含 `timestamp`、`timestampEpochMs`、`timezone: +08:00`、`level`、`service`、`instanceId`、`env`、`logType`、`message`。
+- 访问日志还必须包含 `traceId`、`method`、`route`、`sourceIp`、`actorId`、`actorType`、`functionCode`、`functionName`、`action`、`statusCode`、`result`、`durationMs`。
+- 未认证请求使用 `actorId: anonymous` 与 `actorType: anonymous`；已认证主体仅记录不含直接身份信息的内部标识。
+- 安全与审计日志还必须包含事件、主体、动作、对象和结果；失败事件必须包含原因。请求触发时还必须包含同一 `traceId`、有效 `sourceIp`、`route`、`functionCode` 和 `functionName`。
+- 使用 W3C `traceparent`，兼容 `x-trace-id`；无效或全零上游值必须替换，不能阻断请求。
+- 仅写项目根目录 `./logs`，目录权限 `0700`、文件权限 `0600`，排他创建、串行追加、单文件 2MB 轮转并记录哈希链。
 
-## Red Flags
+## 禁止事项
 
-- 业务代码直接调用 console，或 `body` 未保留完整原始入参。
-- 请求日志缺失 traceId、状态码或耗时。
-- 前端仅调用 `crypto.randomUUID()`，使非安全 HTTP 上下文的请求在发送前失败。
-- 日志路径可被环境变量改变、生成了日志子目录、同秒文件覆盖既有文件，或前端异常未进入统一后端日志。
+- 不得记录密码、令牌、授权头、Cookie、密钥、连接串及敏感医疗或身份信息。
+- 不得记录带查询串的原始 URL，不得按服务、日期或类型创建日志子目录。
+- 不得用 `unknown`、原始 URL、控制器名或猜测值代替有效来源 IP 及显式业务功能映射。
+- 不得以裁剪全部请求体代替字段级净化，也不得以“完整原始入参”为由绕过净化。
+- 日志初始化或写入失败必须显式失败，不得静默吞错。
 
 ## Verification
 
-- [ ] 正常、异常和 HTTP 请求日志均为可解析 JSON。
-- [ ] traceId 跨入口与内部调用可追踪。
-- [ ] 在 HTTPS 与 HTTP 非安全上下文中，Axios 均能为请求写入非空 `x-trace-id`；登录及其他 API 请求不会因 traceId 生成失败而中断。
-- [ ] 完整 HTTP 入参、服务端成功/失败结果映射、失败响应内容、固定 `./logs` 路径、同秒递增命名与轮转阈值均有测试覆盖。
-- [ ] 前端异常上报经过后端身份校验。
-- [ ] 日志直接写入项目根目录 `./logs`，且容器替换后日志仍保留。
-- [ ] 项目根目录或 `./logs` 不可写时服务以明确错误停止。
-
-## Common Rationalizations
-
-| 合理化说法 | 事实 |
-|---|---|
-| “console.log 足够定位问题” | 无统一字段、轮转和 traceId 的输出不能支撑运维。 |
-| “失败响应只记录状态码即可” | 必须记录完整失败内容，才能定位服务端返回的业务错误。 |
+- [ ] 四类日志必填字段、成功失败映射与失败原因均有行为测试；未知功能、无效 IP 和不完整主体会显式失败。
+- [ ] 净化后保留非敏感业务结构，校验器拒绝任何绕过净化的禁止字段。
+- [ ] trace 可跨前后端和内部调用延续，无效输入被安全替换。
+- [ ] 真实写盘权限、同秒并发、2MB 轮转、单行 JSON 与哈希链篡改检测通过。
+- [ ] 网络安全相关日志至少留存六个月；备份、访问审计、容量告警和外部不可变副本有经确认的生产证据。

package/.well-known/skills/wdyy-logging-standard/agents/openai.yaml

@@ -1,4 +1,4 @@
 interface:
   display_name: "wdyy-logging-standard"
-  short_description: "Write full-context logs only to project-root ./logs"
-  default_prompt: "Use $wdyy-logging-standard to implement full-context structured logs that write only to project-root ./logs."
+  short_description: "Record IP, time, business function, trace, and audit logs"
+  default_prompt: "Use $wdyy-logging-standard to implement secure access, application, security, and audit logs with explicit business-function mapping, actor and source-IP validation, trace propagation, and behavioral verification."

package/.well-known/skills/wdyy-logging-standard/reference/logging-rules.md

@@ -1,14 +1,51 @@
-# 日志规则
-
-- 日志为一行 JSON，最小字段见 `logger.template.ts`。
-- `logger.template.ts` 必须可在未安装 `@types/node` 的项目中独立类型检查；读取环境变量时通过 `globalThis` 声明最小运行时形状，不直接依赖 Node.js 全局类型。
-- `timestamp` 使用服务器本地时间 `YYYY-MM-DD HH:mm:ss`，精确到秒；不得包含毫秒、`T` 或 `Z`。
-- 应用必须从项目根目录启动，只允许创建项目根目录 `./logs`，并将文件直接写入该目录；不得读取 `LOG_DIR`、`HOST_LOG_DIR` 或其他目录配置，不得创建服务、实例、日期或其他日志子目录。
-- 文件名使用服务器本地时间 `yyyy-mm-dd_hh24-mm-ss.log`。使用排他创建；同一秒内文件名冲突时依次尝试 `yyyy-mm-dd_hh24-mm-ss_1.log`、`yyyy-mm-dd_hh24-mm-ss_2.log`，不得先检查后覆盖写入。最新日志文件大于 2MB 时在同一 `./logs` 中创建新文件，既有日志文件不得移动、重命名或覆盖。
-- 日志仅记录关键业务事件、请求和异常；`params`、`query`、`body` 和 `response` 均保留完整原始值，不执行脱敏、数组截断或大对象裁剪。授权请求可记录实际用户、模式、表和权限等入参。
-- HTTP 日志必须保留 `statusCode`。服务端成功返回时 `result` 为 `success`；失败返回时 `result` 为 `failure`，并在 `response` 中保留完整失败内容。100–399 为成功，400–599 为失败。
-- HTTP 入口和内部服务调用必须透传 traceId。
-- Vue Axios 请求拦截器必须为每个请求写入非空 `x-trace-id`。优先使用 `globalThis.crypto?.randomUUID()`；若其不存在或不可调用（例如通过 HTTP IP 地址访问的非安全上下文），使用时间戳加随机数生成 traceId。降级仅用于请求追踪，不可将其视为加密随机值；生成逻辑不得抛异常或阻止登录、仪表盘、患者管理等 API 请求发出。
-- 每条日志必须包含 `instanceId`；所有进程共享同一 `./logs`，通过排他创建和同秒递增后缀避免覆盖。
-- Vue 未处理异常和 Promise 拒绝必须上报后端；后端校验请求身份后写入统一日志。
-- 容器必须将宿主机项目根目录 `./logs` 挂载到应用根目录 `/app/logs`，替换容器不得删除历史日志。
+# 日志详细规则
+
+## 分类与字段
+
+所有日志为单行 JSON。通用字段及类型必填字段由 `templates/logger.template.ts` 强制校验。
+
+| 类型 | 用途 | 关键字段 |
+|---|---|---|
+| `access` | HTTP 安全访问与性能追踪 | traceId、method、route、sourceIp、actorId、actorType、functionCode、functionName、action、statusCode、result、durationMs |
+| `application` | 业务状态、集成调用与异常 | traceId（有调用链时）、errorCode、params、body、response |
+| `security` | 认证、授权、攻击与策略事件 | eventId、eventType、actor、action、target、result、reason（失败时） |
+| `audit` | 管理操作和关键数据变更溯源 | eventId、eventType、actor、action、target、before、after、result、reason（失败时） |
+
+安全事件至少覆盖：登录成功/失败、访问拒绝、权限或角色变更、账户锁定/解锁、敏感数据查询或导出、日志访问、审计配置变更和完整性校验失败。审计事件至少覆盖关键业务新增、修改、删除、状态流转及管理配置变更。
+
+## 安全访问记录
+
+- `functionCode` 是稳定、唯一的小写业务功能编码，如 `patient.query`；`functionName` 是对应可读名称，如“患者信息查询”；`action` 是小写业务动作，如 `read`、`create`、`update`、`delete` 或 `export`。
+- 功能信息必须来自工程师维护的显式目录，以 `method + route` 精确映射；不得从原始 URL、控制器名或日志组件推断。未登记、重复或格式错误的映射必须显式失败。
+- `actorId` 只记录内部不透明标识，`actorType` 记录主体类别。未认证请求固定记录 `anonymous/anonymous`，不得使用姓名、身份证号、工号等直接身份信息，也不得虚构用户。
+- `sourceIp` 必须是有效 IPv4 或 IPv6 地址。Express `request.ip` 只有在可信代理链已由工程师确认并正确配置时才可采用；不得直接信任任意 `X-Forwarded-For`，也不得写入 `unknown`。
+- 请求触发的 `security`、`audit` 事件必须沿用访问日志的 trace、IP、路由和功能上下文；后台事件不得伪造请求字段。
+
+## 数据安全
+
+- 写盘和网络上报前必须调用统一递归净化器。
+- 固定禁止密码、认证头、Cookie、会话标识、各类 token、API/客户端密钥、私钥、数据库连接信息、身份证件、银行卡、病历号、诊断和健康数据字段；字段名匹配忽略大小写及分隔符。
+- 由工程师补充项目特有敏感字段。除被删除字段外，嵌套对象、数组与其他业务参数必须保留完整结构；不得静默截断或只保留白名单摘要。
+- `route` 只记录框架路由模板，如 `/patients/:patientId`；不得记录原始 URL、查询串或片段。客户端 IP 仅在可信代理配置已确认后读取转发头。
+- 消息中的 CR/LF 必须编码，防止伪造日志行。前端错误消息与堆栈在上报前也必须清除常见凭据。
+
+## 追踪与时间
+
+- HTTP 使用 W3C `traceparent`，并兼容既有 `x-trace-id`。traceId 为 32 位非全零小写十六进制，spanId 为 16 位非全零小写十六进制。
+- 合法上游 traceId 必须延续并创建新 span；格式错误或全零值必须替换。后端响应和内部请求继续传递 trace 上下文。
+- `timestamp` 使用服务器 CST 本地时间 `YYYY-MM-DD HH:mm:ss`，同时记录 `timestampEpochMs` 与 `timezone: +08:00`；运行环境必须验证实际时区。
+
+## 本地存储与完整性
+
+- 应用从项目根目录启动，仅可写 `./logs`，不得读取环境变量改写目录或创建子目录。
+- `./logs` 使用 `0700`，日志文件使用 `0600`。以 `wx` 排他创建 `yyyy-mm-dd_hh24-mm-ss.log`；冲突依次增加 `_1`、`_2`。
+- 单进程内串行追加；文件达到 2MB 前轮转到新文件，不移动、重命名或覆盖旧文件。
+- 每条落盘记录包含 chainId、sequence、previousHash、entryHash。校验器必须能发现内容、顺序或链路被篡改；哈希链是完整性证据，不替代外部不可变存储。
+- 日志目录不可创建、权限不可收紧或写入失败时，服务必须显式失败，不得降级到 console 或吞错。
+
+## 留存与生产控制
+
+- 网络运行、安全和审计相关日志至少留存六个月；更长的行业或单位制度优先。
+- 生产环境必须定义轮转后的备份、恢复验证、容量阈值与告警、最小权限访问、日志访问自身审计、留存到期处置及责任人。
+- 必须由工程师确认并部署独立于应用主机的不可变或等效防篡改副本。平台、地址、认证方式和密钥来源未确认时标记 `待确认`，不得在 Skill 中硬编码。
+- 容器将宿主机部署根 `./logs` 挂载到 `/app/logs`；替换容器不得删除历史日志。外部复制成功前不得提前删除本地文件。

package/.well-known/skills/wdyy-logging-standard/scripts/validate-log-entry.mjs

@@ -1,17 +1,72 @@
 #!/usr/bin/env node
+import { createHash } from 'node:crypto';
 import { readFile } from 'node:fs/promises';
+import {
+  assertLogEntry,
+  findForbiddenLogFieldPath,
+} from '../templates/logger.template.ts';
 
-const entry = JSON.parse(await readFile(process.argv[2], 'utf8'));
-const required = ['timestamp', 'level', 'service', 'instanceId', 'env', 'message'];
-const missing = required.filter((key) => !(key in entry));
-if (missing.length) throw new Error('Missing log fields: ' + missing.join(', '));
-if (!/^\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}$/.test(entry.timestamp)) {
-  throw new Error('timestamp must use local YYYY-MM-DD HH:mm:ss format');
+const argumentsList = process.argv.slice(2);
+const storedMode = argumentsList[0] === '--stored';
+const inputPath = storedMode ? argumentsList[1] : argumentsList[0];
+
+if (!inputPath || argumentsList.length !== (storedMode ? 2 : 1)) {
+  throw new Error('Usage: validate-log-entry.mjs [--stored] <log-file>');
+}
+
+const source = await readFile(inputPath, 'utf8');
+
+const validateEntry = (entry) => {
+  assertLogEntry(entry);
+  const forbiddenPath = findForbiddenLogFieldPath(entry);
+  if (forbiddenPath) throw new Error(`Forbidden log field: ${forbiddenPath}`);
+};
+
+const sha256 = (value) => createHash('sha256').update(value).digest('hex');
+
+if (!storedMode) {
+  validateEntry(JSON.parse(source));
+  process.stdout.write('valid log entry\n');
+  process.exit(0);
 }
 
-if ('statusCode' in entry) {
-  const expected = entry.statusCode >= 100 && entry.statusCode <= 399 ? 'success'
-    : entry.statusCode >= 400 && entry.statusCode <= 599 ? 'failure' : undefined;
-  if (!expected || entry.result !== expected) throw new Error('statusCode and result must match');
+const lines = source.split('\n').filter((line) => line !== '');
+if (lines.length === 0) throw new Error('Stored log file is empty');
+
+const previousByChain = new Map();
+for (const [lineIndex, line] of lines.entries()) {
+  let entry;
+  try {
+    entry = JSON.parse(line);
+  } catch {
+    throw new Error(`Stored log line ${lineIndex + 1} is not one-line JSON`);
+  }
+  validateEntry(entry);
+  if (typeof entry.chainId !== 'string' || entry.chainId === '') {
+    throw new Error(`Stored log line ${lineIndex + 1} is missing chainId`);
+  }
+  if (!Number.isSafeInteger(entry.sequence) || entry.sequence <= 0) {
+    throw new Error(`Stored log line ${lineIndex + 1} has invalid sequence`);
+  }
+  if (entry.previousHash !== null && !/^[0-9a-f]{64}$/.test(entry.previousHash)) {
+    throw new Error(`Stored log line ${lineIndex + 1} has invalid previousHash`);
+  }
+  if (!/^[0-9a-f]{64}$/.test(entry.entryHash ?? '')) {
+    throw new Error(`Stored log line ${lineIndex + 1} has invalid entryHash`);
+  }
+
+  const { entryHash, ...unsigned } = entry;
+  if (sha256(JSON.stringify(unsigned)) !== entryHash) {
+    throw new Error(`Stored log line ${lineIndex + 1} failed integrity verification`);
+  }
+
+  const previous = previousByChain.get(entry.chainId);
+  if (previous) {
+    if (entry.sequence !== previous.sequence + 1 || entry.previousHash !== previous.entryHash) {
+      throw new Error(`Stored log line ${lineIndex + 1} breaks the hash chain`);
+    }
+  }
+  previousByChain.set(entry.chainId, entry);
 }
-process.stdout.write('valid log entry\n');
+
+process.stdout.write(`valid stored log file (${lines.length} entries)\n`);