@winspan/claude-forge 8.39.0 → 8.50.6

package/src/skills/invocation-guard.ts

@@ -0,0 +1,177 @@
+/**
+ * InvocationGuard — Skill 调用防护机制
+ *
+ * 防止 Agent 陷入无限调用 Skill 的循环，限制：
+ * - 单会话总调用次数（默认 10）
+ * - 单会话调用深度（默认 3）
+ * - 同 session 同 skill 幂等（避免重复调用）
+ * - TTL 机制：会话状态 30 分钟后自动过期
+ *
+ * 状态为进程内存，进程重启会清空；调用链路通常集中在单个会话内，
+ * 重启后重建状态是可接受的。
+ */
+
+const MAX_INVOCATIONS_PER_SESSION = 10;
+const MAX_INVOCATION_DEPTH = 3;
+const SESSION_TTL_MS = 30 * 60 * 1000; // 30 minutes
+const CLEANUP_INTERVAL_MS = 5 * 60 * 1000; // 5 minutes
+
+export interface SessionInvocations {
+  total: number;
+  depth: number;
+  calledSkills: Set<string>;
+  lastAccessTime: number; // Timestamp of last access
+}
+
+export interface InvocationCheckResult {
+  allowed: boolean;
+  reason?: string;
+}
+
+export class InvocationGuard {
+  private sessions = new Map<string, SessionInvocations>();
+  private cleanupTimer: NodeJS.Timeout | null = null;
+
+  constructor() {
+    // Start automatic cleanup timer
+    this.startCleanupTimer();
+  }
+
+  /**
+   * 检查是否允许调用。
+   * 不修改状态；调用方决定是否继续后调用 record()。
+   */
+  check(sessionId: string, skillId: string): InvocationCheckResult {
+    const session = this.sessions.get(sessionId) ?? {
+      total: 0,
+      depth: 0,
+      calledSkills: new Set<string>(),
+      lastAccessTime: Date.now(),
+    };
+
+    // Check if session has expired
+    if (Date.now() - session.lastAccessTime > SESSION_TTL_MS) {
+      this.sessions.delete(sessionId);
+      return { allowed: true }; // Expired session, allow new invocation
+    }
+
+    if (session.total >= MAX_INVOCATIONS_PER_SESSION) {
+      return {
+        allowed: false,
+        reason: `Reached max invocations per session (${MAX_INVOCATIONS_PER_SESSION})`,
+      };
+    }
+
+    if (session.depth >= MAX_INVOCATION_DEPTH) {
+      return {
+        allowed: false,
+        reason: `Reached max invocation depth (${MAX_INVOCATION_DEPTH})`,
+      };
+    }
+
+    if (session.calledSkills.has(skillId)) {
+      return {
+        allowed: false,
+        reason: `Skill '${skillId}' already invoked in this session (idempotent guard)`,
+      };
+    }
+
+    return { allowed: true };
+  }
+
+  /**
+   * 记录一次调用开始（递增 total 和 depth，登记 skill）。
+   */
+  record(sessionId: string, skillId: string): void {
+    const session = this.sessions.get(sessionId) ?? {
+      total: 0,
+      depth: 0,
+      calledSkills: new Set<string>(),
+      lastAccessTime: Date.now(),
+    };
+    session.total += 1;
+    session.depth += 1;
+    session.calledSkills.add(skillId);
+    session.lastAccessTime = Date.now(); // Update access time
+    this.sessions.set(sessionId, session);
+  }
+
+  /**
+   * 调用完成，递减 depth（不清除已调用 skills）。
+   */
+  complete(sessionId: string): void {
+    const session = this.sessions.get(sessionId);
+    if (session) {
+      session.depth = Math.max(0, session.depth - 1);
+      session.lastAccessTime = Date.now(); // Update access time
+    }
+  }
+
+  /**
+   * 清理会话（Stop hook 或会话结束时调用）。
+   */
+  clear(sessionId: string): void {
+    this.sessions.delete(sessionId);
+  }
+
+  /**
+   * 获取会话统计（调试/观测用）。
+   */
+  getStats(sessionId: string): SessionInvocations | null {
+    return this.sessions.get(sessionId) ?? null;
+  }
+
+  /**
+   * 清理过期会话（TTL 机制）。
+   */
+  private cleanupExpiredSessions(): void {
+    const now = Date.now();
+    const expiredSessions: string[] = [];
+
+    for (const [sessionId, session] of this.sessions.entries()) {
+      if (now - session.lastAccessTime > SESSION_TTL_MS) {
+        expiredSessions.push(sessionId);
+      }
+    }
+
+    for (const sessionId of expiredSessions) {
+      this.sessions.delete(sessionId);
+    }
+
+    if (expiredSessions.length > 0) {
+      // Use console.log instead of logger to avoid circular dependency
+      console.log(`[InvocationGuard] Cleaned up ${expiredSessions.length} expired sessions`);
+    }
+  }
+
+  /**
+   * 启动自动清理定时器。
+   */
+  private startCleanupTimer(): void {
+    if (this.cleanupTimer) return;
+
+    this.cleanupTimer = setInterval(() => {
+      this.cleanupExpiredSessions();
+    }, CLEANUP_INTERVAL_MS);
+
+    // Prevent timer from keeping process alive
+    this.cleanupTimer.unref();
+  }
+
+  /**
+   * 停止自动清理定时器（用于测试或进程关闭）。
+   */
+  stopCleanupTimer(): void {
+    if (this.cleanupTimer) {
+      clearInterval(this.cleanupTimer);
+      this.cleanupTimer = null;
+    }
+  }
+
+  /**
+   * 获取当前会话数量（用于监控）。
+   */
+  getSessionCount(): number {
+    return this.sessions.size;
+  }
+}

package/src/skills/matcher.ts

@@ -0,0 +1,148 @@
+import type { Skill } from './registry.js';
+
+export interface MatchContext {
+  prompt: string;
+  intentKeywords?: string[];
+  projectPath?: string;
+  recentFiles?: string[];
+}
+
+export interface MatchResult {
+  skill: Skill;
+  confidence: number; // 0-100
+  matchedKeywords: string[];
+}
+
+/**
+ * Enhanced keyword matching with word boundary detection
+ * Reduces false positives by requiring whole-word matches
+ */
+function matchKeywordStrict(text: string, keyword: string): boolean {
+  const textLower = text.toLowerCase();
+  const kwLower = keyword.toLowerCase();
+
+  // For Chinese/multi-word keywords, use simple includes
+  if (kwLower.includes(' ') || /[一-龥]/.test(kwLower)) {
+    return textLower.includes(kwLower);
+  }
+
+  // For single English word keywords, require word boundaries
+  const regex = new RegExp(`\\b${kwLower.replace(/[.*+?^${}()|[\]\\]/g, '\\$&')}\\b`);
+  return regex.test(textLower);
+}
+
+/**
+ * Calculate match confidence score (0-100)
+ */
+export function calculateMatchScore(skill: Skill, context: MatchContext): MatchResult | null {
+  const { prompt, intentKeywords = [] } = context;
+  const allText = [prompt, ...intentKeywords].join(' ');
+
+  let matchedKeywords: string[] = [];
+  let score = 0;
+
+  // 1. Keyword matching with flexible scoring
+  for (const kw of skill.keywords) {
+    if (matchKeywordStrict(allText, kw)) {
+      matchedKeywords.push(kw);
+      // Base score: 15 points per keyword
+      // Bonus for longer keywords (more specific)
+      const lengthBonus = Math.min(10, Math.floor(kw.length / 3));
+      score += 15 + lengthBonus;
+    }
+  }
+
+  // 2. Negative keywords check (disqualify if present)
+  const negativeKeywords = getNegativeKeywords(skill.id);
+  for (const negKw of negativeKeywords) {
+    if (matchKeywordStrict(allText, negKw)) {
+      return null; // Disqualify
+    }
+  }
+
+  // 3. Context bonus (max 30 points)
+  const contextBonus = calculateContextBonus(skill, context);
+  score += contextBonus;
+
+  // 4. Fuzzy matching: partial keyword match for longer prompts
+  if (matchedKeywords.length === 0 && prompt.length > 50) {
+    for (const kw of skill.keywords) {
+      if (kw.length >= 3 && allText.toLowerCase().includes(kw.toLowerCase().slice(0, 3))) {
+        score = Math.max(score, 25);
+        matchedKeywords.push(`~${kw}`);
+        break;
+      }
+    }
+  }
+
+  // Normalize to 0-100
+  const confidence = Math.min(100, score);
+
+  // Threshold: >= 20% confidence is enough to surface a match
+  if (confidence < 20) {
+    return null;
+  }
+
+  return {
+    skill,
+    confidence,
+    matchedKeywords,
+  };
+}
+
+/**
+ * Get negative keywords that disqualify a skill
+ */
+function getNegativeKeywords(skillId: string): string[] {
+  const negativeMap: Record<string, string[]> = {
+    'official-tdd': ['existing', 'legacy', 'refactor', '重构', '遗留'],
+    'official-harness-engineering': ['new feature', '新功能', 'from scratch'],
+    'official-debug': ['working', 'works fine', '正常'],
+    'official-performance-optimization': ['slow network', 'api timeout', '网络慢'],
+  };
+
+  return negativeMap[skillId] || [];
+}
+
+/**
+ * Calculate context-based bonus score
+ */
+function calculateContextBonus(skill: Skill, context: MatchContext): number {
+  let bonus = 0;
+
+  // File extension matching
+  if (context.recentFiles && context.recentFiles.length > 0) {
+    const fileExts = context.recentFiles.map(f => f.split('.').pop()?.toLowerCase());
+
+    if (skill.id === 'official-tdd' && fileExts.some(ext => ext === 'test' || ext === 'spec')) {
+      bonus += 20;
+    }
+
+    if (skill.id === 'webapp-testing' && fileExts.some(ext => ['tsx', 'jsx', 'html'].includes(ext || ''))) {
+      bonus += 20;
+    }
+
+    if (skill.id === 'official-db-schema-design' && fileExts.some(ext => ext === 'sql')) {
+      bonus += 20;
+    }
+  }
+
+  return bonus;
+}
+
+/**
+ * Check if any of the skill's keywords appear in the prompt (case-insensitive).
+ * @deprecated Use calculateMatchScore instead
+ */
+export function matchKeywords(prompt: string, skillKeywords: string[]): boolean {
+  const promptLower = prompt.toLowerCase();
+  return skillKeywords.some(kw => promptLower.includes(kw.toLowerCase()));
+}
+
+/**
+ * Format a skill as a recommendation message for the user.
+ */
+export function formatSkillRecommendation(skill: Skill, confidence?: number): string {
+  const confidenceStr = confidence ? ` (${confidence}% 匹配)` : '';
+  return `[Forge 技能推荐]${confidenceStr} ${skill.name}\n\n${skill.content}`;
+}

package/src/skills/official/code-simplifier.md

@@ -0,0 +1,16 @@
+---
+name: code-simplifier
+description: Simplifies and refines code for clarity, consistency, and maintainability while preserving all functionality. Focuses on recently modified code unless instructed otherwise.
+model: opus
+---
+
+You are an expert code simplification specialist focused on enhancing code clarity, consistency, and maintainability while preserving exact functionality. Your expertise lies in applying project-specific best practices to simplify and improve code without altering its behavior. You prioritize readable, explicit code over overly compact solutions. This is a balance that you have mastered as a result your years as an expert software engineer.
+
+You will analyze recently modified code and apply refinements that:
+
+1. **Preserve Functionality**: Never change what the code does - only how it does it. All original features, outputs, and behaviors must remain intact.
+
+2. **Apply Project Standards**: Follow the established coding standards from CLAUDE.md including:
+
+   - Use ES modules with proper import sorting and extensions
+   - Prefer `

package/src/skills/official/find-skills.md

@@ -0,0 +1,23 @@
+---
+name: find-skills
+description: Helps users discover and install agent skills when they ask questions like "how do I do X", "find a skill for X", "is there a skill that can...", or express interest in extending capabilities. This skill should be used when the user is looking for functionality that might exist as an installable skill.
+---
+
+# Find Skills
+
+This skill helps you discover and install skills from the open agent skills ecosystem.
+
+## When to Use This Skill
+
+Use this skill when the user:
+
+- Asks "how do I do X" where X might be a common task with an existing skill
+- Says "find a skill for X" or "is there a skill for X"
+- Asks "can you do X" where X is a specialized capability
+- Expresses interest in extending agent capabilities
+- Wants to search for tools, templates, or workflows
+- Mentions they wish they had help with a specific domain (design, testing, deployment, etc.)
+
+## What is the Skills CLI?
+
+The Skills CLI (`

package/src/skills/official/official-api-design.md

@@ -0,0 +1,17 @@
+---
+name: official-api-design
+version: 1.0.0
+description: "API 设计规范：RESTful/RPC 接口设计最佳实践"
+tags: [api, rest, design, backend]
+---
+
+# API 设计规范
+
+## 设计顺序
+1. 先定义资源和操作（不要先想 URL）
+2. 写 OpenAPI/Protobuf 规格
+3. 用 mock 验证调用方能用
+4. 再实现
+
+## RESTful 规范
+- URL 用名词复数：`

package/src/skills/official/official-architecture-decision.md

@@ -0,0 +1,20 @@
+---
+name: official-architecture-decision
+version: 1.0.0
+description: "架构决策记录（ADR）：结构化记录重要技术决策"
+tags: [architecture, adr, design, decision]
+---
+
+# 架构决策记录（ADR）
+
+每个重要的技术决策都应该留下可追溯的记录。
+
+## 何时写 ADR
+- 技术选型（框架、数据库、消息队列）
+- 系统边界划分
+- 接口协议选择
+- 影响超过 1 个模块的设计决策
+
+## ADR 模板
+
+`

package/src/skills/official/official-bmad.md

@@ -0,0 +1,118 @@
+---
+name: official-bmad
+version: 1.0.1
+description: "BMAD 方法论：四角色敏捷协作指南（完整四阶段流程）"
+tags: [bmad, agile, four-role, collaboration]
+---
+
+# BMAD 方法论（Four-Role Agile）
+
+BMAD 是一种四角色敏捷协作模式，适用于复杂功能开发和端到端的用户故事实现。
+
+## 核心理念
+
+通过明确的角色划分和阶段流程，确保需求、设计、实现和评审的质量。
+
+## 四个角色
+
+1. **Business（业务/产品经理）**：定义需求和验收标准
+2. **Maker（实现者/开发者）**：编写代码和实现功能
+3. **Architect（架构师）**：设计系统结构和接口
+4. **Developer（开发/集成者）**：集成和测试
+
+---
+
+## 阶段 1：分析（Analyze）
+
+**角色**：Business + Architect
+
+**目标**：澄清需求，识别技术约束和依赖。
+
+**步骤**：
+1. 澄清需求（用户故事、验收标准）
+2. 识别技术约束和依赖
+3. 评估风险和可行性
+4. 定义输入输出和边界条件
+
+**输出**：需求文档（requirements document）
+
+**建议**：调用 `researcher` 或 `planner` Agent
+
+---
+
+## 阶段 2：设计（Design）
+
+**角色**：Architect + Developer
+
+**目标**：设计技术方案和模块结构。
+
+**步骤**：
+1. 设计模块划分和接口
+2. 选择技术栈和工具
+3. 制定实施计划
+4. 设计数据流和架构图
+5. 定义模块间的接口契约
+
+**输出**：设计文档（design document）
+
+**建议**：调用 `planner` Agent
+
+---
+
+## 阶段 3：实现（Implement）
+
+**角色**：Maker + Developer
+
+**目标**：按设计编写代码并集成。
+
+**步骤**：
+1. 按设计编写代码
+2. 编写单元测试
+3. 遵循编码规范
+4. 集成到主分支
+5. 编写清晰、可维护的代码
+
+**输出**：可运行的代码和测试
+
+**建议**：调用 `coder` 或 `feature-developer` Agent
+
+---
+
+## 阶段 4：评审（Review）
+
+**角色**：全员（Tech Lead 主导）
+
+**目标**：确保代码质量、安全性和可维护性。
+
+**步骤**：
+1. Code review（检查代码质量）
+2. 功能验收（Business 验证是否满足需求）
+3. 技术债评估（Architect 审查架构合理性）
+4. 安全性检查
+5. 性能评估
+
+**输出**：评审报告（review report）
+
+**建议**：调用 `reviewer` Agent
+
+---
+
+## 何时使用
+
+- 跨职能团队协作
+- 复杂功能需要多角色参与
+- 需要明确的职责划分
+- 用户故事级别的完整功能开发
+- Sprint 迭代开发
+- 端到端（end-to-end）功能实现
+
+## 决策规则
+
+- **简单功能**（complexity: simple）：只需实现阶段
+- **中等功能**（complexity: moderate）：设计 + 实现 + 评审
+- **复杂功能**（complexity: complex）：完整四阶段流程
+
+## 参考
+
+- BMAD Framework: https://bmad.dev
+- Four-Role Agile Development Methodology

package/src/skills/official/official-db-schema-design.md

@@ -0,0 +1,16 @@
+---
+name: official-db-schema-design
+version: 1.0.0
+description: "数据库 Schema 设计：建模、迁移和演进最佳实践"
+tags: [database, schema, sql, migration]
+---
+
+# 数据库 Schema 设计
+
+## 设计原则
+- 先建模（ER 图），再建表
+- 每张表只表达一个实体
+- 外键约束在数据库层面强制
+
+## 命名规范
+- 表名：snake_case 复数（`

package/src/skills/official/official-debug.md

@@ -0,0 +1,17 @@
+---
+name: official-debug
+version: 1.2.0
+description: "系统化调试工作流：复现、隔离、修复、验证"
+tags: [debug, troubleshooting]
+---
+
+# 系统化调试
+
+## 步骤
+
+1. **复现** — 确认 bug 可稳定复现
+   - 记录：环境、输入、期望行为、实际行为
+
+2. **隔离** — 缩小根因范围
+   - 二分法排查代码路径
+   - 检查近期变更（`

package/src/skills/official/official-doc-driven.md

@@ -0,0 +1,31 @@
+---
+name: official-doc-driven
+version: 1.0.0
+description: "文档驱动开发：先写文档再写代码，保持文档与代码同步"
+tags: [documentation, doc-driven, readme]
+---
+
+# 文档驱动开发
+
+## 核心理念
+如果你无法清晰地写出来，说明你还没想清楚。先写文档，逼自己想清楚再动手。
+
+## 步骤
+
+1. **写 README 先于代码**
+   - 描述模块是什么、解决什么问题
+   - 写出使用示例（即使 API 还不存在）
+   - 示例写起来别扭 = 设计有问题
+
+2. **接口文档先于实现**
+   - 函数签名 + JSDoc/注释先写
+   - 参数、返回值、异常都要说明
+
+3. **保持同步**
+   - 代码变更时同步更新文档
+   - PR 模板加入"文档是否已更新"检查项
+
+## 文档层级
+- README：模块概述 + 快速开始
+- ARCHITECTURE.md：系统设计和关键决策
+- 代码注释：解释"为什么"，不解释"是什么"

package/src/skills/official/official-harness-engineering.md

@@ -0,0 +1,108 @@
+---
+name: official-harness-engineering
+version: 2.0.1
+description: "Harness Engineering：为遗留代码建立测试防护网再安全修改（四阶段完整指南）"
+tags: [harness, testing, legacy, refactor]
+---
+
+# Harness Engineering 方法论
+
+当需要重构遗留代码（尤其是缺少测试的代码）时，按以下四阶段推进。
+
+## 核心理念
+
+在修改任何现有代码前，先建立测试防护网（harness），确保改动不破坏现有行为。
+
+## 与 TDD 的区别
+- TDD 用于新功能开发（先测试后实现）
+- Harness Engineering 用于改动现有代码（先理解后保护再修改）
+
+---
+
+## 阶段 1：理解现有实现（Understand）
+
+**目标**：深入理解代码的当前行为和依赖关系。
+
+**步骤**：
+1. 阅读目标代码，识别关键逻辑和边界条件
+2. 绘制依赖关系图（哪些模块依赖这段代码）
+3. 识别潜在的副作用和隐藏依赖
+4. 找到所有入口点和输出点
+5. 记录边界条件和隐含假设
+
+**输出**：行为文档（behavior document），记录当前实际行为
+
+**建议**：调用 `researcher` Agent 进行深度分析
+
+---
+
+## 阶段 2：建立特征测试（Characterize）
+
+**目标**：为现有行为建立测试"安全网"。
+
+**步骤**：
+1. 编写特征测试（Characterization Tests）— 记录当前行为，无论对错
+2. 覆盖所有已知的输入输出组合
+3. 覆盖所有主要代码路径
+4. 确保测试全绿（即使代码有 bug，先记录现状）
+5. 目标覆盖率 > 80%
+
+**关键原则**：
+- 测试描述"代码现在做什么"，不是"应该做什么"
+- 全部通过后才能继续下一阶段
+
+**建议**：调用 `tester` Agent 编写测试
+
+---
+
+## 阶段 3：安全重构（Refactor）
+
+**目标**：在测试保护下进行重构。
+
+**步骤**：
+1. 小步重构（每次改动后立即运行测试）
+2. 消除重复代码、提取函数、改善命名
+3. 保持测试全绿
+4. 每次只改一处，改完立即运行 harness
+5. 测试失败 = 立即回滚，不要积累未验证的变更
+
+**重构优先级**：
+- 消除重复代码
+- 提取函数和模块
+- 改善命名和注释
+- 简化复杂逻辑
+
+**建议**：调用 `refactor-specialist` Agent 执行重构
+
+---
+
+## 阶段 4：验证重构结果（Verify）
+
+**目标**：确认重构没有破坏功能。
+
+**步骤**：
+1. 运行完整测试套件
+2. 手动验证关键路径
+3. Code review
+4. 对比原始行为文档，确认行为一致性
+5. 逐步替换：新行为用新测试覆盖，旧 harness 逐步退役
+
+---
+
+## 何时使用
+
+- 遗留代码缺少测试
+- 代码复杂度高，不敢直接改
+- 需要大规模重构但风险高
+- 接手不熟悉的代码库
+- 修改高风险核心模块
+
+## 决策规则
+
+- **简单重构**（complexity: simple）：跳过理解阶段，直接建立特征测试
+- **中等重构**（complexity: moderate）：完整四阶段流程
+- **复杂迁移**（complexity: complex）：完整四阶段流程，额外谨慎
+
+## 参考
+
+- Michael Feathers, *Working Effectively with Legacy Code*