ai-developer-skill-os 7.0.2 → 7.5.0

package/.agents/docs/HUONG_DAN_SU_DUNG.md

@@ -0,0 +1,120 @@
+# Hướng Dẫn Sử Dụng — AI Developer Skill OS
+
+**Tác giả:** Quang Khánh  
+**Phiên bản:** v7.5.0 (Anti-Slop & Zero-Trust Architecture)
+
+Chào mừng bạn đến với **AI Developer Skill OS**, hệ điều hành kỹ năng (Skill Framework) biến các trợ lý AI (Gemini, Antigravity, Claude Code, Cursor, Windsurf) từ một "cỗ máy sinh code" thành một **Senior Software Engineer / Chief Architect** thực thụ với khả năng tự học, tự kiểm toán và tự viết tài liệu.
+
+---
+
+## 1. Cơ chế hoạt động (Tại sao lại cần Skin/Skill này?)
+
+Thông thường, khi bạn yêu cầu AI "Làm cho tôi tính năng X", AI sẽ nhảy ngay vào viết code. Điều này ở các dự án lớn thường dẫn đến: phá vỡ kiến trúc, tạo ra code rác, và không tuân thủ các component dùng chung.
+
+Với hệ điều hành 22 Master Skills này:
+1. Bạn đưa ra yêu cầu thông qua **`qk-orchestrator`**.
+2. Hệ thống sẽ tự động gọi **`qk-context-loader`** để gom đúng file (tránh tràn ngữ cảnh).
+3. Kế tiếp, **`qk-engineering-standard`** sẽ gắn các "luật thép" (rules) của dự án vào ngữ cảnh.
+4. AI kích hoạt kỹ năng thực thi E2E như **`qk-feature-delivery`** để code và test trọn vẹn.
+5. Cuối cùng, **`qk-validation-gate`** chặn lại kiểm tra lỗi, trước khi giao cho **`qk-docs`** tự động cập nhật tài liệu.
+
+---
+
+## 2. Hướng dẫn cài đặt qua NPM (Khuyên dùng)
+
+Bộ Skin này rất linh hoạt và được phân phối qua NPM để bạn có thể cài vào bất kỳ dự án nào cực kỳ nhanh chóng.
+
+Mở terminal tại gốc dự án của bạn và chạy lệnh cài đặt tương ứng với công cụ AI bạn đang dùng:
+
+```bash
+npx ai-developer-skill-os init
+```
+
+Quá trình cài đặt sẽ hỏi bạn 2 câu quan trọng:
+
+**Câu 1: Bạn đang dùng IDE nào?**
+Hệ thống sẽ tự động tạo file cấu hình tương ứng (ví dụ `.cursorrules`, `.windsurfrules`, `.clinerules`) và bơm sẵn System Prompt vào để AI tự nhận diện các skill.
+
+**Câu 2: Phạm vi cài đặt?**
+- **(1) Local:** Cài vào thư mục `skills/` (hoặc `.agents/` cho Gemini) ngay trong dự án. Thích hợp cho làm việc nhóm.
+- **(2) Global:** Cài thẳng vào ổ đĩa máy tính (Home Directory). Chỉ cài 1 lần, áp dụng cho mọi dự án.
+
+> 💡 **Tính năng Tự động Dọn dẹp (Auto-Cleanup):** Mỗi khi cài đặt lại, hệ thống sẽ tự động quét và xóa sạch các kỹ năng phiên bản cũ để tối ưu dung lượng và tránh xung đột cho máy tính của bạn. Mọi thứ hoàn toàn tự động!
+
+### Cấu hình thủ công (Dành cho IDE / CLI cụ thể)
+
+#### Cho Gemini IDE / Antigravity
+**Không cần cấu hình gì thêm!** Hệ thống tự nhận diện các file trong `.agents/` hoặc thư mục cấu hình toàn cục.
+
+#### Cho Cursor / Windsurf (AI Code Editors)
+Tạo file `.cursorrules` hoặc `.windsurfrules` ở gốc dự án:
+```md
+# AI Developer Skill OS by Quang Khánh
+
+When answering or generating code, you MUST act as an expert engineer using the skills defined in `./skills.json`.
+Bất cứ khi nào người dùng gõ lệnh `./qk-[tên-skill]`, bạn BẮT BUỘC phải đọc file `SKILL.md` tương ứng trong thư mục `./skills/` trước khi thực hiện.
+Speak to me in Vietnamese, but write all code in English.
+```
+
+#### Cho Claude Code / Kilo Code (CLI Agents)
+Tạo file `CLAUDE.md` (hoặc `KILO.md`) ở gốc dự án và dán đoạn sau vào:
+```md
+# System Instructions
+Bạn đang chạy bằng **AI Developer Skill OS** (Tác giả: Quang Khánh).
+
+Vui lòng tìm đọc danh sách kỹ năng tại file `./skills.json`.
+ĐẶC BIỆT LƯU Ý: Bất cứ khi nào người dùng gõ lệnh bắt đầu bằng `./qk-[tên-skill]`, bạn BẮT BUỘC phải gọi và đọc nội dung file `SKILL.md` tương ứng trong thư mục `./skills/` trước khi phân tích hoặc viết code.
+```
+
+---
+
+## 3. Cách kiểm tra cài đặt thành công
+
+Để biết AI của bạn đã thực sự "nhập môn" bộ AI-OS này chưa, hãy mở khung chat AI trong dự án và gõ cú pháp lệnh:
+> **`./qk-help`** Hãy liệt kê cho tôi các khối kỹ năng của hệ thống.
+
+✅ **Thành công:** Nếu AI trả lời bằng tiếng Việt, liệt kê đúng mô hình 7 Lớp (Foundation, UI, Development, Quality, Evolution, Operation, AI, Knowledge).
+❌ **Thất bại:** Nếu AI trả lời chung chung, bạn cần kiểm tra lại đường dẫn file cấu hình ở bước trên.
+
+---
+
+## 4. Cách gọi lệnh Skill chuyên nghiệp (Usage)
+
+AI sẽ tự động nhận diện skill qua ngữ cảnh, nhưng cách chuyên nghiệp và tiết kiệm thời gian nhất là bạn sử dụng cú pháp: **`./qk-[tên-skill]`**
+
+Dưới đây là các câu lệnh (prompt) mẫu cực kỳ hiệu quả mà bạn nên dùng:
+
+### 🎯 Ví dụ 1: Giao phó tổng thể (Orchestrator)
+> **`./qk-orchestrator`** Tôi muốn thêm tính năng Đăng nhập bằng Google. Hãy lên kế hoạch và gọi các skill cần thiết để thực hiện từ A-Z.
+
+### 🎯 Ví dụ 2: Phát triển Tính năng E2E (Feature Delivery)
+> **`./qk-feature-delivery`** Hãy tạo màn hình Dashboard thống kê doanh thu. Lưu ý cập nhật Database, tạo API và dùng UI Component có sẵn.
+
+### 🎯 Ví dụ 3: Fix lỗi cứng đầu (Bug Resolution)
+> **`./qk-bug-resolution`** Code đang bị crash với lỗi `Hydration error`. Hãy tìm Root Cause, sửa an toàn và đảm bảo viết Regression Test để chống hồi quy.
+
+### 🎯 Ví dụ 4: Xây dựng Giao diện (UI System Builder)
+> **`./qk-ui-system-builder`** Hãy tạo cho tôi một Data Table Component có hỗ trợ phân trang và filter, sử dụng Design Token của dự án. Không viết inline CSS rác.
+
+### 🎯 Ví dụ 5: Audit & Tối ưu (Project Health)
+> **`./qk-project-health`** Hãy kiểm tra nhanh cho tôi thư mục `src/components/` xem có bị Code Smell hoặc vi phạm Architecture không.
+
+---
+
+## 💡 5. Mẹo & Workflow Thực Chiến (Best Practices)
+
+Để khai thác tối đa sức mạnh của 22 kỹ năng, bí quyết là **tin tưởng vào chuỗi Handoff tự động** của hệ thống thay vì phải gọi từng lệnh nhỏ lẻ.
+
+### 🌟 Bắt đầu một tính năng hoàn toàn mới
+Thay vì bảo AI tạo từng file, hãy yêu cầu một lần:
+* `> Hãy dùng ./qk-feature-delivery để tạo chức năng Giỏ hàng (Cart).`
+Hệ thống sẽ tự động đi từ DB -> API -> UI và đẩy sang `qk-validation-gate` để kiểm tra lỗi.
+
+### 🌟 Khi dự án bắt đầu lộn xộn
+* `> Hãy chạy ./qk-project-health để kiểm tra toàn bộ nợ kỹ thuật (Tech Debt). Sau đó hãy dùng ./qk-docs để cập nhật lại cấu trúc thư mục mới nhất vào README.`
+
+### 🌟 Chống "Phá Code" (Safe Refactor)
+Trước khi đổi một cấu trúc lớn, hãy bắt AI dò mìn:
+* `> Hãy dùng ./qk-system-evolution để phân tích tầm ảnh hưởng (Impact Analysis) nếu tôi cập nhật Next.js lên phiên bản 15.`
+
+👉 Chúc bạn tận hưởng cảm giác code như một Chief Architect thực thụ!

package/.agents/docs/SPEC.md

@@ -0,0 +1,87 @@
+# AI Developer Skill OS - Specification (v7.5)
+
+This document defines the strict contract and schema for all `SKILL.md` files in the AI Developer Skill OS. Every active skill MUST comply with this specification. The frontmatter is frozen to ensure cross-platform compatibility and deterministic agent behavior.
+
+## 1. Frontmatter Contract (YAML)
+
+Every `SKILL.md` must begin with this exact YAML structure. Do not add, remove, or rename fields.
+
+```yaml
+---
+name: qk-[skill-name]
+category: [core|frontend|backend|fullstack|security|qa|maintenance|devops|utilities]
+version: X.Y.Z
+description: "[One sentence — what this skill does]"
+platforms: [antigravity, claude-code, cursor, windsurf, kilo-code]
+execution_mode: deterministic
+
+# Orchestrator routing metadata
+cost: [low|medium|high]
+latency: [fast|medium|slow]
+risk: [low|medium|high]
+side_effects: [edit_files|run_commands|read_only|none]
+produces: [report|code|schema|plan|tokens]
+consumes: [context-graph|design-md|stack-trace|json-payload|none]
+
+token_budget:
+  max_files_read: 3
+  max_lines_per_read: 150
+  max_shell_commands: 2
+  stop_early: true
+
+exit_codes: [SUCCESS, BLOCKED, FAILED, PARTIAL]
+---
+```
+
+### Field Definitions
+
+| Field | Type | Required | Description |
+|-------|------|----------|-------------|
+| `name` | string | YES | Skill identifier, must start with `qk-` |
+| `category` | enum | YES | Primary domain: `core`, `frontend`, `backend`, `fullstack`, `security`, `qa`, `maintenance`, `devops`, `utilities` |
+| `version` | semver | YES | Semantic version of this skill |
+| `description` | string | YES | One-sentence summary of the skill's purpose |
+| `platforms` | array | YES | Supported AI platforms. Valid values: `antigravity`, `claude-code`, `cursor`, `windsurf`, `kilo-code` |
+| `execution_mode` | string | YES | Must be `deterministic` for all v7.5 skills |
+| `cost` | enum | YES | Token/compute cost: `low`, `medium`, `high` |
+| `latency` | enum | YES | Expected execution speed: `fast`, `medium`, `slow` |
+| `risk` | enum | YES | Risk level of side effects: `low`, `medium`, `high` |
+| `side_effects` | enum | YES | What the skill modifies: `edit_files`, `run_commands`, `read_only`, `none` |
+| `produces` | array | YES | Output artifacts: `report`, `code`, `schema`, `plan`, `tokens` |
+| `consumes` | array | YES | Required inputs: `context-graph`, `design-md`, `stack-trace`, `json-payload`, `none` |
+| `token_budget.max_files_read` | int | YES | Maximum files to read before stopping |
+| `token_budget.max_lines_per_read` | int | YES | Maximum lines per file read operation |
+| `token_budget.max_shell_commands` | int | YES | Maximum shell commands allowed |
+| `token_budget.stop_early` | bool | YES | Whether to stop when confidence threshold is reached |
+| `exit_codes` | array | YES | Valid exit codes for this skill |
+
+## 2. Skill Body Structure (Markdown)
+
+The body of the `SKILL.md` file MUST contain the following sections in order:
+
+1. **Header:** Skill title and language rule
+2. **Preconditions:** Checklist of required inputs/state before execution
+3. **Scope:** What the skill explicitly does (✅) and does not do (❌)
+4. **Priority Order:** P1–P4 checks with skip thresholds for token budget management
+5. **Workflow:** Phased execution steps with explicit decision trees and exit conditions
+6. **Confidence Model:** HIGH/MEDIUM/LOW confidence levels with actions
+7. **Severity:** CRITICAL/HIGH/MEDIUM/LOW severity definitions with examples
+8. **Evidence Format:** Mandatory template for all findings
+9. **Retry Policy:** Retry logic with maximum attempt limits
+10. **Escalation Rules:** Structured BLOCKED response format
+11. **Handoff Contract:** JSON schema for `Consumes` and `Produces`
+12. **Output Format:** Mandatory output template
+13. **Exit Codes:** Table mapping codes to meanings
+
+## 3. Naming Conventions
+
+- Skill files: `skills/qk-[skill-name]/SKILL.md`
+- Registry entry: `qk-[skill-name]`
+- All code, identifiers, and file names: English only
+- Explanations and reports: Vietnamese (match user language)
+
+## 4. Compliance Enforcement
+
+- All skills MUST pass `npm run lint` (which validates frontmatter against this spec)
+- The `## Compliance` table at the bottom of each `SKILL.md` is deprecated and MUST be removed
+- CI pipeline enforces schema compliance automatically

package/.agents/docs/adr/0001-intent-based-architecture.md

@@ -0,0 +1,19 @@
+# 1. Intent-Based Architecture
+
+Date: 2026-07-02
+
+## Status
+Accepted
+
+## Context
+As the framework grew from 5 to 20+ skills, managing individual tool permissions and specific verification overrides within each `SKILL.md` became a maintenance nightmare (violating DRY). Agents were also suffering from "context bloat" because they had to read sprawling, repetitive rules across different skills.
+
+## Decision
+We transitioned from a "Rule-Based" architecture to an "Intent-Based" architecture. 
+- Skills no longer define their own verification exceptions or tool usage logic. 
+- Instead, skills declare their `behavior` and `intent` via frozen YAML metadata. 
+- The OS Kernel (`AGENTS.md`) intercepts these intents and automatically applies the correct global routing and execution constraints based on the categorized behavior.
+
+## Consequences
+- **Positive:** Massive reduction in skill file size. Easier to scale to 100+ skills. Centralized logic in the Kernel. Agent routing is drastically improved due to clear `intent` mapping.
+- **Negative:** Less granular control over unique outliers, but this enforces better standardization.

package/.agents/docs/adr/0002-kernel-freeze.md

@@ -0,0 +1,21 @@
+# 2. Kernel Freeze
+
+Date: 2026-07-02
+
+## Status
+Accepted
+
+## Context
+The Global Policy file (`AGENTS.md`), which acts as the OS Kernel, was continuously expanding. Policies like Language, Decision, Engineering, Output, Tool Efficiency, Context Budget, and Escapation were all piled into a single document, threatening to balloon past 1,000 lines. A bloated kernel leads to Agent Hallucinations (due to context window pressure) and conflicting priorities.
+
+## Decision
+We officially "Freeze" the Kernel (`AGENTS.md`) at v4.0.0. The file is strictly rewritten to under 100 lines using absolute Rules (MUST/MUST NOT) and Guidelines (Prefer/Avoid). 
+Moving forward, no new policies will be added to the Kernel. All future expansions must occur at the higher layers:
+- New Capabilities
+- New Skills
+- New Knowledge documents
+- New Templates
+
+## Consequences
+- **Positive:** The baseline ruleset is locked, highly token-efficient, and easily digestible by any LLM. The framework achieves enterprise stability.
+- **Negative:** Feature requests that require global policy shifts will be rejected by default unless they fundamentally rewrite the OS paradigm.

package/.agents/docs/adr/0003-risk-based-verification.md

@@ -0,0 +1,20 @@
+# 3. Risk-based Verification
+
+Date: 2026-07-02
+
+## Status
+Accepted
+
+## Context
+Previously, Verification Levels were hardcoded into the Skill Classification (e.g., Development skills automatically forced Level 2 Verification, meaning test suites were run regardless of the actual change). This caused conflicting behavior. For example, fixing a typo in a comment using the `qk-bug-resolution` skill would still trigger a test run, wasting time and resources. 
+
+## Decision
+We completely decoupled Verification Levels from Skill Classifications. 
+Skills now only define their "Preferred Evidence Strategy". The actual depth of verification is determined strictly by the **Risk-based Verification Policy** in the Kernel (`AGENTS.md`).
+- Level 0 (Low Risk): Comments, typos (Static Analysis only).
+- Level 2 (Medium Risk): Logic changes (Targeted tests).
+- Level 3 (High Risk): Auth, DB (Full validation).
+
+## Consequences
+- **Positive:** Agents no longer blindly run tests for trivial changes. Verification scales with the danger of the code being modified, vastly improving speed and token efficiency.
+- **Negative:** Agents must use logic to evaluate the "Risk" of their own changes before deciding whether to run a test.

package/.agents/docs/adr/0004-progressive-evidence.md

@@ -0,0 +1,19 @@
+# 4. Progressive Evidence Collection
+
+Date: 2026-07-02
+
+## Status
+Accepted
+
+## Context
+AI Agents frequently fall into "hallucination loops" or "over-exploration loops", running commands like `ls`, `tree`, or reading entire project directories just to find one file. This burns through context windows rapidly and leads to poor reasoning.
+
+## Decision
+We implemented a strict **Progressive Evidence Collection** pipeline inside the OS Kernel (`AGENTS.md`):
+- **Context Budget:** Agents must start by reading 1 file, then 3 files, then a directory. They must never read the whole project unless explicitly required.
+- **Sufficient Confidence:** Agents must stop collecting evidence the moment they reach an 80% confidence threshold to proceed. 
+- **Evidence Priority:** User input > Existing context > Source code > Types > Logs > Runtime > External knowledge.
+
+## Consequences
+- **Positive:** Drastically reduced unnecessary `run_command` usage. Agents act much more like senior developers who pinpoint issues via stack traces instead of blindly searching the filesystem.
+- **Negative:** Requires rigorous enforcement in the Kernel to prevent agents from falling back to old habits.

package/.agents/docs/skill-classification.md

@@ -0,0 +1,25 @@
+# Skill Classifications (Intent-Based Policies)
+
+Skills are classified into behavioral groups that define their **Primary Objective** and **Preferred Evidence Strategy**.
+
+*Note: Actual verification depth is NOT determined by the skill itself, but must strictly follow the **Risk-based Verification Policy** defined in `AGENTS.md`.*
+
+## 1. Static Analysis Skills
+*e.g., Code Review, Project Health, Architecture, Documentation*
+- **Primary Goal:** Audit, analyze, or document without altering system behavior.
+- **Preferred Behavior:** Prefer static analysis (`read_file`, `grep_search`). Do not execute code or run test suites unless explicitly requested to validate the audit.
+
+## 2. Development Skills
+*e.g., Feature Delivery, Refactor, Bug Resolution*
+- **Primary Goal:** Modify existing behavior or implement new features safely.
+- **Preferred Behavior:** Apply localized changes. Gather targeted evidence. Avoid speculative full-project validation; verify only what is affected.
+
+## 3. Validation Skills
+*e.g., Validation Gate, CI Check, Release*
+- **Primary Goal:** Ensure code quality, security, and build stability before release.
+- **Preferred Behavior:** Exhaustive scanning. Running automated checks and full builds is encouraged to satisfy the validation gate.
+
+## 4. Maintenance Skills
+*e.g., System Evolution, Dependency Update*
+- **Primary Goal:** Upgrade system foundations safely with a rollback strategy.
+- **Preferred Behavior:** Inspect changelogs and compatibility carefully before updating. Run full system verifications post-update to ensure stability.

package/.agents/skills/qk-access-policy/SKILL.md

@@ -0,0 +1,179 @@
+---
+name: qk-access-policy
+category: security
+version: 7.5.0
+description: "Quản lý RBAC, ABAC — định nghĩa role matrix trước, implement middleware sau."
+platforms: [antigravity, claude-code, cursor, windsurf, kilo-code]
+execution_mode: deterministic
+cost: medium
+latency: medium
+risk: high
+side_effects: edit_files
+produces: [code, report]
+consumes: [user-description]
+token_budget:
+  max_files_read: 3
+  max_lines_per_read: 100
+  max_shell_commands: 0
+  stop_early: true
+exit_codes: [SUCCESS, BLOCKED, FAILED, PARTIAL]
+skill_version: 7.5.0
+runtime_version: 1
+schema_version: 2
+---
+
+# qk-access-policy — Access Control Designer
+
+> **Language rule:** Code, identifiers, file names ? English. Explanations, summaries ? Vietnamese.
+
+---
+
+## Preconditions
+- [ ] User roles and protected resources are defined
+- [ ] Auth system (JWT, session, OAuth) is identified
+
+```
+On missing precondition:
+  EXIT: BLOCKED
+  Message: "Cần định nghĩa: danh sách roles + resources cần bảo vệ."
+```
+
+---
+
+## Scope
+- ✅ Define explicit Role-Permission Matrix before coding
+- ✅ Implement middleware/guards based strictly on the matrix
+- ✅ Separate auth (who are you?) from authz (what can you do?)
+
+## Non-Goals
+- ❌ Grant wildcard (*) permissions
+- ❌ Mix authentication logic with authorization logic
+- ❌ Hardcode role checks in business logic (use middleware/guards)
+
+---
+
+## Priority Order
+| P | Task | Skip Threshold |
+|---|------|----------------|
+| P1 | Define Role-Permission Matrix | Never |
+| P2 | Implement deny-by-default middleware | Never |
+| P3 | Add role guards to routes/controllers | Budget < 30% |
+| P4 | Add audit logging for auth failures | Budget < 60% |
+
+---
+
+## Role-Permission Matrix Format (Required)
+
+```
+Resource          | admin | manager | user | guest
+─────────────────────────────────────────────────
+GET /resource     |   ✅   |    ✅    |  ✅  |   ✅
+POST /resource    |   ✅   |    ✅    |  ❌  |   ❌
+DELETE /resource  |   ✅   |    ❌    |  ❌  |   ❌
+```
+
+---
+
+## Workflow
+
+### Phase 1 — Matrix Definition
+1. List all roles and resources from requirements
+2. Create Role-Permission Matrix (table format above)
+3. Identify conflicts or contradictions
+
+**Decision:** `IF matrix has contradiction → EXIT: BLOCKED — resolve ambiguity`
+
+### Phase 2 — Implementation
+1. Create deny-by-default guard/middleware
+2. Apply guards to routes using matrix
+3. Add auth failure logging
+
+### Phase 3 — Verification
+1. Read matrix vs implementation — spot check 3 routes
+
+---
+
+## Evidence Format
+```
+[SEVERITY] src/middleware/auth.ts:LINE
+Rule:       [WILDCARD | MISSING_GUARD | SOC_VIOLATION | HARDCODED_ROLE]
+Reason:     [specific issue]
+Confidence: HIGH
+Fix:        [specific change]
+```
+
+---
+
+## Exit Codes
+| Code | Meaning | When |
+|------|---------|------|
+| SUCCESS | Matrix defined, middleware implemented, deny-by-default applied | Implementation complete |
+| PARTIAL | Implemented but missing audit logging or some routes unguarded | Post-verification minor gaps |
+| BLOCKED | Roles or resources undefined — cannot create matrix | Missing inputs |
+| FAILED | Contradiction in matrix or auth/authz mixed | Architectural violation |
+
+---
+
+## Confidence Model
+| Level | Condition | Action |
+|-------|-----------|--------|
+| HIGH | Roles and resources explicitly defined | Build matrix and implement |
+| MEDIUM | Roles inferred from codebase | Build matrix, ask user to verify |
+| LOW | Authentication strategy unknown | EXIT: BLOCKED |
+
+---
+
+## Severity
+| Level | Definition | Example |
+|-------|-----------|---------|
+| CRITICAL | Route unguarded due to missing middleware | Anyone can access DELETE /users |
+| HIGH | Hardcoded roles in business logic | `if (user.role === 'admin')` in service layer |
+| MEDIUM | Wildcard permissions granted | `user` can access `*` |
+| LOW | Audit log missing for auth failure | Unlogged 403 error |
+
+---
+
+## Retry Policy
+```
+Route verification fails
+  └─ Route unguarded
+       ├─ Add missing guard to route
+       └─ Do NOT retry more than 1 time per route
+```
+
+---
+
+## Escalation Rules
+```
+BLOCKED: Roles or resources undefined
+Missing:
+  - List of user roles
+  - List of protected resources
+Questions:
+  1. Hệ thống có những role nào? (ví dụ: admin, user, manager)
+  2. Những API/Route nào cần bảo vệ?
+Recommended Assumptions:
+  - Deny-by-default for all non-public routes
+```
+
+---
+
+## Handoff Contract
+### Consumes
+```json
+{
+  "from": "user",
+  "required_fields": ["roles", "resources"],
+  "optional_fields": ["auth_strategy"]
+}
+```
+### Produces
+```json
+{
+  "to": "user",
+  "output_fields": ["role_matrix", "middleware_files", "guarded_routes", "exit_code"]
+}
+```
+
+---
+