code-ai-installer 1.2.0 → 1.3.1

package/.agents/code_review_checklist/SKILL.md

@@ -1,47 +1,200 @@
----
-name: code_review_checklist
-description: Универсальный чек-лист ревью: качество кода, читаемость, тестируемость, безопасность, контракты, DoD.
----
-
-# Skill: Code Review Checklist
-
-## Цель
-Быстро оценить PR на полноту и соответствие стандартам.
-
-## Checklist
-### Code Quality
-- [ ] Ясные имена, маленькие функции/модули
-- [ ] Нет дублирования без причины
-- [ ] Нет “магии” (неочевидных сайд-эффектов)
-- [ ] Соблюдены границы слоёв/модулей
-
-### Architecture
-- [ ] Соответствует Architecture Doc / ADR
-- [ ] Нет Tight Coupling / God Object / Big Ball of Mud
-- [ ] Новые решения зафиксированы ADR при необходимости
-
-### API & Data
-- [ ] Контракты соблюдены (schemas, codes, errors)
-- [ ] Валидация на границе
-- [ ] Модель данных/миграции консистентны
-
-### Tests
-- [ ] Unit + Integration тесты добавлены/обновлены
-- [ ] Покрыты happy + edge + error paths
-- [ ] Нет флейков/зависимостей тестов друг от друга
-
-### Security
-- [ ] AuthZ на сервере
-- [ ] Нет секретов в коде/логах
-- [ ] Безопасные ошибки (без stack/SQL/PII)
-- [ ] Dependency hygiene
-
-### Observability & Ops
-- [ ] request_id/trace_id корреляция (если применимо)
-- [ ] Логи структурированы, без PII/секретов
-- [ ] Инструкции запуска/проверки присутствуют
-
-## Выход
-- PASS: ...
-- MISSING: ...
-- Findings P0/P1/P2
+---
+name: code_review_checklist
+description: Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD.
+---
+
+# Skill: Code Review Checklist
+
+Систематическое ревью PR/кода на соответствие стандартам проекта.
+
+**Разделы:**
+1. [Workflow](#1-workflow)
+2. [Checklist](#2-checklist)
+3. [Automated Checks](#3-automated)
+4. [Severity](#4-severity)
+5. [Output Template](#5-output)
+
+---
+
+## 1. Workflow
+
+```
+1. Прочитай PR description / задачу
+   └── Что должно измениться? Какие acceptance criteria?
+
+2. Автоматические проверки (section 3)
+   └── grep patterns, lint, tests, audit
+
+3. Пройди по checklist (section 2)
+   └── Для каждого пункта: PASS / FINDING (P0/P1/P2)
+
+4. Сформируй review report (section 5)
+   └── Summary + findings + verdict
+```
+
+---
+
+## 2. Checklist
+
+### 2.1 Code Quality
+
+| # | Check | Guidance | Status |
+|---|-------|---------|--------|
+| Q1 | Ясные имена | Функции = глагол+объект (`createCoupon`), переменные = существительное (`activeCount`). Нет `data`, `temp`, `x` | ☐ |
+| Q2 | Маленькие функции | Одна ответственность, < 40 строк. Если > 60 → split | ☐ |
+| Q3 | Нет дублирования | DRY без фанатизма. 3+ повторения = extract to helper | ☐ |
+| Q4 | Нет магии | Никаких implicit side effects, hidden globals, undocumented hooks с бизнес-логикой | ☐ |
+| Q5 | JSDoc на функциях | `@param`, `@returns`, описание. Обязательно для public API | ☐ |
+| Q6 | Нет `console.log` | Заменить на pino logger. Исключение: тесты | ☐ |
+| Q7 | Нет `any` / `@ts-ignore` | Каждое использование = осознанное исключение с комментарием | ☐ |
+
+### 2.2 Architecture
+
+| # | Check | Guidance | Status |
+|---|-------|---------|--------|
+| A1 | Соответствует Architecture Doc / ADR | Новый модуль → проверь что он в диаграмме | ☐ |
+| A2 | Нет tight coupling | Модуль A не импортирует internals модуля B. Только public API | ☐ |
+| A3 | Нет God Object | Файл < 500 строк, класс < 10 public methods | ☐ |
+| A4 | Layer boundaries | Router → Controller → Service → Repository. Нет DB calls в router | ☐ |
+| A5 | Новые решения → ADR | Если ввёл новый паттерн, библиотеку, стратегию → ADR required | ☐ |
+
+### 2.3 API & Data
+
+| # | Check | Guidance | Status |
+|---|-------|---------|--------|
+| D1 | API контракты | Request/Response match `$api_contracts` spec. Новые endpoints documented | ☐ |
+| D2 | Validation на границе | Zod schema в middleware, до бизнес-логики | ☐ |
+| D3 | Error format | Единый `{ error: { code, message, details } }`. Нет stack/DB errors in response | ☐ |
+| D4 | Status codes | 201 для create, 204 для delete, 409 для duplicate. Не всё 200 | ☐ |
+| D5 | Data model consistent | Schema changes + migration present. Indexes added for new queries | ☐ |
+
+### 2.4 Tests
+
+| # | Check | Guidance | Status |
+|---|-------|---------|--------|
+| T1 | Tests added/updated | Новый код = новые тесты. Changed code = updated tests | ☐ |
+| T2 | Happy path covered | Основной сценарий работает | ☐ |
+| T3 | Edge cases | Empty input, max values, boundary conditions | ☐ |
+| T4 | Error paths | Invalid input → 400, not found → 404, auth → 401 | ☐ |
+| T5 | No flaky tests | Нет `setTimeout`, нет order dependency, стабильные тесты | ☐ |
+| T6 | AAA pattern | Arrange → Act → Assert. Один assert per concept | ☐ |
+| T7 | No test magic | Нет hardcoded IDs, no shared mutable state between tests | ☐ |
+
+### 2.5 Security
+
+| # | Check | Guidance | Status |
+|---|-------|---------|--------|
+| S1 | AuthZ on server | `req.appInstanceId` verified before data access. No IDOR | ☐ |
+| S2 | No secrets in code | No hardcoded passwords, API keys, tokens | ☐ |
+| S3 | Safe error messages | No stack trace, no DB error, no PII in response | ☐ |
+| S4 | Input sanitization | No `eval()`, no `dangerouslySetInnerHTML` without sanitize | ☐ |
+| S5 | Dependency audit | No known high/critical vulnerabilities | ☐ |
+
+### 2.6 Observability & Ops
+
+| # | Check | Guidance | Status |
+|---|-------|---------|--------|
+| O1 | Structured logging | pino with level, message, context fields | ☐ |
+| O2 | requestId correlation | All logs in request chain include requestId | ☐ |
+| O3 | No PII in logs | No email, password, token, creditCard logged | ☐ |
+| O4 | Health endpoints | `/health/live` and `/health/ready` working | ☐ |
+| O5 | Build/run instructions | README or comments explain how to run changed code | ☐ |
+
+---
+
+## 3. Automated Checks
+
+### Grep patterns (run during review)
+
+```bash
+# Security
+grep_search: Query="console.log"              → P1: replace with pino
+grep_search: Query="eval("                    → P0: code injection risk
+grep_search: Query="dangerouslySetInnerHTML"   → P0: XSS risk
+grep_search: Query="password.*=.*\""          → P0: hardcoded secret
+grep_search: Query="@ts-ignore"               → P1: type safety bypass
+grep_search: Query="any"  Includes=["*.ts"]   → P1: weak typing
+grep_search: Query="eslint-disable"           → P1: rule bypass
+grep_search: Query="TODO|FIXME|HACK|XXX"      → P2: track tech debt
+
+# Architecture
+grep_search: Query="mongoose" Includes=["*/routes/*","*/controllers/*"]  → P1: DB in wrong layer
+grep_search: Query="req.body" Includes=["*/services/*"]                  → P1: HTTP in service layer
+
+# Tests
+find_by_name: Pattern="*.test.*" → count test files vs source files
+find_by_name: Pattern="*.spec.*" → same
+```
+
+---
+
+## 4. Severity
+
+| Level | Description | Action |
+|-------|-----------|--------|
+| 🔴 **P0** | Security vulnerability, data loss, broken core flow | Block merge. Fix immediately |
+| 🟠 **P1** | Tech debt, missing validation, no tests, architecture violation | Request fix before merge |
+| 🟡 **P2** | Style, naming, minor optimization, nice-to-have | Optional. Note for future |
+
+---
+
+## 5. Output Template
+
+```markdown
+# Code Review Report
+
+**PR/Task:** <title>
+**Reviewer:** Reviewer Agent
+**Date:** YYYY-MM-DD
+**Files reviewed:** <count>
+
+## Summary
+<1-2 sentences: what this PR does, overall quality assessment>
+
+## Automated Checks
+| Check | Result |
+|-------|--------|
+| Lint (biome) | ✅ Pass |
+| Tests (vitest) | ✅ Pass (42/42) |
+| npm audit | ⚠️ 1 moderate |
+| Secret scan | ✅ Clean |
+
+## Findings
+
+| # | Severity | Category | File | Finding | Recommendation |
+|---|----------|----------|------|---------|----------------|
+| 1 | 🔴 P0 | Security | `api/routes/settings.js:32` | No authZ check — any user can update any settings | Add appInstanceId ownership check |
+| 2 | 🟠 P1 | Tests | `api/services/coupon.test.js` | No error path test for duplicate coupon | Add test: POST with duplicate code → 409 |
+| 3 | 🟡 P2 | Quality | `dashboard/components/Timer.jsx:15` | Magic number `60` | Extract to constant `SECONDS_PER_MINUTE` |
+
+## Checklist Summary
+
+| Section | Pass | Findings | Total |
+|---------|:----:|:--------:|:-----:|
+| Code Quality | 6 | 1 | 7 |
+| Architecture | 5 | 0 | 5 |
+| API & Data | 4 | 1 | 5 |
+| Tests | 5 | 2 | 7 |
+| Security | 4 | 1 | 5 |
+| Observability | 5 | 0 | 5 |
+| **Total** | **29** | **5** | **34** |
+
+## Verdict
+- ✅ **APPROVED** — no P0/P1, minor P2 notes
+- ⚠️ **CHANGES REQUESTED** — P0/P1 must be fixed before merge
+- ❌ **REJECTED** — fundamental issues, needs redesign
+
+## DoD Verification
+- [x] CI green (lint + tests + audit)
+- [x] Acceptance criteria met
+- [ ] P0/P1 findings resolved ← blocking
+- [x] Documentation updated
+```
+
+---
+
+## См. также
+- `$security_review` — deep security review (when S1-S5 need more depth)
+- `$tests_quality_review` — deep test quality review
+- `$api_contract_compliance_review` — API contract verification
+- `$review_reference_snippets` — DO/DON'T code examples

package/.agents/code_review_checklist/agents/claude.json

@@ -1,13 +1,13 @@
 {
   "name": "code_review_checklist",
   "display_name": "Чек-лист код-ревью",
-  "description": "Универсальный чек-лист ревью: качество кода, читаемость, тестируемость, безопасность, контракты, DoD.",
+  "description": "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD.",
   "default_prompt": "Используй $code_review_checklist, когда задача относится к навыку \"Чек-лист код-ревью\".",
   "triggers": [
     "code_review_checklist",
     "code review checklist",
     "Чек-лист код-ревью",
-    "Универсальный чек-лист ревью"
+    "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD"
   ],
   "capabilities": [
     "code",

package/.agents/code_review_checklist/agents/copilot.json

@@ -1,13 +1,13 @@
 {
   "name": "code_review_checklist",
   "display_name": "Чек-лист код-ревью",
-  "description": "Универсальный чек-лист ревью: качество кода, читаемость, тестируемость, безопасность, контракты, DoD.",
+  "description": "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD.",
   "default_prompt": "Используй $code_review_checklist, когда задача относится к навыку \"Чек-лист код-ревью\".",
   "triggers": [
     "code_review_checklist",
     "code review checklist",
     "Чек-лист код-ревью",
-    "Универсальный чек-лист ревью"
+    "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD"
   ],
   "capabilities": [
     "code",

package/.agents/code_review_checklist/agents/gemini.json

@@ -1,13 +1,13 @@
 {
   "name": "code_review_checklist",
   "display_name": "Чек-лист код-ревью",
-  "description": "Универсальный чек-лист ревью: качество кода, читаемость, тестируемость, безопасность, контракты, DoD.",
+  "description": "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD.",
   "default_prompt": "Используй $code_review_checklist, когда задача относится к навыку \"Чек-лист код-ревью\".",
   "triggers": [
     "code_review_checklist",
     "code review checklist",
     "Чек-лист код-ревью",
-    "Универсальный чек-лист ревью"
+    "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD"
   ],
   "capabilities": [
     "code",

package/.agents/code_review_checklist/agents/openai.yaml

@@ -1,6 +1,6 @@
 interface:
   display_name: "Чек-лист код-ревью"
-  short_description: "Универсальный чек-лист ревью: качество кода, читаемость, тестируемость, безопасность, контракты…"
+  short_description: "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракт…"
   default_prompt: "Используй $code_review_checklist, когда задача относится к навыку \"Чек-лист код-ревью\"."
 dependencies:
   tools: []

package/.agents/code_review_checklist/agents/qwen.json

@@ -1,13 +1,13 @@
 {
   "name": "code_review_checklist",
   "display_name": "Чек-лист код-ревью",
-  "description": "Универсальный чек-лист ревью: качество кода, читаемость, тестируемость, безопасность, контракты, DoD.",
+  "description": "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD.",
   "default_prompt": "Используй $code_review_checklist, когда задача относится к навыку \"Чек-лист код-ревью\".",
   "triggers": [
     "code_review_checklist",
     "code review checklist",
     "Чек-лист код-ревью",
-    "Универсальный чек-лист ревью"
+    "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD"
   ],
   "capabilities": [
     "code",

package/.agents/code_review_checklist/agents/skill.yaml

@@ -1,13 +1,13 @@
 version: 1
 name: "code_review_checklist"
 display_name: "Чек-лист код-ревью"
-description: "Универсальный чек-лист ревью: качество кода, читаемость, тестируемость, безопасность, контракты, DoD."
+description: "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD."
 default_prompt: "Используй $code_review_checklist, когда задача относится к навыку \"Чек-лист код-ревью\"."
 triggers:
   - "code_review_checklist"
   - "code review checklist"
   - "Чек-лист код-ревью"
-  - "Универсальный чек-лист ревью"
+  - "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD"
 capabilities:
   - "code"
   - "review"

package/.agents/current_state_analysis/SKILL.md

@@ -1,44 +1,225 @@
----
-name: current_state_analysis
-description: Анализ текущей архитектуры репозитория: конвенции, паттерны, техдолг, узкие места масштабирования, риски безопасности и консистентность.
----
-
-# Skill: Current State Analysis
-
-## Цель
-Понять текущую систему, чтобы новые решения не ломали конвенции и реально снижали техдолг.
-
-## Когда использовать
-- Проект уже существует / есть репозиторий с кодом
-- Есть legacy или частично реализованные фичи
-
-## Выход (Deliverables)
-- Current Architecture Summary
-- Patterns & Conventions
-- Technical Debt (top 5–15)
-- Scalability limitations
-- Security baseline issues (если видны)
-- Recommendations (quick wins + strategic)
-
-## Алгоритм
-1) Обзор структуры репо (папки, слои, boundaries)
-2) Определи ключевые паттерны (FE/BE/data) и стиль
-3) Найди “узкие места”:
-   - statefulness
-   - N+1/медленные запросы
-   - сильная связность
-   - отсутствие кэширования (если нужно)
-   - отсутствие наблюдаемости
-4) Зафиксируй техдолг и риски
-5) Предложи план исправлений: quick wins vs позже
-
-## Формат ответа
-### Summary
-### Deliverables
-### Findings
-- Patterns/Conventions
-- Tech Debt
-- Scalability Limits
-- Security Notes
-### Recommendations
-### Next Actions (IDs: ARCH-xx)
+---
+name: current_state_analysis
+description: Анализ текущей архитектуры репозитория — конвенции, паттерны, техдолг, узкие места масштабирования, риски безопасности и консистентность.
+---
+
+# Skill: Current State Analysis
+
+Системный аудит существующего кода перед началом новой задачи.
+
+**Разделы:**
+1. [Когда использовать](#1-когда-использовать)
+2. [Алгоритм аудита](#2-алгоритм)
+3. [Что искать (checklist)](#3-что-искать)
+4. [Severity levels](#4-severity)
+5. [Output Template](#5-output-template)
+6. [Пример анализа](#6-пример)
+
+---
+
+## 1. Когда использовать
+
+- Проект уже существует / есть репозиторий с кодом
+- Перед ARCH gate (новая фича, рефакторинг, миграция)
+- Есть legacy или частично реализованные фичи
+- Команда хочет понять текущее состояние перед планированием
+
+---
+
+## 2. Алгоритм
+
+```
+1. Обзор структуры (5 min)
+   ├── list_dir → root, src/, packages/
+   ├── package.json → deps, scripts, engines
+   ├── Docker files → сервисы, порты, volumes
+   └── Config files → .env.example, tsconfig, biome, vitest
+
+2. Идентификация паттернов (10 min)
+   ├── FE: framework, state management, routing, styling
+   ├── BE: framework, layers (router/controller/service/repo), middleware
+   ├── Data: ORM/ODM, schema strategy, migrations
+   └── Infra: CI/CD, Docker, reverse proxy, certs
+
+3. Поиск узких мест (10 min)
+   ├── grep_search → console.log, TODO, FIXME, HACK, XXX
+   ├── grep_search → hardcoded secrets, passwords, API keys
+   ├── grep_search → any, eslint-disable, @ts-ignore
+   ├── find_by_name → *.test.*, *.spec.* (coverage)
+   └── Ручная проверка → N+1, god objects, tight coupling
+
+4. Фиксация findings (5 min)
+   └── Заполнить Output Template (section 5)
+
+5. Формирование рекомендаций
+   └── Quick wins (< 1h) vs Strategic (> 1 sprint)
+```
+
+---
+
+## 3. Что искать
+
+### Структура и конвенции
+
+| Что проверить | Как | Red flag |
+|--------------|-----|----------|
+| Слои (FE/BE) | `list_dir` src/ | Нет чёткого разделения |
+| Naming | Файлы, переменные, exports | Смешанные стили (camelCase + snake_case) |
+| JSDoc | `grep_search` `@param` | Нет документации функций |
+| Imports | Абсолютные vs относительные | `../../../` — deep nesting |
+| Config | `.env.example`, schema validation | Нет валидации env vars |
+
+### Технический долг
+
+| Что искать | Grep pattern | Severity |
+|-----------|-------------|----------|
+| `console.log` в production | `console.log` (исключая тесты) | P1 |
+| TODO/FIXME | `TODO\|FIXME\|HACK\|XXX` | P1-P2 |
+| Hardcoded secrets | `password.*=\|secret.*=\|apiKey.*=` | 🔴 P0 |
+| Disabled linting | `eslint-disable\|@ts-ignore\|biome-ignore` | P1 |
+| `any` types | `:\s*any\b` (в .ts файлах) | P1 |
+| Missing error handling | `catch\s*\(\s*\)` (empty catch) | P1 |
+| Outdated deps | `npm outdated` / `npm audit` | P1-P2 |
+| Dead code | Unused exports, unreachable branches | P2 |
+
+### Производительность
+
+| Что искать | Где | Red flag |
+|-----------|-----|----------|
+| N+1 queries | Loops с DB calls внутри | 🔴 P0 |
+| Missing indexes | Schema definitions | P0-P1 |
+| No `.lean()` | Mongoose queries в API responses | P1 |
+| No `.select()` | Full document fetch для list endpoints | P1 |
+| `skip()` pagination | Large collections | P1 |
+| Sync heavy ops | Main thread blocking | P0 |
+
+### Безопасность
+
+| Что искать | Как | Severity |
+|-----------|-----|----------|
+| NoSQL injection | `Model.find(req.query)` | 🔴 P0 |
+| XSS | `dangerouslySetInnerHTML` без sanitize | 🔴 P0 |
+| Secrets в коде | `grep_search` API keys, tokens | 🔴 P0 |
+| No Helmet | Express без `helmet()` | P1 |
+| No CORS whitelist | `cors({ origin: '*' })` | P1 |
+| No rate limiting | Public endpoints без throttle | P1 |
+
+---
+
+## 4. Severity
+
+| Level | Описание | Действие |
+|-------|---------|----------|
+| 🔴 **P0** | Блокер: security vulnerability, data loss risk, broken core flow | Исправить до release |
+| 🟠 **P1** | Важно: tech debt, missing validation, no tests, performance risk | Запланировать в текущем спринте |
+| 🟡 **P2** | Улучшение: code style, naming, dead code, minor optimizations | Backlog |
+
+---
+
+## 5. Output Template
+
+```markdown
+# Current State Analysis: <project-name>
+
+**Date:** YYYY-MM-DD
+**Analyst:** Architect Agent
+**Scope:** <что анализировали>
+
+## Summary
+<1-2 абзаца: что это за проект, ключевые технологии, текущий статус>
+
+## Stack
+| Layer | Technology | Version |
+|-------|-----------|---------|
+| Frontend | React | 18.x |
+| Backend | Express | 4.x |
+| Database | MongoDB + Mongoose | 7.x |
+| Infra | Docker + Caddy | ... |
+
+## Conventions (обнаруженные паттерны)
+- **Naming:** camelCase для файлов, PascalCase для компонентов
+- **Layers:** router → controller → service → repository
+- **State:** Zustand / context
+- **Styling:** CSS Modules / Tailwind
+- **Testing:** Vitest + RTL
+
+## Technical Debt
+
+| # | Finding | Severity | Location | Recommendation |
+|---|---------|----------|----------|----------------|
+| 1 | No input validation on API endpoints | 🔴 P0 | `api/routes/*.js` | Add Zod schemas |
+| 2 | console.log in production code | 🟠 P1 | 12 files | Replace with pino logger |
+| 3 | No JSDoc on service functions | 🟡 P2 | `api/services/` | Add JSDoc blocks |
+
+## Scalability Limits
+- <конкретные bottlenecks: no indexes, sync ops, no cache, etc.>
+
+## Security Notes
+- <hardcoded secrets, no CORS, injection risks, etc.>
+
+## Recommendations
+
+### Quick Wins (< 1 hour each)
+1. Add Helmet middleware
+2. Add .env validation (Zod)
+3. Replace console.log with pino
+
+### Strategic (requires planning)
+1. ARCH-xx: Implement input validation layer
+2. ARCH-xx: Add integration tests for critical paths
+3. ARCH-xx: Set up CI pipeline
+
+## Next Actions
+- [ ] ARCH-01: <описание>
+- [ ] ARCH-02: <описание>
+```
+
+---
+
+## 6. Пример анализа (фрагмент)
+
+```markdown
+# Current State Analysis: Smart Cart Rescue
+
+**Date:** 2025-12-01
+**Scope:** Full repository audit
+
+## Summary
+Wix Self-Hosted App с Dashboard (React 18 + Vite) и API (Express 4).
+Embedded Script показывает popup на Wix сайтах.
+Монорепо с Docker Compose + Caddy gateway.
+
+## Technical Debt
+
+| # | Finding | Severity | Location | Recommendation |
+|---|---------|----------|----------|----------------|
+| 1 | Widget payload hardcoded in script | 🔴 P0 | `widget/embedded-script.js` | Fetch from API |
+| 2 | No error boundaries in React | 🟠 P1 | Dashboard components | Add ErrorBoundary wrapper |
+| 3 | Mixed import styles (CJS + ESM) | 🟡 P2 | API server files | Migrate to ESM |
+
+## Scalability Limits
+- No DB indexes on `settings.appInstanceId` (collection scan on every widget request)
+- Embedded script fetches config on every page load (no caching)
+
+## Quick Wins
+1. Add compound index `{ appInstanceId: 1 }` on settings collection
+2. Add `Cache-Control` header to widget endpoint
+3. Add Helmet to Express app
+```
+
+---
+
+## Deliverables
+
+| Артефакт | Формат | Где сохранять |
+|---------|--------|---------------|
+| Current State Analysis | Markdown (output template above) | `docs/architecture/current-state-analysis.md` |
+| Tech Debt backlog | ARCH-xx items | `docs/architecture/tech-debt.md` или задачи в backlog |
+
+---
+
+## См. также
+- `$system_design_checklist` — checklist для нового дизайна
+- `$architecture_doc` — полный Architecture Document
+- `$security_baseline_dev` — детальная проверка безопасности
+- `$observability_logging` — наблюдаемость

package/.agents/current_state_analysis/agents/claude.json

@@ -1,13 +1,13 @@
 {
   "name": "current_state_analysis",
   "display_name": "Анализ текущего состояния",
-  "description": "Анализ текущей архитектуры репозитория: конвенции, паттерны, техдолг, узкие места масштабирования, риски безопасности и консистентность.",
+  "description": "Анализ текущей архитектуры репозитория — конвенции, паттерны, техдолг, узкие места масштабирования, риски безопасности и консистентность.",
   "default_prompt": "Используй $current_state_analysis, когда задача относится к навыку \"Анализ текущего состояния\".",
   "triggers": [
     "current_state_analysis",
     "current state analysis",
     "Анализ текущего состояния",
-    "Анализ текущей архитектуры репозитория"
+    "Анализ текущей архитектуры репозитория — конвенции, паттерны, техдолг, узкие места масштабирования, риски безопасности и консистентность"
   ],
   "capabilities": [
     "current",

package/.agents/current_state_analysis/agents/copilot.json

@@ -1,13 +1,13 @@
 {
   "name": "current_state_analysis",
   "display_name": "Анализ текущего состояния",
-  "description": "Анализ текущей архитектуры репозитория: конвенции, паттерны, техдолг, узкие места масштабирования, риски безопасности и консистентность.",
+  "description": "Анализ текущей архитектуры репозитория — конвенции, паттерны, техдолг, узкие места масштабирования, риски безопасности и консистентность.",
   "default_prompt": "Используй $current_state_analysis, когда задача относится к навыку \"Анализ текущего состояния\".",
   "triggers": [
     "current_state_analysis",
     "current state analysis",
     "Анализ текущего состояния",
-    "Анализ текущей архитектуры репозитория"
+    "Анализ текущей архитектуры репозитория — конвенции, паттерны, техдолг, узкие места масштабирования, риски безопасности и консистентность"
   ],
   "capabilities": [
     "current",