code-ai-installer 3.0.0 → 4.0.1-a

package/domains/development/.agents/skills/cloud-infrastructure-security/agents/kimi.yaml

@@ -1,15 +1,15 @@
-name: "cloud-infrastructure-security"
-display_name: "Безопасность облака и инфраструктуры"
-description: "Security ревью облака/инфры/CI/CD — IAM, secrets manager, сеть, логирование/мониторинг, supply chain, CDN/WAF, backup/DR."
-default_prompt: "Используй $cloud-infrastructure-security, когда задача относится к навыку \"Безопасность облака и инфраструктуры\"."
-triggers:
-  - "cloud-infrastructure-security"
-  - "cloud infrastructure security"
-  - "Безопасность облака и инфраструктуры"
-  - "Security ревью облака/инфры/CI/CD — IAM, secrets manager, сеть, логирование/мониторинг, supply chain, CDN/WAF, backup/DR"
-capabilities:
-  - "cloud"
-  - "infrastructure"
-  - "security"
-tools: []
-implicit_invocation: true
+name: "cloud-infrastructure-security"
+display_name: "Безопасность облака и инфраструктуры"
+description: "Security ревью облака/инфры/CI/CD — IAM, secrets manager, сеть, логирование/мониторинг, supply chain, CDN/WAF, backup/DR."
+default_prompt: "Используй $cloud-infrastructure-security, когда задача относится к навыку \"Безопасность облака и инфраструктуры\"."
+triggers:
+  - "cloud-infrastructure-security"
+  - "cloud infrastructure security"
+  - "Безопасность облака и инфраструктуры"
+  - "Security ревью облака/инфры/CI/CD — IAM, secrets manager, сеть, логирование/мониторинг, supply chain, CDN/WAF, backup/DR"
+capabilities:
+  - "cloud"
+  - "infrastructure"
+  - "security"
+tools: []
+implicit_invocation: true

package/domains/development/.agents/skills/code-review-checklist/SKILL.md

@@ -1,125 +1,182 @@
 ---
 name: code-review-checklist
-description: Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD.
+description: "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD."
+type: reference
+domain: development
+owners:
+  - reviewer
+gates:
+  - REV
+tech: []
+topic:
+  - review
+  - security
+triggers:
+  - чек-лист ревью
+  - ревью кода
+  - качество кода
+  - проверка PR
+  - Definition of Done
+  - тестируемость кода
+related:
+  - api-contract-compliance-review
+  - api-contracts
+  - architecture-compliance-review
+  - architecture-doc
+  - review-reference-snippets
+  - security-review
+  - tests-quality-review
+budget_lines: 400
+schema_version: 1
 ---
 
+
 # Skill: Code Review Checklist
 
 Систематическое ревью PR/кода на соответствие стандартам проекта.
 
 **Разделы:**
-1. [Workflow](#1-workflow)
-2. [Checklist](#2-checklist)
-3. [Automated Checks](#3-automated)
-4. [Severity](#4-severity)
-5. [Output Template](#5-output)
+1. [Когда использовать](#1-when)
+2. [Workflow](#2-workflow)
+3. [Checklist](#3-checklist)
+4. [Automated Checks](#4-automated)
+5. [Severity](#5-severity)
+6. [Output Template](#6-output)
+7. [Anti-patterns](#7-anti-patterns)
+
+---
+
+## 1. Когда использовать <a id="1-when"></a>
+
+Используй этот чек-лист **после** того, как Senior Full Stack закончил кодинг, но **до** передачи задачи Tester'у или закрытия. Reviewer Agent использует этот чек-лист как primary framework.
 
 ---
 
-## 1. Workflow
+## 2. Workflow <a id="2-workflow"></a>
 
 ```
 1. Прочитай PR description / задачу
    └── Что должно измениться? Какие acceptance criteria?
 
-2. Автоматические проверки (section 3)
+2. Автоматические проверки (section 4)
    └── grep patterns, lint, tests, audit
 
-3. Пройди по checklist (section 2)
+3. Пройди по checklist (section 3)
    └── Для каждого пункта: PASS / FINDING (P0/P1/P2)
 
-4. Сформируй review report (section 5)
+4. Сформируй review report (section 6)
    └── Summary + findings + verdict
 ```
 
 ---
 
-## 2. Checklist
-
-### 2.1 Code Quality
-
-| # | Check | Guidance | Status |
-|---|-------|---------|--------|
-| Q1 | Ясные имена | Функции = глагол+объект (`createCoupon`), переменные = существительное (`activeCount`). Нет `data`, `temp`, `x` | ☐ |
-| Q2 | Маленькие функции | Одна ответственность, < 40 строк. Если > 60 → split | ☐ |
-| Q3 | Нет дублирования | DRY без фанатизма. 3+ повторения = extract to helper | ☐ |
-| Q4 | Нет магии | Никаких implicit side effects, hidden globals, undocumented hooks с бизнес-логикой | ☐ |
-| Q5 | JSDoc на функциях | `@param`, `@returns`, описание. Обязательно для public API | ☐ |
-| Q6 | Нет `console.log` | Заменить на pino logger. Исключение: тесты | ☐ |
-| Q7 | Нет `any` / `@ts-ignore` | Каждое использование = осознанное исключение с комментарием | ☐ |
-
-### 2.2 Architecture
-
-| # | Check | Guidance | Status |
-|---|-------|---------|--------|
-| A1 | Соответствует Architecture Doc / ADR | Новый модуль → проверь что он в диаграмме | ☐ |
-| A2 | Нет tight coupling | Модуль A не импортирует internals модуля B. Только public API | ☐ |
-| A3 | Нет God Object | Файл < 500 строк, класс < 10 public methods | ☐ |
-| A4 | Layer boundaries | Router → Controller → Service → Repository. Нет DB calls в router | ☐ |
-| A5 | Новые решения → ADR | Если ввёл новый паттерн, библиотеку, стратегию → ADR required | ☐ |
-
-### 2.3 API & Data
-
-| # | Check | Guidance | Status |
-|---|-------|---------|--------|
-| D1 | API контракты | Request/Response match `$api-contracts` spec. Новые endpoints documented | ☐ |
-| D2 | Validation на границе | Zod schema в middleware, до бизнес-логики | ☐ |
-| D3 | Error format | Единый `{ error: { code, message, details } }`. Нет stack/DB errors in response | ☐ |
-| D4 | Status codes | 201 для create, 204 для delete, 409 для duplicate. Не всё 200 | ☐ |
-| D5 | Data model consistent | Schema changes + migration present. Indexes added for new queries | ☐ |
-
-### 2.4 Tests
-
-| # | Check | Guidance | Status |
-|---|-------|---------|--------|
-| T1 | Tests added/updated | Новый код = новые тесты. Changed code = updated tests | ☐ |
-| T2 | Happy path covered | Основной сценарий работает | ☐ |
-| T3 | Edge cases | Empty input, max values, boundary conditions | ☐ |
-| T4 | Error paths | Invalid input → 400, not found → 404, auth → 401 | ☐ |
-| T5 | No flaky tests | Нет `setTimeout`, нет order dependency, стабильные тесты | ☐ |
-| T6 | AAA pattern | Arrange → Act → Assert. Один assert per concept | ☐ |
-| T7 | No test magic | Нет hardcoded IDs, no shared mutable state between tests | ☐ |
-
-### 2.5 Security
-
-| # | Check | Guidance | Status |
-|---|-------|---------|--------|
-| S1 | AuthZ on server | `req.appInstanceId` verified before data access. No IDOR | ☐ |
-| S2 | No secrets in code | No hardcoded passwords, API keys, tokens | ☐ |
-| S3 | Safe error messages | No stack trace, no DB error, no PII in response | ☐ |
-| S4 | Input sanitization | No `eval()`, no `dangerouslySetInnerHTML` without sanitize | ☐ |
-| S5 | Dependency audit | No known high/critical vulnerabilities | ☐ |
-
-### 2.6 Observability & Ops
-
-| # | Check | Guidance | Status |
-|---|-------|---------|--------|
-| O1 | Structured logging | pino with level, message, context fields | ☐ |
-| O2 | requestId correlation | All logs in request chain include requestId | ☐ |
-| O3 | No PII in logs | No email, password, token, creditCard logged | ☐ |
-| O4 | Health endpoints | `/health/live` and `/health/ready` working | ☐ |
-| O5 | Build/run instructions | README or comments explain how to run changed code | ☐ |
+## 3. Checklist <a id="3-checklist"></a>
+
+### 3.1 Definition of Done (DoD)
+
+| # | Check | Severity | Status |
+|---|-------|----------|--------|
+| REV-01 | PRD requirements выполнены (нет missing scope, acceptance criteria met) | 🔴 P0 | ☐ |
+| REV-02 | Code запускается без crash (нет syntax errors) | 🔴 P0 | ☐ |
+| REV-03 | UX Spec visually matched (нет missing UI elements) | 🔴 P0 | ☐ |
+| REV-04 | Нет `console.log` или debug code забытым | 🟠 P1 | ☐ |
+
+### 3.2 Code Quality
+
+| # | Check | Severity | Status |
+|---|-------|----------|--------|
+| REV-05 | Ясные имена (функции = глагол+объект `createCoupon`; переменные = существительное `activeCount`; нет `data`, `temp`, `x`) | 🟠 P1 | ☐ |
+| REV-06 | Маленькие функции (одна ответственность, < 40 строк; если > 60 → split) | 🟠 P1 | ☐ |
+| REV-07 | Нет дублирования (DRY без фанатизма; 3+ повторений = extract to helper) | 🟠 P1 | ☐ |
+| REV-08 | Нет магии (implicit side effects, hidden globals, undocumented hooks с бизнес-логикой) | 🟠 P1 | ☐ |
+| REV-09 | JSDoc на функциях (`@param`, `@returns`, описание; обязательно для public API) | 🔴 P0 | ☐ |
+| REV-10 | Нет `any` / `@ts-ignore` (каждое использование = осознанное исключение с комментарием) | 🟠 P1 | ☐ |
+| REV-11 | Нет магических чисел/hardcoded strings (extract to constant) | 🟠 P1 | ☐ |
+| REV-12 | React: нет useless re-renders, correct memoization (`useMemo`/`useCallback`) | 🟠 P1 | ☐ |
+| REV-13 | ESLint / Type checking passes (нет red squiggles) | 🔴 P0 | ☐ |
+| REV-14 | Go: correct error handling (`if err != nil`), нет hidden panics | 🔴 P0 | ☐ |
+
+### 3.3 Architecture
+
+| # | Check | Severity | Status |
+|---|-------|----------|--------|
+| REV-15 | Соответствует `$architecture-doc` / ADR (новый модуль → проверь, что в диаграмме) | 🔴 P0 | ☐ |
+| REV-16 | Нет tight coupling (модуль A не импортирует internals модуля B; только public API) | 🟠 P1 | ☐ |
+| REV-17 | Нет God Object (файл < 500 строк, класс < 10 public methods) | 🟠 P1 | ☐ |
+| REV-18 | Layer boundaries (Router → Controller → Service → Repository; нет DB calls в router) | 🔴 P0 | ☐ |
+| REV-19 | Новые паттерны/библиотеки/стратегии → ADR required | 🟠 P1 | ☐ |
+| REV-20 | Новый data model documented (если есть) | 🟠 P1 | ☐ |
+
+### 3.4 API & Data
+
+| # | Check | Severity | Status |
+|---|-------|----------|--------|
+| REV-21 | API контракты match `$api-contracts` spec (новые endpoints documented) | 🔴 P0 | ☐ |
+| REV-22 | Validation на границе (Zod schema в middleware, до бизнес-логики) | 🔴 P0 | ☐ |
+| REV-23 | Единый error format `{ error: { code, message, details } }` (нет stack/DB errors в response) | 🔴 P0 | ☐ |
+| REV-24 | Status codes (201 create, 204 delete, 409 duplicate; не всё 200) | 🟠 P1 | ☐ |
+| REV-25 | Data model consistent (schema changes + migration; indexes для новых queries) | 🟠 P1 | ☐ |
+
+### 3.5 Error Handling & Logging
+
+| # | Check | Severity | Status |
+|---|-------|----------|--------|
+| REV-26 | Errors caught (try/catch или `.catch()`) и handled | 🔴 P0 | ☐ |
+| REV-27 | Structured logging (pino с level, message, context) — не голый `console.error` | 🟠 P1 | ☐ |
+| REV-28 | requestId correlation во всех логах request chain | 🟠 P1 | ☐ |
+| REV-29 | Нет PII в логах (no email, password, token, creditCard) | 🔴 P0 | ☐ |
+
+### 3.6 Tests
+
+| # | Check | Severity | Status |
+|---|-------|----------|--------|
+| REV-30 | Tests added/updated (новый код = новые тесты; changed code = updated tests) | 🔴 P0 | ☐ |
+| REV-31 | Tests passing (`npm test` green) | 🔴 P0 | ☐ |
+| REV-32 | Happy path covered (основной сценарий работает) | 🔴 P0 | ☐ |
+| REV-33 | Edge cases (empty input, max values, boundary conditions) | 🟠 P1 | ☐ |
+| REV-34 | Error paths (invalid → 400, not found → 404, auth → 401) | 🟠 P1 | ☐ |
+| REV-35 | No flaky tests (нет `setTimeout`, нет order dependency) | 🟠 P1 | ☐ |
+| REV-36 | AAA pattern (Arrange → Act → Assert; один assert per concept) | 🟠 P1 | ☐ |
+| REV-37 | No test magic (нет hardcoded IDs, нет shared mutable state) | 🟠 P1 | ☐ |
+
+### 3.7 Security
+
+| # | Check | Severity | Status |
+|---|-------|----------|--------|
+| REV-38 | AuthZ on server (`req.appInstanceId` verified before data access; no IDOR) | 🔴 P0 | ☐ |
+| REV-39 | Нет secrets в коде (no hardcoded passwords, API keys, tokens; no frontend bundle exposure) | 🔴 P0 | ☐ |
+| REV-40 | Safe error messages (no stack trace, no DB error, no PII в response) | 🔴 P0 | ☐ |
+| REV-41 | Input sanitization (no `eval()`, no `dangerouslySetInnerHTML` без sanitize) | 🔴 P0 | ☐ |
+| REV-42 | Protected routes check Auth properly | 🔴 P0 | ☐ |
+| REV-43 | Dependency audit (no known high/critical vulnerabilities) | 🔴 P0 | ☐ |
+
+### 3.8 Observability & Ops
+
+| # | Check | Severity | Status |
+|---|-------|----------|--------|
+| REV-44 | Health endpoints (`/health/live` и `/health/ready` working) | 🟠 P1 | ☐ |
+| REV-45 | Build/run instructions (README или комментарии explain как запустить changed code) | 🟡 P2 | ☐ |
 
 ---
 
-## 3. Automated Checks
+## 4. Automated Checks <a id="4-automated"></a>
 
 ### Grep patterns (run during review)
 
 ```bash
 # Security
-grep_search: Query="console.log"              → P1: replace with pino
-grep_search: Query="eval("                    → P0: code injection risk
+grep_search: Query="console.log"               → P1: replace with pino
+grep_search: Query="eval("                     → P0: code injection risk
 grep_search: Query="dangerouslySetInnerHTML"   → P0: XSS risk
-grep_search: Query="password.*=.*\""          → P0: hardcoded secret
-grep_search: Query="@ts-ignore"               → P1: type safety bypass
-grep_search: Query="any"  Includes=["*.ts"]   → P1: weak typing
-grep_search: Query="eslint-disable"           → P1: rule bypass
-grep_search: Query="TODO|FIXME|HACK|XXX"      → P2: track tech debt
+grep_search: Query="password.*=.*\""           → P0: hardcoded secret
+grep_search: Query="@ts-ignore"                → P1: type safety bypass
+grep_search: Query="any" Includes=["*.ts"]     → P1: weak typing
+grep_search: Query="eslint-disable"            → P1: rule bypass
+grep_search: Query="TODO|FIXME|HACK|XXX"       → P2: track tech debt
 
 # Architecture
-grep_search: Query="mongoose" Includes=["*/routes/*","*/controllers/*"]  → P1: DB in wrong layer
-grep_search: Query="req.body" Includes=["*/services/*"]                  → P1: HTTP in service layer
+grep_search: Query="mongoose" Includes=["*/routes/*","*/controllers/*"]  → P1: DB в wrong layer
+grep_search: Query="req.body" Includes=["*/services/*"]                  → P1: HTTP в service layer
 
 # Tests
 find_by_name: Pattern="*.test.*" → count test files vs source files
@@ -128,7 +185,7 @@ find_by_name: Pattern="*.spec.*" → same
 
 ---
 
-## 4. Severity
+## 5. Severity <a id="5-severity"></a>
 
 | Level | Description | Action |
 |-------|-----------|--------|
@@ -138,7 +195,9 @@ find_by_name: Pattern="*.spec.*" → same
 
 ---
 
-## 5. Output Template
+## 6. Output Template <a id="6-output"></a>
+
+### Full review report
 
 ```markdown
 # Code Review Report
@@ -149,7 +208,7 @@ find_by_name: Pattern="*.spec.*" → same
 **Files reviewed:** <count>
 
 ## Summary
-<1-2 sentences: what this PR does, overall quality assessment>
+<1-2 sentences: что этот PR делает, общая оценка качества>
 
 ## Automated Checks
 | Check | Result |
@@ -171,30 +230,57 @@ find_by_name: Pattern="*.spec.*" → same
 
 | Section | Pass | Findings | Total |
 |---------|:----:|:--------:|:-----:|
-| Code Quality | 6 | 1 | 7 |
-| Architecture | 5 | 0 | 5 |
+| DoD | 4 | 0 | 4 |
+| Code Quality | 9 | 1 | 10 |
+| Architecture | 6 | 0 | 6 |
 | API & Data | 4 | 1 | 5 |
-| Tests | 5 | 2 | 7 |
-| Security | 4 | 1 | 5 |
-| Observability | 5 | 0 | 5 |
-| **Total** | **29** | **5** | **34** |
+| Errors & Logging | 4 | 0 | 4 |
+| Tests | 6 | 2 | 8 |
+| Security | 5 | 1 | 6 |
+| Observability | 2 | 0 | 2 |
 
 ## Verdict
-- ✅ **APPROVED** — no P0/P1, minor P2 notes
+- ✅ **APPROVED** — no P0/P1, minor P2 notes.
 - ⚠️ **CHANGES REQUESTED** — P0/P1 must be fixed before merge
 - ❌ **REJECTED** — fundamental issues, needs redesign
+```
+
+### Compact templates (alternative)
+
+```markdown
+# Code Review: Approved
+All checks passed. **DoD:** Met. **Code Quality:** Good. **Contracts:** API matches spec.
+**Next:** Handoff to Tester.
+```
+
+```markdown
+# Code Review: Changes Requested
+
+## P0 Blockers (Must Fix)
+- **REV-09 (JSDoc):** `calculateTotal()` в `src/utils/cart.js:45` is missing JSDoc.
+- **REV-22 (Security):** `POST /checkout` is missing Zod body validation.
 
-## DoD Verification
-- [x] CI green (lint + tests + audit)
-- [x] Acceptance criteria met
-- [ ] P0/P1 findings resolved ← blocking
-- [x] Documentation updated
+## P1 Recommendations (Should Fix)
+- **REV-11 (Code Quality):** Hardcoded tax rate `0.2` в `cart.js:52`. Extract to constant.
+
+**Next:** Return to Senior Full Stack to fix P0/P1.
 ```
+## 7. Anti-patterns <a id="7-anti-patterns"></a>
+
+| ❌ Anti-pattern | ✅ Solution |
+|----------------|-----------|
+| **Rubber stamping** | Реально запусти `npm run test` или check code logic. Не говори просто "LGTM" |
+| **Nitpicking без P0/P1 labels** | Чётко separate blockers (P0) от stylistic suggestions (P2) |
+| **Ignoring the contract** | Код может быть красивым, но если возвращает HTTP 200 вместо 201 по `$api-contracts` — это bug |
+| **Skipping security checks** | Always check input validation и auth boundaries |
 
 ---
 
 ## См. также
-- `$security-review` — deep security review (when S1-S5 need more depth)
-- `$tests-quality-review` — deep test quality review
-- `$api-contract-compliance-review` — API contract verification
+- `$api-contract-compliance-review` — deeper dive в API contracts
+- `$api-contracts` — API спецификации
+- `$architecture-compliance-review` — deeper dive в layer boundaries
+- `$architecture-doc` — architectural reference
 - `$review-reference-snippets` — DO/DON'T code examples
+- `$security-review` — deep AppSec review
+- `$tests-quality-review` — deep test quality review

package/domains/development/.agents/skills/code-review-checklist/agents/kimi.yaml

@@ -1,15 +1,15 @@
-name: "code-review-checklist"
-display_name: "Чек-лист код-ревью"
-description: "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD."
-default_prompt: "Используй $code-review-checklist, когда задача относится к навыку \"Чек-лист код-ревью\"."
-triggers:
-  - "code-review-checklist"
-  - "code review checklist"
-  - "Чек-лист код-ревью"
-  - "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD"
-capabilities:
-  - "code"
-  - "review"
-  - "checklist"
-tools: []
-implicit_invocation: true
+name: "code-review-checklist"
+display_name: "Чек-лист код-ревью"
+description: "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD."
+default_prompt: "Используй $code-review-checklist, когда задача относится к навыку \"Чек-лист код-ревью\"."
+triggers:
+  - "code-review-checklist"
+  - "code review checklist"
+  - "Чек-лист код-ревью"
+  - "Универсальный чек-лист ревью — качество кода, читаемость, тестируемость, безопасность, контракты, DoD"
+capabilities:
+  - "code"
+  - "review"
+  - "checklist"
+tools: []
+implicit_invocation: true