code-ai-installer 3.0.0 → 4.0.1-a

package/domains/development/.agents/skills/review-reference-snippets/agents/kimi.yaml

@@ -1,15 +1,15 @@
-name: "review-reference-snippets"
-display_name: "Референсы для ревью"
-description: "Единый набор примеров (do/don’t) и шаблонов комментариев ревью: AppSec, Cloud/CI, контракты API, тесты, observability."
-default_prompt: "Используй $review-reference-snippets, когда задача относится к навыку \"Референсы для ревью\"."
-triggers:
-  - "review-reference-snippets"
-  - "review reference snippets"
-  - "Референсы для ревью"
-  - "Единый набор примеров (do/don’t) и шаблонов комментариев ревью"
-capabilities:
-  - "review"
-  - "reference"
-  - "snippets"
-tools: []
-implicit_invocation: true
+name: "review-reference-snippets"
+display_name: "Референсы для ревью"
+description: "Единый набор примеров (do/don’t) и шаблонов комментариев ревью: AppSec, Cloud/CI, контракты API, тесты, observability."
+default_prompt: "Используй $review-reference-snippets, когда задача относится к навыку \"Референсы для ревью\"."
+triggers:
+  - "review-reference-snippets"
+  - "review reference snippets"
+  - "Референсы для ревью"
+  - "Единый набор примеров (do/don’t) и шаблонов комментариев ревью"
+capabilities:
+  - "review"
+  - "reference"
+  - "snippets"
+tools: []
+implicit_invocation: true

package/domains/development/.agents/skills/security-baseline-dev/SKILL.md

@@ -1,11 +1,47 @@
 ---
 name: security-baseline-dev
-description: Базовая безопасность в реализации — валидация входных данных (Zod), secrets management, безопасные ошибки, auth/authz patterns, XSS/injection prevention, dependency audit, secure headers. DO/DON'T примеры. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно».
+description: Базовая безопасность в реализации — decision rules для валидации (Zod), secrets management, безопасных ошибок, auth/authz, XSS/injection prevention, dependency audit, secure headers. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно». Полные code templates — в `$security-baseline-dev-reference`.
+type: discretionary
+domain: development
+owners:
+  - devops
+  - senior_full_stack
+gates:
+  - OPS
+  - DEV
+tech: []
+topic:
+  - general
+  - ops
+  - security
+triggers:
+  - безопасный код
+  - Zod валидация ввода
+  - secrets management
+  - XSS prevention
+  - injection prevention
+  - secure headers
+  - auth pattern
+related:
+  - security-baseline-dev-reference
+  - node-express-beast-practices
+  - node-express-beast-practices-reference
+  - security-review
+  - observability-logging
+  - observability-logging-reference
+  - es2025-beast-practices
+  - n8n-pinecone-qdrant-supabase
+  - n8n-pinecone-qdrant-supabase-reference
+  - react-15-3-wix-iframe
+  - react-15-3-wix-iframe-reference
+budget_lines: 300
+schema_version: 1
 ---
 
+
 # Skill: Security Baseline (Dev)
 
-Конкретные DO/DON'T паттерны безопасности для каждодневной разработки.
+Decision rules + canonical tables для security-паттернов каждодневной разработки. Полные code templates (Zod schemas, errorHandler, JWT cookie, bcrypt, helmet, sanitizeForLog) — в `$security-baseline-dev-reference`.
 
 **Разделы:**
 1. [Input Validation](#1-input-validation)
@@ -23,438 +59,101 @@ description: Базовая безопасность в реализации —
 
 ## 1. Input Validation
 
-### ✅ DO: валидация на границе (API / form) через Zod
-
-```js
-import { z } from 'zod';
-
-// ✅ Whitelist schema — разрешаем только известные поля
-const createUserSchema = z.object({
-  body: z.object({
-    name: z.string().min(1).max(100).trim(),
-    email: z.string().email().toLowerCase(),
-    age: z.number().int().min(13).max(150).optional(),
-    role: z.enum(['user', 'admin']).default('user'),
-  }),
-});
-
-// ✅ Парсим и получаем типизированные данные
-const result = createUserSchema.safeParse({ body: req.body });
-if (!result.success) {
-  return res.status(400).json({ errors: result.error.flatten().fieldErrors });
-}
-const { name, email, age, role } = result.data.body; // ← safe
-```
-
-### ❌ DON'T: доверять входным данным
+**Правило:** валидация на границе (API / form) через Zod whitelist schema. Никогда не доверять `req.body` напрямую.
 
 ```js
-// ❌ Нет валидации — любые данные попадают в DB
-app.post('/api/users', (req, res) => {
-  db.users.insert(req.body); // ❌ req.body может содержать isAdmin: true
-});
-
-// ❌ Ручная валидация — неполная, ошибкоёмкая
-if (req.body.email && typeof req.body.email === 'string') {
-  // ❌ не проверяет формат email, не trim, не lowercase
-}
-
-// ✅ Zod + validate middleware (см. $node-express-beast-practices)
-app.post('/api/users', validate(createUserSchema), controller.create);
+// Брифовый пример (полная schema — в reference)
+const schema = z.object({ body: z.object({ email: z.string().email() }) });
+const result = schema.safeParse({ body: req.body });
+if (!result.success) return res.status(400).json({ errors: result.error.flatten().fieldErrors });
 ```
 
-### ✅ DO: sanitize для HTML (если принимаете rich text)
-
-```js
-import DOMPurify from 'isomorphic-dompurify';
-
-/**
- * Очищает HTML от XSS-векторов.
- * @param {string} dirty - пользовательский HTML.
- * @returns {string} безопасный HTML.
- */
-function sanitizeHtml(dirty) {
-  return DOMPurify.sanitize(dirty, {
-    ALLOWED_TAGS: ['b', 'i', 'em', 'strong', 'a', 'p', 'br', 'ul', 'ol', 'li'],
-    ALLOWED_ATTR: ['href', 'target'],
-  });
-}
-```
+Для rich text (HTML) — `DOMPurify.sanitize()` (template в reference).
 
 ---
 
 ## 2. Secrets Management
 
-### ✅ DO: env variables + validation
+**Правило:** секреты только в env vars, env валидируется через Zod при старте, `.env*` в `.gitignore`, `*.pem`/`*.key`/`credentials.json` тоже.
 
 ```js
-// config/env.js
-import { z } from 'zod';
-
-const envSchema = z.object({
-  DATABASE_URL: z.string().url(),
-  JWT_SECRET: z.string().min(32, 'JWT_SECRET must be at least 32 characters'),
-  API_KEY: z.string().min(16),
-  NODE_ENV: z.enum(['development', 'production', 'test']).default('development'),
-});
-
-const result = envSchema.safeParse(process.env);
-if (!result.success) {
-  console.error('❌ Missing/invalid env vars:', result.error.flatten().fieldErrors);
-  process.exit(1);
-}
-
-export const config = Object.freeze(result.data);
-```
-
-### ✅ DO: .gitignore для секретов
-
-```gitignore
-# Secrets — NEVER commit
-.env
-.env.local
-.env.production
-*.pem
-*.key
-credentials.json
-service-account.json
+// Брифовый пример (полная env schema — в reference)
+const config = Object.freeze(envSchema.parse(process.env));
 ```
 
-### ❌ DON'T: секреты в коде
-
-```js
-// ❌ Хардкод секретов
-const API_KEY = 'sk-1234567890abcdef';  // ❌ НИКОГДА
-const dbUrl = 'mongodb://user:password@host:27017/db';  // ❌
-
-// ✅ Из env
-const API_KEY = config.API_KEY;
-const dbUrl = config.DATABASE_URL;
-
-// ❌ Секреты в логах / ошибках
-logger.info({ apiKey: config.API_KEY }); // ❌ утечка
-throw new Error(`Auth failed for key: ${apiKey}`); // ❌ утечка
-```
+**Никогда:** хардкод секретов в коде, секреты в логах/ошибках, секреты в URL query.
 
 ---
 
 ## 3. Безопасные ошибки
 
-### ✅ DO: разделять operational и programmer errors
-
-```js
-// ✅ Для клиента — безопасное сообщение
-// Для логов — полная информация
-
-export function errorHandler(logger) {
-  return (err, req, res, _next) => {
-    // Operational — показываем клиенту
-    if (err.isOperational) {
-      return res.status(err.statusCode).json({
-        error: err.message,
-        // ✅ Без stack trace, без SQL, без внутренних деталей
-      });
-    }
-
-    // Programmer error — скрываем от клиента
-    logger.error({
-      err,          // ← полный stack trace в логи
-      requestId: req.id,
-      method: req.method,
-      url: req.originalUrl,
-    });
-
-    res.status(500).json({
-      error: 'Internal server error',
-      // ❌ NEVER: error: err.message, stack: err.stack
-    });
-  };
-}
-```
+**Правило:** разделять **operational** (показывать клиенту) и **programmer** (только в логи). Stack trace, SQL ошибки, внутренние детали — НИКОГДА в response.
 
-### ❌ DON'T: утекать внутренности
+**User enumeration:** одинаковое сообщение для "user not found" и "wrong password" → единое `"Invalid credentials"`.
 
-```js
-// ❌ SQL ошибка видна пользователю
-res.status(500).json({
-  error: 'duplicate key value violates unique constraint "users_email_key"'
-});
-
-// ❌ Stack trace видна
-res.status(500).json({
-  error: err.message,
-  stack: err.stack,  // ❌ НИКОГДА
-});
-
-// ❌ Разная реакция на "user not found" vs "wrong password"
-// → выдаёт информацию об аккаунтах (user enumeration)
-if (!user) return res.status(404).json({ error: 'User not found' });
-if (!passwordMatch) return res.status(401).json({ error: 'Wrong password' });
-
-// ✅ Одинаковое сообщение
-return res.status(401).json({ error: 'Invalid credentials' });
-```
+Полный errorHandler template — в reference.
 
 ---
 
 ## 4. Auth/AuthZ
 
-### ✅ DO: JWT в httpOnly cookie (не localStorage)
-
-```js
-// ✅ Установка JWT в httpOnly cookie
-res.cookie('token', jwt, {
-  httpOnly: true,   // ✅ недоступна из JS (XSS protection)
-  secure: true,     // ✅ только HTTPS
-  sameSite: 'lax',  // ✅ CSRF protection
-  maxAge: 7 * 24 * 60 * 60 * 1000,  // 7 days
-  path: '/',
-});
-
-// ❌ JWT в localStorage — уязвим к XSS
-localStorage.setItem('token', jwt); // ❌ любой JS может прочитать
-```
-
-### ✅ DO: authZ проверки ДО операций
-
-```js
-// ✅ Проверяем права ПЕРЕД выполнением операции
-async function deleteCoupon(req, res) {
-  const coupon = await couponService.getById(req.params.id);
-
-  // AuthZ: только владелец или admin
-  if (coupon.ownerId !== req.user.id && req.user.role !== 'admin') {
-    throw new ForbiddenError('You can only delete your own coupons');
-  }
-
-  await couponService.remove(coupon.id);
-  res.status(204).end();
-}
-
-// ❌ IDOR — нет проверки владельца
-async function deleteCoupon(req, res) {
-  await couponService.remove(req.params.id); // любой может удалить любой купон
-}
-```
-
-### ✅ DO: password hashing
+**Правила:**
+- JWT в **httpOnly cookie** (`secure: true`, `sameSite: 'lax'`), НЕ в `localStorage` (уязвимо к XSS)
+- AuthZ проверки **ПЕРЕД** операцией (профилактика IDOR)
+- Пароли — **bcrypt с salt rounds ≥ 12** (НИКОГДА MD5/SHA-1/plain)
 
-```js
-import bcrypt from 'bcrypt';
-
-const SALT_ROUNDS = 12;
-
-/**
- * Хеширует пароль через bcrypt.
- * @param {string} password - plain text пароль.
- * @returns {Promise<string>} хеш.
- */
-async function hashPassword(password) {
-  return bcrypt.hash(password, SALT_ROUNDS);
-}
-
-/**
- * Сравнивает пароль с хешем.
- * @param {string} password - plain text.
- * @param {string} hash - bcrypt хеш.
- * @returns {Promise<boolean>}
- */
-async function verifyPassword(password, hash) {
-  return bcrypt.compare(password, hash);
-}
-
-// ❌ НИКОГДА: MD5, SHA-1, plain text
-```
+Полные templates (cookie config, bcrypt helpers, IDOR pattern) — в reference.
 
 ---
 
 ## 5. XSS Prevention
 
-### ✅ DO: React автоматически escapes JSX
-
-```jsx
-// ✅ React escapes по умолчанию — безопасно
-return <p>{userInput}</p>; // <script>alert('xss')</script> → text
-
-// ❌ dangerouslySetInnerHTML — XSS если input не sanitized
-return <div dangerouslySetInnerHTML={{ __html: userInput }} />; // ❌
-
-// ✅ Если НЕОБХОДИМО вставить HTML — sanitize через DOMPurify
-import DOMPurify from 'dompurify';
-return <div dangerouslySetInnerHTML={{ __html: DOMPurify.sanitize(userInput) }} />;
-```
-
-### ✅ DO: CSP header
-
-```js
-// Helmet автоматически ставит CSP
-import helmet from 'helmet';
-
-app.use(helmet({
-  contentSecurityPolicy: {
-    directives: {
-      defaultSrc: ["'self'"],
-      scriptSrc: ["'self'"],         // без 'unsafe-inline'!
-      styleSrc: ["'self'", "'unsafe-inline'"],  // CSS может потребовать inline
-      imgSrc: ["'self'", "data:", "https:"],
-      connectSrc: ["'self'", "https://api.example.com"],
-    },
-  },
-}));
-```
+**Правила:**
+- React JSX автоматически escapes — `{userInput}` безопасно
+- `dangerouslySetInnerHTML` — только с `DOMPurify.sanitize()` (template в reference)
+- CSP header через helmet (полная конфигурация — в reference)
 
 ---
 
 ## 6. Injection Prevention
 
-### ✅ DO: параметризованные запросы
-
-```js
-// ✅ SQL — параметризация (никогда конкатенация)
-const user = await db.query('SELECT * FROM users WHERE email = $1', [email]);
-
-// ❌ SQL injection
-const user = await db.query(`SELECT * FROM users WHERE email = '${email}'`);
-// email = "'; DROP TABLE users; --"
+**Правила:**
+- SQL: параметризованные запросы (`WHERE email = $1`, `[email]`) — НИКОГДА конкатенация
+- MongoDB: явный `String(email)` приводит к строке, отсекает `{ $ne: "" }` injection
+- Command: `execFile(cmd, [args])` — НИКОГДА `exec(`...${userInput}`)`
 
-// ✅ MongoDB — не допускать операторы в пользовательском вводе
-const user = await db.users.findOne({ email: String(email) }); // ✅ явное приведение
-
-// ❌ NoSQL injection
-const user = await db.users.findOne({ email: req.body.email });
-// req.body.email = { $ne: "" } → возвращает первого пользователя
-
-// ✅ Command injection prevention — никогда не exec(userInput)
-import { execFile } from 'node:child_process';
-execFile('convert', [inputPath, outputPath], callback); // ✅ args как массив
-
-// ❌ Command injection
-exec(`convert ${userInput} output.png`); // ❌ userInput = "; rm -rf /"
-```
+Полные DO/DON'T примеры — в reference.
 
 ---
 
 ## 7. Secure Headers
 
-### ✅ DO: helmet.js (минимальная настройка)
+**Правила:**
+- `app.use(helmet())` — устанавливает CSP, X-Frame-Options, HSTS, и др.
+- CORS: whitelist конкретных origin, **НИКОГДА** `origin: '*'` в production
+- `credentials: true` для httpOnly cookies
 
-```js
-import helmet from 'helmet';
-
-// ✅ Helmet устанавливает все необходимые security headers:
-// - Content-Security-Policy
-// - X-Content-Type-Options: nosniff
-// - X-Frame-Options: SAMEORIGIN
-// - Strict-Transport-Security (HSTS)
-// - X-XSS-Protection (deprecated, но не мешает)
-// - Referrer-Policy
-app.use(helmet());
-```
-
-### ✅ DO: CORS — whitelist origins
-
-```js
-import cors from 'cors';
-
-// ✅ Whitelist конкретных origin
-app.use(cors({
-  origin: ['https://myapp.com', 'https://admin.myapp.com'],
-  methods: ['GET', 'POST', 'PATCH', 'DELETE'],
-  credentials: true,  // для httpOnly cookies
-}));
-
-// ❌ Открытый CORS в production
-app.use(cors({ origin: '*' })); // ❌ любой сайт может делать запросы
-```
+Полные helmet + CORS templates — в reference.
 
 ---
 
 ## 8. Dependency Security
 
-### ✅ DO: регулярный audit
-
-```bash
-# npm
-npm audit                  # проверить уязвимости
-npm audit fix              # автофикс
-npm audit --production     # только production deps
-
-# package.json — lock versions
-npm install --save-exact   # точные версии, не ^
-```
-
-### ✅ DO: минимизировать зависимости
-
-```js
-// ❌ Устанавливать lodash ради одной функции
-import _ from 'lodash';
-const unique = _.uniq(arr);
-
-// ✅ Нативный JS
-const unique = [...new Set(arr)];
-
-// ❌ moment.js (300KB) для форматирования даты
-import moment from 'moment';
-
-// ✅ Intl.DateTimeFormat (встроенный, 0KB)
-new Intl.DateTimeFormat('ru', { dateStyle: 'short' }).format(date);
-```
-
-### ✅ DO: lockfile в репозитории
-
-```gitignore
-# ✅ Lockfile ДОЛЖЕН быть в git (reproducible builds)
-# НЕ добавляй в .gitignore:
-# package-lock.json   ← НУЖЕН в git
-# bun.lockb           ← НУЖЕН в git
-```
+**Правила:**
+- Регулярный `npm audit` + `npm audit fix` (или CI pipeline)
+- Минимизировать зависимости (нативный JS вместо lodash для одной функции)
+- Lockfile (`package-lock.json` / `bun.lockb`) **в git** для reproducible builds
+- Точные версии (`--save-exact`), не `^x.y.z`
 
 ---
 
 ## 9. Logging Security
 
-### ✅ DO: sanitize логи от PII и секретов
+**Правило:** PII и secrets никогда в логах.
 
-```js
-/**
- * Фильтрует чувствительные поля из объекта для логирования.
- * @param {object} obj - объект для логирования.
- * @returns {object} очищенный объект.
- */
-function sanitizeForLog(obj) {
-  const SENSITIVE_KEYS = ['password', 'token', 'secret', 'apiKey', 'authorization',
-    'cookie', 'ssn', 'creditCard', 'cardNumber', 'cvv'];
-
-  return Object.fromEntries(
-    Object.entries(obj).map(([key, value]) => {
-      if (SENSITIVE_KEYS.some((s) => key.toLowerCase().includes(s))) {
-        return [key, '[REDACTED]'];
-      }
-      if (typeof value === 'object' && value !== null) {
-        return [key, sanitizeForLog(value)];
-      }
-      return [key, value];
-    })
-  );
-}
-
-// Использование:
-logger.info(sanitizeForLog({ email: 'user@example.com', password: '123', token: 'abc' }));
-// { email: 'user@example.com', password: '[REDACTED]', token: '[REDACTED]' }
-```
-
-### ✅ DO: pino redact (автоматическая фильтрация)
-
-```js
-import pino from 'pino';
-
-const logger = pino({
-  redact: {
-    paths: ['req.headers.authorization', 'req.headers.cookie', '*.password', '*.token', '*.secret'],
-    censor: '[REDACTED]',
-  },
-});
-```
+- Автоматическая фильтрация — `pino.redact.paths` (см. `$observability-logging-reference`)
+- Для сложных случаев — ручной `sanitizeForLog()` (template в reference)
+- См. `$observability-logging` — общие правила структурированного логирования
 
 ---
 
@@ -490,7 +189,8 @@ const logger = pino({
 ---
 
 ## См. также
+- `$security-baseline-dev-reference` — полные code templates (Zod, errorHandler, JWT, bcrypt, helmet, sanitize)
 - `$security-review` — полный security review чеклист (Reviewer gate)
 - `$node-express-beast-practices` — Express middleware pipeline, error handler
 - `$observability-logging` — structured logging с redaction
-- `$es2025-beast-practices` — безопасная работа с данными
+- `$es2025-beast-practices` — безопасная работа с данными

package/domains/development/.agents/skills/security-baseline-dev/agents/claude.json

@@ -1,7 +1,7 @@
 {
   "name": "security-baseline-dev",
   "display_name": "Базовая безопасность разработки",
-  "description": "Базовая безопасность в реализации — валидация входных данных (Zod), secrets management, безопасные ошибки, auth/authz patterns, XSS/injection prevention, dependency audit, secure headers. DO/DON'T примеры. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно».",
+  "description": "Базовая безопасность в реализации — decision rules для валидации (Zod), secrets management, безопасных ошибок, auth/authz, XSS/injection prevention, dependency audit, secure headers. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно». Полные code templates — в `$security-baseline-dev-reference`.",
   "default_prompt": "Используй $security-baseline-dev, когда задача относится к навыку \"Базовая безопасность разработки\".",
   "triggers": [
     "security-baseline-dev",

package/domains/development/.agents/skills/security-baseline-dev/agents/copilot.json

@@ -1,7 +1,7 @@
 {
   "name": "security-baseline-dev",
   "display_name": "Базовая безопасность разработки",
-  "description": "Базовая безопасность в реализации — валидация входных данных (Zod), secrets management, безопасные ошибки, auth/authz patterns, XSS/injection prevention, dependency audit, secure headers. DO/DON'T примеры. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно».",
+  "description": "Базовая безопасность в реализации — decision rules для валидации (Zod), secrets management, безопасных ошибок, auth/authz, XSS/injection prevention, dependency audit, secure headers. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно». Полные code templates — в `$security-baseline-dev-reference`.",
   "default_prompt": "Используй $security-baseline-dev, когда задача относится к навыку \"Базовая безопасность разработки\".",
   "triggers": [
     "security-baseline-dev",

package/domains/development/.agents/skills/security-baseline-dev/agents/gemini.json

@@ -1,7 +1,7 @@
 {
   "name": "security-baseline-dev",
   "display_name": "Базовая безопасность разработки",
-  "description": "Базовая безопасность в реализации — валидация входных данных (Zod), secrets management, безопасные ошибки, auth/authz patterns, XSS/injection prevention, dependency audit, secure headers. DO/DON'T примеры. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно».",
+  "description": "Базовая безопасность в реализации — decision rules для валидации (Zod), secrets management, безопасных ошибок, auth/authz, XSS/injection prevention, dependency audit, secure headers. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно». Полные code templates — в `$security-baseline-dev-reference`.",
   "default_prompt": "Используй $security-baseline-dev, когда задача относится к навыку \"Базовая безопасность разработки\".",
   "triggers": [
     "security-baseline-dev",

package/domains/development/.agents/skills/security-baseline-dev/agents/kimi.yaml

@@ -1,15 +1,15 @@
-name: "security-baseline-dev"
-display_name: "Базовая безопасность разработки"
-description: "Базовая безопасность в реализации — валидация входных данных (Zod), secrets management, безопасные ошибки, auth/authz patterns, XSS/injection prevention, dependency audit, secure headers. DO/DON'T примеры. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно»."
-default_prompt: "Используй $security-baseline-dev, когда задача относится к навыку \"Базовая безопасность разработки\"."
-triggers:
-  - "security-baseline-dev"
-  - "security baseline dev"
-  - "Базовая безопасность разработки"
-  - "Базовая безопасность в реализации — валидация входных данных (Zod), secrets management, безопасные ошибки, auth/authz patterns, XSS/injection prevention, dependency audit, secure headers"
-capabilities:
-  - "security"
-  - "baseline"
-  - "dev"
-tools: []
-implicit_invocation: true
+name: "security-baseline-dev"
+display_name: "Базовая безопасность разработки"
+description: "Базовая безопасность в реализации — decision rules для валидации (Zod), secrets management, безопасных ошибок, auth/authz, XSS/injection prevention, dependency audit, secure headers. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно». Полные code templates — в `$security-baseline-dev-reference`."
+default_prompt: "Используй $security-baseline-dev, когда задача относится к навыку \"Базовая безопасность разработки\"."
+triggers:
+  - "security-baseline-dev"
+  - "security baseline dev"
+  - "Базовая безопасность разработки"
+  - "Базовая безопасность в реализации — валидация входных данных (Zod), secrets management, безопасные ошибки, auth/authz patterns, XSS/injection prevention, dependency audit, secure headers"
+capabilities:
+  - "security"
+  - "baseline"
+  - "dev"
+tools: []
+implicit_invocation: true

package/domains/development/.agents/skills/security-baseline-dev/agents/qwen.json

@@ -1,7 +1,7 @@
 {
   "name": "security-baseline-dev",
   "display_name": "Базовая безопасность разработки",
-  "description": "Базовая безопасность в реализации — валидация входных данных (Zod), secrets management, безопасные ошибки, auth/authz patterns, XSS/injection prevention, dependency audit, secure headers. DO/DON'T примеры. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно».",
+  "description": "Базовая безопасность в реализации — decision rules для валидации (Zod), secrets management, безопасных ошибок, auth/authz, XSS/injection prevention, dependency audit, secure headers. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно». Полные code templates — в `$security-baseline-dev-reference`.",
   "default_prompt": "Используй $security-baseline-dev, когда задача относится к навыку \"Базовая безопасность разработки\".",
   "triggers": [
     "security-baseline-dev",

package/domains/development/.agents/skills/security-baseline-dev/agents/skill.yaml

@@ -1,7 +1,7 @@
 version: 1
 name: "security-baseline-dev"
 display_name: "Базовая безопасность разработки"
-description: "Базовая безопасность в реализации — валидация входных данных (Zod), secrets management, безопасные ошибки, auth/authz patterns, XSS/injection prevention, dependency audit, secure headers. DO/DON'T примеры. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно»."
+description: "Базовая безопасность в реализации — decision rules для валидации (Zod), secrets management, безопасных ошибок, auth/authz, XSS/injection prevention, dependency audit, secure headers. Активируй при написании любого кода, работающего с пользовательским вводом, auth, секретами, или при вопросах «как сделать безопасно». Полные code templates — в `$security-baseline-dev-reference`."
 default_prompt: "Используй $security-baseline-dev, когда задача относится к навыку \"Базовая безопасность разработки\"."
 triggers:
   - "security-baseline-dev"