codebee 0.1.0

package/app/core/settings.py

@@ -0,0 +1,85 @@
+# -*- coding: utf-8 -*-
+"""运行设置（data/settings.json）：并发 worker 数 + 默认保存路径。"""
+from __future__ import annotations
+
+import json
+import threading
+from pathlib import Path
+
+from . import paths
+
+_LOCK = threading.RLock()
+_FILE = paths.DATA_DIR / "settings.json"
+
+# default_workdir 为空表示未自定义，用 builtin_workdir() 回落
+DEFAULTS = {"max_concurrent_jobs": 3, "default_workdir": ""}
+MIN_WORKERS, MAX_WORKERS = 1, 6
+
+
+def builtin_workdir():
+    """内置默认保存路径：<data 目录同级>/workspace。"""
+    return str(paths.DATA_DIR.parent / "workspace")
+
+
+def default_workdir():
+    """当前生效的默认保存路径（自定义优先，回落内置值）。"""
+    raw = str(load().get("default_workdir") or "").strip()
+    return raw if raw else builtin_workdir()
+
+
+def _norm_workdir(v):
+    """展开 ~ 并转绝对路径；空值合法（回落内置）。返回 (标准化串, 错误)。"""
+    v = str(v or "").strip()
+    if not v:
+        return "", None
+    if v.startswith("~"):
+        v = str(Path(v).expanduser())
+    p = Path(v)
+    if not p.is_absolute():
+        return "", "默认保存路径必须是绝对路径"
+    return str(p), None
+
+
+def load():
+    with _LOCK:
+        try:
+            data = json.loads(_FILE.read_text(encoding="utf-8"))
+        except Exception:
+            data = {}
+    out = dict(DEFAULTS)
+    if isinstance(data, dict):
+        out.update({k: v for k, v in data.items() if k in DEFAULTS})
+    try:
+        out["max_concurrent_jobs"] = max(MIN_WORKERS, min(MAX_WORKERS, int(out["max_concurrent_jobs"])))
+    except Exception:
+        out["max_concurrent_jobs"] = DEFAULTS["max_concurrent_jobs"]
+    wd, _ = _norm_workdir(out.get("default_workdir"))
+    out["default_workdir"] = wd
+    out["default_workdir_effective"] = wd if wd else builtin_workdir()
+    return out
+
+
+def save(patch):
+    """合并保存。返回 (view, 错误)。"""
+    if not isinstance(patch, dict):
+        return load(), "payload 必须是对象"
+    with _LOCK:
+        cur = load()
+        if "max_concurrent_jobs" in patch:
+            try:
+                cur["max_concurrent_jobs"] = int(patch["max_concurrent_jobs"])
+            except Exception:
+                return cur, "max_concurrent_jobs 必须是整数"
+            if not MIN_WORKERS <= cur["max_concurrent_jobs"] <= MAX_WORKERS:
+                return cur, "max_concurrent_jobs 取值 %d-%d" % (MIN_WORKERS, MAX_WORKERS)
+        if "default_workdir" in patch:
+            wd, err = _norm_workdir(patch.get("default_workdir"))
+            if err:
+                return cur, err
+            cur["default_workdir"] = wd
+        _FILE.parent.mkdir(parents=True, exist_ok=True)
+        tmp = _FILE.with_suffix(".tmp")
+        tmp.write_text(json.dumps(cur, ensure_ascii=False, indent=2), encoding="utf-8")
+        tmp.replace(_FILE)
+    cur["default_workdir_effective"] = cur["default_workdir"] if cur["default_workdir"] else builtin_workdir()
+    return cur, None

package/app/core/settings_schema.py

@@ -0,0 +1,250 @@
+# -*- coding: utf-8 -*-
+"""Schema 化设置：namespace 注册 + revision CAS + 脱敏 describe。
+
+设计稿：docs/migration/05-model-seams.md §4C（按 Tutti 实际架构落地：
+不替换现有 settings.py——它正被并行迭代且已有原子写+钳制；本模块提供
+「schema 驱动 + revision CAS + secret 脱敏」能力，管理自己的
+data/settings_v2.json，供新增配置项使用，存量 key-value 不迁移）。
+
+参考 dsh packages/settings/settings/src/index.ts:419-637：
+  register(ns, schema, base) / mutate(ops) / describe({redactSecrets}) /
+  SettingsConflictError（revision 单调，乐观并发）。
+
+冲突语义：mutate 带 expected_revision 时做 CAS；不带则最后写赢。
+"""
+from __future__ import annotations
+
+import json
+import re
+import threading
+from pathlib import Path
+
+_LOCK = threading.RLock()
+_FILE = None  # init() 注入
+_NAMESPACES = {}   # ns -> {"fields": {path: FieldDef}, "validate": fn}
+_VALUES = {}       # ns -> {path: value}
+_REVISIONS = {}    # ns -> int
+
+
+class SettingsConflictError(Exception):
+    """CAS 失败：调用方持有的是陈旧 revision。"""
+
+
+class FieldDef:
+    __slots__ = ("path", "ftype", "default", "description", "redact", "choices", "clamp")
+
+    def __init__(self, path, ftype, default, description="", redact=False,
+                 choices=None, clamp=None):
+        self.path = path
+        self.ftype = ftype            # "int" | "float" | "str" | "bool"
+        self.default = default
+        self.description = description
+        self.redact = redact          # True = describe() 输出 __REDACTED__
+        self.choices = choices        # 可选：合法值列表
+        self.clamp = clamp            # 可选：(min, max)，int/float 用
+
+
+def init(data_dir=None):
+    global _FILE, _NAMESPACES, _VALUES, _REVISIONS
+    with _LOCK:
+        base = Path(data_dir) if data_dir else Path(_default_dir())
+        base.mkdir(parents=True, exist_ok=True)
+        _FILE = base / "settings_v2.json"
+        _NAMESPACES, _VALUES, _REVISIONS = {}, {}, {}
+        try:
+            data = json.loads(_FILE.read_text(encoding="utf-8"))
+            _VALUES = data.get("values") or {}
+            _REVISIONS = data.get("revisions") or {}
+        except (OSError, json.JSONDecodeError):
+            pass
+
+
+def _default_dir():
+    from . import paths
+    return str(paths.DATA_DIR)
+
+
+def _persist():
+    if _FILE is None:
+        return
+    tmp = _FILE.with_suffix(".tmp")
+    tmp.write_text(json.dumps({"values": _VALUES, "revisions": _REVISIONS},
+                              ensure_ascii=False, indent=2), encoding="utf-8")
+    tmp.replace(_FILE)
+
+
+# ---- 路径读写（支持 "a.b" 点路径；不实现数组下标——Tutti 配置用不到） ----
+
+def _get_path(d, path):
+    cur = d
+    for seg in path.split("."):
+        if not isinstance(cur, dict) or seg not in cur:
+            return None
+        cur = cur[seg]
+    return cur
+
+
+def _set_path(d, path, value):
+    segs = path.split(".")
+    cur = d
+    for seg in segs[:-1]:
+        cur = cur.setdefault(seg, {})
+        if not isinstance(cur, dict):
+            raise ValueError("路径冲突：%s" % path)
+    cur[segs[-1]] = value
+
+
+# ---- 注册 ----
+
+def register_namespace(ns, fields, validate=None):
+    """注册 namespace 与字段 schema。已注册的 namespace 不可重复注册。"""
+    with _LOCK:
+        if ns in _NAMESPACES:
+            raise ValueError("namespace 已注册：%s" % ns)
+        fmap = {}
+        for f in fields:
+            fmap[f.path] = f
+            if _get_path(_VALUES.get(ns, {}), f.path) is None:
+                _VALUES.setdefault(ns, {})
+                _set_path(_VALUES[ns], f.path, f.default)
+        _NAMESPACES[ns] = {"fields": fmap, "validate": validate}
+        _REVISIONS.setdefault(ns, 1)
+        _persist()
+
+
+def coerce(field, value):
+    """按字段类型强转 + 钳制 + choices 校验。返回 (规范化值, 错误)。"""
+    try:
+        if field.ftype == "int":
+            v = int(value)
+        elif field.ftype == "float":
+            v = float(value)
+        elif field.ftype == "bool":
+            v = bool(value) if not isinstance(value, str) else (
+                value.strip().lower() in ("1", "true", "yes", "on"))
+        else:
+            v = str(value)
+    except (TypeError, ValueError):
+        return None, "%s 必须是 %s" % (field.path, field.ftype)
+    if field.clamp:
+        lo, hi = field.clamp
+        v = max(lo, min(hi, v))
+    if field.choices is not None and v not in field.choices:
+        return None, "%s 必须是 %s 之一" % (field.path, field.choices)
+    return v, None
+
+
+# ---- 读写 ----
+
+def get(ns, path=None):
+    with _LOCK:
+        vals = _VALUES.get(ns)
+        if vals is None:
+            return None
+        return _get_path(vals, path) if path else dict(vals)
+
+
+def revision(ns):
+    with _LOCK:
+        return _REVISIONS.get(ns, 0)
+
+
+def mutate(ns, ops, expected_revision=None):
+    """写一组操作。ops = [{"op":"set","path":..., "value":...}, ...]。
+
+    值按注册的 FieldDef 强转/钳制/校验；namespace 有 validate 钩子时整体验证。
+    expected_revision 非 None 时做 CAS。成功返回新 revision。
+    """
+    with _LOCK:
+        ndef = _NAMESPACES.get(ns)
+        if not ndef:
+            raise ValueError("namespace 未注册：%s" % ns)
+        if expected_revision is not None and _REVISIONS.get(ns) != expected_revision:
+            raise SettingsConflictError(
+                "%s 期望 rev %s，实际 %s" % (ns, expected_revision, _REVISIONS.get(ns)))
+        # 先全部校验，后统一写入（部分失败不落盘）
+        staged = []
+        for op in ops:
+            if op.get("op") != "set":
+                raise ValueError("仅支持 set 操作：%r" % op.get("op"))
+            path = op.get("path")
+            fdef = ndef["fields"].get(path)
+            if not fdef:
+                raise ValueError("未注册字段：%s" % path)
+            v, err = coerce(fdef, op.get("value"))
+            if err:
+                raise ValueError(err)
+            staged.append((path, v))
+        ns_values = dict(_VALUES.get(ns, {}))
+        for path, v in staged:
+            _set_path(ns_values, path, v)
+        if ndef["validate"]:
+            err = ndef["validate"](ns_values)
+            if err:
+                raise ValueError("namespace 校验失败：%s" % err)
+        _VALUES[ns] = ns_values
+        _REVISIONS[ns] = _REVISIONS.get(ns, 1) + 1
+        _persist()
+        return _REVISIONS[ns]
+
+
+def describe(ns, redact_secrets=True):
+    """给 UI 的视图：默认把 redact 字段替换为 __REDACTED__（不泄露真值）。"""
+    with _LOCK:
+        vals = json.loads(json.dumps(_VALUES.get(ns, {})))  # deep copy
+        ndef = _NAMESPACES.get(ns) or {"fields": {}}
+    for f in ndef["fields"].values():
+        if f.redact and redact_secrets:
+            if _get_path(vals, f.path) not in (None, ""):
+                _set_path(vals, f.path, "__REDACTED__")
+    return {"ns": ns, "revision": _REVISIONS.get(ns, 0), "values": vals}
+
+
+# ---- 默认 namespace（编排阈值的 schema 化存放处；pipeline 可渐进接入） ----
+
+def register_default_namespaces():
+    """注册 Tutti 默认 namespace。幂等（已注册则跳过）。"""
+    if "orchestrator" in _NAMESPACES and "budget" in _NAMESPACES:
+        return
+    if "orchestrator" not in _NAMESPACES:
+        register_namespace(
+            "orchestrator",
+            fields=[
+                FieldDef("compaction.enabled", "bool", False,
+                         "上下文压缩总开关（灰度：与 TUTTI_COMPACTION 任一开启即生效）"),
+                FieldDef("compaction.pressure_threshold", "float", 0.8,
+                         "触发压缩的压力比阈值",
+                         clamp=(0.1, 0.99)),
+                FieldDef("compaction.retain_tail_tokens", "int", 8000,
+                         "压缩时保留尾部预算（token 估算）",
+                         clamp=(0, 100000)),
+                FieldDef("max_goal_rounds", "int", 5,
+                         "Goal 续行上限",
+                         clamp=(1, 20)),
+                FieldDef("outline_timeout_s", "int", 900,
+                         "大纲/规划 CLI 兜底调用的超时秒数（env TUTTI_OUTLINE_TIMEOUT 优先）",
+                         clamp=(60, 3600)),
+            ],
+            validate=lambda v: None,
+        )
+    if "budget" not in _NAMESPACES:
+        register_namespace(
+            "budget",
+            fields=[
+                # §07 T2.1：0 = 不限；达到上限后 pipeline 停止后续真实调用（ENV_BLOCK）
+                FieldDef("max_tokens_per_run", "int", 0,
+                         "单次运行 token 预算上限（0=不限；超额停止后续步骤，等自动续跑）",
+                         clamp=(0, 100_000_000)),
+            ],
+            validate=lambda v: None,
+        )
+    if "cascade" not in _NAMESPACES:
+        register_namespace(
+            "cascade",
+            fields=[
+                # §07 T3.1：easy 任务先走低档模型，质量闸门不过沿 chain 升级
+                FieldDef("enabled", "bool", False,
+                         "FrugalGPT 式级联：easy 任务按 tier 升序重排模型链（需供应商声明 tier）"),
+            ],
+            validate=lambda v: None,
+        )

package/app/core/skillpacks/fanqie-novel.md

@@ -0,0 +1,80 @@
+# 番茄小说写作与流量守则（内置经验包）
+
+来源：番茄作家社区与作者群体的通行经验汇编 + 平台公开运营机制（2025）。
+签约字数、保底金额、全勤门槛、审核时长等**政策数字随年份调整，一律以「番茄作家后台」当前规则为准**，
+本包不固化具体数值。这是写作参考，不是官方规则，也不是爆款预测；不以格式检查推断过签/起量概率。
+
+## 〇、与传统编辑平台的根本区别：番茄是算法平台
+- 老牌免费站（编辑审稿制）= **编辑守门**（人审稿定签约）；番茄 = **算法守门**（数据定生死）。
+  签约只是门票，签约之后靠完读率/追读率挣流量，才真正决定这本书的死活。
+- 读者画像：下沉市场、碎片时间、耐心极低——**弃书零成本**（免费，右上角一点就走）。
+  开局漏斗比任何平台都陡：书名 → 简介/标签 → 第一章 → 前三章，每关都在大量筛人。
+- 收入模型 = 免费阅读 + 广告分成（读者读得越久、追得越多，广告收益越高），
+  叠加签约保底/全勤（若合同有）。所以 **追读率 > 文笔 > 一切自我感动**。
+
+## 一、新书生存线：流量池与数据指标
+- 通行理解的机制：新书发布后先进**小流量测试**，按数据逐级放量（书架/推荐/搜索）；
+  数据不达标就被限流直至"饿死"。**前 30 天左右的新书期是定生死窗口**。
+- 后台核心指标（以作家后台实际展示为准）：**完读率**（本章读完比例，决定能否进下一流量层）、
+  **追读率**（读了开头还在追最新章的比例，决定推荐是否持续）、留存、平均阅读时长。
+- 数据异常按段落定位病因：第一章完读低 = 开头崩（改开篇）；中段崩 = 节奏/爽点密度不足；
+  结尾追读崩 = 断章钩子或大坑久拖不兑现。**不要用"再等等"掩盖结构性问题**。
+- 反恐慌纪律：头几天数据小、噪声大，不要 48 小时一改动；到样本足够（约两周）仍差，
+  **果断切书开新**——算法平台的沉没成本陷阱比编辑平台大得多。
+
+## 二、开篇（黄金三章，番茄从严）
+- 番茄测的是**整前三章**的完读与追读，不是单看第一章：第一章钩人、第二章兑现金手指/核心设定、
+  第三章第一个完整爽点闭环，缺一章都撑不起数据。
+- 前 100 字：主角 + 具体冲突/异常直接进场；前 600 字：困境压到脸上。
+- 开篇禁忌（每条都有对应数据崩法）：世界观说明文（第一章完读崩）、慢热日常（第二章崩）、
+  多视角群像（读者找不到主角，追读崩）、倒叙解谜（下沉读者直接弃）。
+
+## 三、节奏与爽点
+- **每章至少一个爽点或情绪波动 + 章尾强钩子**；番茄章节奏建议 1800-2500 字/章（短平快，
+  卡阅读间隙），别写 4000 字大章考验耐心。
+- 主线必须是"一句话能讲清的直线"：目标明确、单线推进、读者永远知道主角下一步要干什么。
+  多线叙事、慢热铺垫在番茄大概率数据判死刑。
+- 前 100 章要完成一次大爽点闭环（打脸/升级/身份跃迁的大兑现）；过渡章连续两章以上无兑现，
+  追读率就会肉眼可见地掉。
+- 跨平台通用的铁律仍然有效：主角主观能动性红线、打压为爆发服务、反派不能无脑。
+
+## 四、题材、书名、标签与简介
+- 番茄大盘热门题材带（男频）：都市高武/都市脑洞、历史穿越、玄幻、悬疑脑洞（民俗/规则怪谈系在此，
+  守村人这类民俗悬疑素材适合往"悬疑脑洞"标签靠）；女频：脑洞言情、年代、萌宝。题材热度轮动快，
+  开书前扫一次当季榜单。
+- **分类/标签是流量匹配的第一步**：挂错分类 = 推给错的人 = 数据全差且查不出原因。
+  书名、简介、标签三者对题材的表达必须一致（算法按这些做人群匹配）。
+- 书名策略：长尾、带情绪、带题材关键词；简介三要素：身份处境 + 核心冲突 + 悬念钩子。
+
+## 五、更新纪律（算法平台命门）
+- **日更稳定 > 单日爆更**：断更打断追读链，数据直接塌方；全勤/推荐权重普遍与稳定日更挂钩
+  （具体门槛看当前合同与后台规则）。
+- 存稿 ≥10 万字再发书；新书期若存稿允许，日双更冲数据——推荐系统吃"活跃 + 追读"信号。
+- 卡文宁可降纲不降质：拆未来 3 章的单元（目标→行动→阻碍→反转），别水字数糊弄——
+  水章的完读率会当场出卖你。
+
+## 六、签约与合同
+- 申请门槛（字数）、审核时长以作家后台当前规则为准；常见审核材料 = 开篇正文 + 大纲，
+  大纲别只写一句"后面上架爆火"，要有明确的阶段目标与兑现节点。
+- 类型以**分成为主**，优质作品可谈保底；签前重点看清 **影视/动漫/版权衍生授权范围**与独家条款、
+  违约与切书条款——免费平台合同中 IP 衍生让渡比例是历来争议集中点。
+- 拒签自救：先归因（题材带匹配？开篇数据思维？大纲兑现链缺失？），改完再申；
+  同一作品反复无修改重投没有意义。
+
+## 七、文笔自查（跨平台通用，2026-09-14 编辑驳回语实证拆解）
+- **风格统一**：全篇定一个文风锚（短句+白描+口语但不过火），换场不换笔调；
+  文白/网络梗/书面长句不混用。
+- **流畅**：逐段读出声——长定语、多重倒装、连续同主语开头（她…她…她…）、动作与反应拆碎，
+  卡顿处就地删改；一句一动作，段尾留半句承接。
+- **细节刻画力度**：每个爽点/反转标记"特写镜头"，五感 + 微动作 + 环境反馈把爆发那几秒写厚，
+  铺垫在前、放大在中、余波在后；过渡章才可一笔带过。**"每章一小爽"不配特写等于没写**。
+
+## 八、开书/投稿前自检清单
+- [ ] 书名/标签/简介一致表达题材，分类挂对
+- [ ] 第 1 章前 100 字冲突进场；前三章 = 钩子 + 设定兑现 + 完整爽点闭环
+- [ ] 每章 1800-2500 字，含至少一个爽点 + 章尾钩子
+- [ ] 主线一句话讲得清，单线推进，无慢热铺垫章节
+- [ ] 前 100 章有一次大兑现闭环的规划
+- [ ] 存稿 ≥10 万字；日更承诺可执行（含请假预案）
+- [ ] 文笔三词（风格统一/流畅/细节力度）逐章自查过
+- [ ] 合同衍生授权与独家条款已看清

package/app/core/skillpacks/market/character-bible.md

@@ -0,0 +1,66 @@
+---
+name: 角色小传与人物弧光模板
+note: 角色档案模板（欲望/恐惧/语言指纹）+ 四拍弧光规划 + 连载防崩人设纪律与自检
+scopes:
+- novel
+- serial_novel
+source: market
+market_id: character-bible
+---
+
+# 角色小传与人物弧光模板（市场包）
+
+适用：开书前建角色档案、连载中防人设漂移。与平台流量包互补：流量包管
+「读者为什么追」，本包管「人物为什么可信」。人设崩塌带来的流失不可逆——
+评论区第一次出现「OOC」「崩人设」时，掉的数据基本回不来。
+
+## 一、小传模板（有名有姓的角色都建档，配角用精简版）
+- **基本档案**：姓名 / 年龄 / 身份职业 / 外貌。外貌只挑 ≤3 个**有辨识度且可反复
+  使用**的特征（疤、跛、口音、总戴手套），不要「很帅」「很美」这类无法复用的词。
+- **表层目标**：TA 自己以为想要的东西（金银、复仇、上岸）。
+- **深层需求**：真正缺的东西（认同、安全感、被看见）——弧光的终点就是发现并得到它。
+- **恐惧与软肋**：最怕失去什么；软肋必须**情节可攻击**（有家人的反派才有戏可写）。
+- **创伤与信念**：一句成型的信条（如「强才能活」），角色一切非常规行为的解释源头。
+- **语言指纹**：口头禅 / 句长习惯（文绉绉还是粗短句）/ 禁用词（读书人不说粗话）/
+  称呼习惯（怎么叫主角）。这是对白区分度最硬的抓手。
+- **关系网**：与主要角色的关系各一句话 + 张力在哪（靠什么维系、因什么会破裂）。
+
+## 二、弧光规划（主角必须有，重要配角推荐）
+- 四拍结构：**起点状态**（用旧信念应对世界）→ **触发事件**（旧信念失灵的一击）→
+  **中间摇摆**（至少两次反复：尝试改变，再退回舒适区，不许直线转变）→
+  **终点状态**（新信念，且由高潮事件证明成立）。
+- 弧光要「可拍摄」：终点状态必须体现为**行为变化**（以前遇辱必怒，现在能先忍住
+  查真相），不能靠内心独白宣布「他长大了」。
+- 反派同样要逻辑自洽：反派在自己的故事里是合理的（有目标、有原则、有能力），
+  **反派不无脑**；反派降智 = 主角胜利贬值 = 全书爽点贬值。
+
+## 三、防崩纪律（连载中执行）
+- 写对白前回看该角色的「语言指纹」；**遮名测试**：不同角色的对白遮住名字能认出
+  是谁说的，认不出 = 语言指纹失败，回去改。
+- 配角也要「想要什么」：出场就带着自己的目的行动，哪怕只写一句。
+  只在剧情需要时才动的工具人，是群像发糊的根源。
+- **每 10 章回看小传**：外貌、伤势、随身物、人际关系与正文逐一核对——伤过的手
+  不能无解释痊愈，卖掉的东西不能再掏出来。
+- 能力升级必须有过程与代价；「突然会了」读者瞬间就能感知。
+- 人物相关设定要改，必须回填小传并排查前文旧描述（与一致性台账守则联动）。
+
+## 四、配角精简模板（三行建档）
+- 一句话身份 + 此刻想要什么（出场动机）。
+- 一个可复用的辨识特征（外貌 / 口头禅 / 习惯动作）。
+- 与主要角色的关系张力（靠什么维系、因什么破裂）。
+三行都填不出来 = 这个角色还不该出场；信息攒够再让他登场。
+
+## 五、小传模板示例（可直接复制）
+> **姓名**：xxx　**年龄 / 身份**：xxx
+> **表层目标**：……　**深层需求**：……
+> **恐惧软肋**：……　**信条**：……
+> **语言指纹**：口头禅……；句式……；禁语……
+> **关系网**：与主角——……；与反派——……
+> **弧光四拍**：起点…… → 触发事件…… → 摇摆…… → 终点……
+
+## 六、写作前自检
+- [ ] 本章每个出场角色都知道自己「想要什么」，行为在为目标服务
+- [ ] 对白符合各自语言指纹（遮名测试通过）
+- [ ] 主角行为符合当前弧光阶段：没提前顿悟、没无铺垫地反复横跳
+- [ ] 反派行为在其自身逻辑内成立，没有为剧情方便而降智
+- [ ] 外貌 / 伤势 / 随身物与前文一致，本章新信息已记入小传

package/app/core/skillpacks/market/code-risk-checklist.md

@@ -0,0 +1,58 @@
+---
+name: 代码风险自查清单
+note: 提测/评审前的风险过单：边界与异常 / 资源与并发 / 安全 / 兼容与回退
+scopes:
+- "*"
+source: market
+market_id: code-risk-checklist
+---
+
+# 代码风险自查清单（市场包）
+
+适用：提交、提测、评审前对**自己写的代码**做一遍系统性过单。条目按事故率排序，
+每一条都对应一类反复发生的线上事故。用法：逐项问「我的改动碰到这条了吗」，
+碰到了就必须有明确答案，**不许「应该没事」**。
+
+## 一、边界与异常（最高频事故源）
+- 空值：入参为 None / 空串 / 空列表 / 空对象时，每一层调用会怎样？
+  dict 取键、列表取 [0]、`a.b.c` 属性链是最常见的崩点。
+- 数值边界：0、负数、极大值、小数精度（金额与计数一律避免 float 裸算的累计误差）。
+- 超长与超量：超长字符串、上千条的批量输入、没做分页的全量查询。
+- 异常处理红线：**禁止裸 `except: pass` 吞异常**——要么处理（记日志 + 降级/重试），
+  要么让它炸出来。吞掉的异常等于把今天的报错换成下周的灵异故障。
+- 失败路径：主流程成功不算完，逐问「每一步失败后，状态是否仍然一致」——
+  写了一半的文件、扣了款没发货的订单、删了源没删索引。
+
+## 二、资源与并发
+- 打开的文件 / 连接 / 锁，在**所有**退出路径上都关闭了吗（含异常路径）？
+  用 with / try-finally / defer 这类语言级保证，不靠「记得 close」。
+- 循环内不做 IO / 网络 / 建连接（N+1 模式）；能批量就批量。
+- 并发共享状态：全局变量、模块级缓存、多线程写同一文件——有锁吗？锁的粒度
+  会不会死锁？**单测通过不代表并发安全**，并发问题要靠设计保证而不是靠运气。
+- 幂等性：重试、重复请求、消息重复消费时，同一操作执行两次结果必须不变
+  （尤其支付、发送、计数类操作）。
+
+## 三、安全（每次改动都扫一眼）
+- 拼 SQL / 拼命令 / 拼 HTML = 注入。参数化或转义，没有例外。
+- 路径拼接必须校验：用户可控输入参与拼路径时防目录穿越（先 resolve 再判前缀，
+  或白名单校验文件名）。
+- 密钥与令牌不硬编码、不打日志；日志里的手机号 / 身份证 / 邮箱脱敏。
+- 对外接口：入参校验（类型 / 长度 / 范围）；错误信息不回显内部堆栈与路径。
+- 新增依赖必须来源可信、版本锁定；升级依赖后过一眼 changelog 的破坏性变更。
+
+## 四、兼容与可回退
+- 跨平台：路径分隔符（用语言自带的路由 API，不手拼 `/` 或 `\`）、文件编码
+  （Windows 默认 GBK，读写文件显式 UTF-8）、换行符、文件名大小写敏感差异。
+- 数据兼容：改字段名 / 改格式时，旧数据还读得动吗？迁移脚本在哪、可重跑吗？
+- 接口兼容：改出参、删字段之前，确认所有调用方（前端、脚本、第三方）已同步修改。
+- 可回退：这次改动出问题，怎么回到上一版本？配置开关、灰度、revert 方案，
+  动手前至少想清楚一个并写进提交说明。
+
+## 五、提测前过单（逐项打勾，全绿才提交评审）
+- [ ] 空值 / 边界入参各试过一次：不崩、行为合理
+- [ ] 无裸吞异常；所有异常路径上资源正确释放
+- [ ] 无循环内 IO；并发路径有并发保护或明确论证过只在单线程运行
+- [ ] 无拼接 SQL / 命令；无硬编码密钥；日志无敏感明文
+- [ ] 路径 / 编码 / 换行已跨平台处理（Windows 环境必查）
+- [ ] 已想好并写下回退方式（revert / 开关 / 迁移脚本）
+- [ ] 新增或修改的逻辑有对应测试，改动的测试全部通过

package/app/core/skillpacks/market/git-workflow.md

@@ -0,0 +1,57 @@
+---
+name: Git 提交与分支守则
+note: 提交信息规范 / 分支模型 / 危险操作红线 / 冲突与回滚 / 提交前自检清单
+scopes:
+- "*"
+source: market
+market_id: git-workflow
+---
+
+# Git 提交与分支守则（市场包）
+
+适用：任何带版本控制的工程或写作任务。目标只有一个——**让半年后的自己（和协作者）
+能从提交历史里读懂「为什么改」，并且任何时候都敢放心回滚**。本包约束的是纪律，
+不是 git 教程；每条红线背后都是一类真实发生过的事故。
+
+## 一、提交信息（Commit Message）
+- 格式：`类型(范围): 一句话摘要`。类型闭集：feat / fix / docs / refactor / test / chore，
+  不自创类型（update、modify、change 这类词无法被工具统计与检索）。
+- 摘要 ≤50 字，祈使句，结尾不加句号；写「做了什么」，不写「改了哪些文件」。
+  反例：`修改了一些文件`；正例：`fix(api): 空请求体导致 500 的问题`。
+- 摘要说不清的改动，空一行后写 body：解释**为什么改**（背景、权衡、副作用），
+  不要复述 diff 本身能看出来的「改了什么」。
+- 一次提交只做一件事：修 bug 的提交里不顺手重构；发现顺手该改的，另起提交。
+  混合提交无法单独回滚，是最常见的 git 事故根源。
+
+## 二、分支模型
+- `main`（或 master）永远可发布：只接受经过验证的合并，禁止把未验证的功能代码
+  直接 push 上去。
+- 分支命名能看出目的：功能 `feat/<短横线描述>`，修复 `fix/<短横线描述>`；
+  一个分支只对应一个目的，合完即删——活过两周的分支几乎必然产生严重冲突。
+- 同步纪律：动手前先拉最新主干；分支生命周期超过 2 天，每天至少同步一次主干，
+  冲突在自己分支上解决，不把冲突攒到合并时刻。
+
+## 三、危险操作红线
+- 禁止对**已推送的公共分支**做 `reset` / `amend` / force push——重写历史会让所有
+  协作者的本地仓库错乱。公共分支上的错误用 `git revert` 生成反向提交。
+- `git push --force` 只允许推自己的功能分支；确需覆盖时用 `--force-with-lease`
+  （远端有别人新提交时会拒绝，防误伤）。
+- 提交前不许 `git add -A` 了事：先 `git status` + `git diff --staged` 逐块确认，
+  防止把临时脚本、日志、密钥、二进制大文件带进历史（进了历史几乎删不干净）。
+- 敏感信息（密钥、口令、内网地址）一旦提交，**立即视为已泄露**：先作废并轮换凭据，
+  再清理历史，顺序不能反——清理历史赶不上爬虫抓取的速度。
+
+## 四、冲突与回滚
+- 冲突解决以**业务正确**为准，不以「保留谁写的」为准；解决完必须编译/跑测通过
+  再提交，冲突盲选是隐性 bug 的最大来源。
+- 回滚决策树：未推送 → `reset`（本地随意）；已推送未发布 → `revert` 反向提交；
+  已发布出问题 → 先 revert 恢复线上，再慢慢定位，**不在主干上现场调试**。
+- 大改动合并前先试合：`git merge --no-commit --no-ff` 预览，或在临时分支上合一遍。
+
+## 五、提交前自检清单
+- [ ] `git status` 干净：没有预期外的未跟踪/被修改文件
+- [ ] `git diff --staged` 逐块看过：无调试代码、无密钥、无大文件
+- [ ] 提交信息符合 `类型(范围): 摘要`，摘要 ≤50 字且脱离上下文能看懂
+- [ ] 一次提交一个意图；无关改动已拆分
+- [ ] 功能分支基于最新主干；公共分支未被重写历史
+- [ ] 提交后本地测试/CI 通过；红了立即 fix 或 revert，不留红主干