create-dwy 0.12.1 → 0.12.2

package/templates/claude-global/skills//345/256/211/345/205/250/dwy-sdk-spec/SKILL.md

@@ -0,0 +1,232 @@
+---
+name: dwy-sdk-spec
+description: "SDK 接口规范与发布安全检查。检查 SDK 接口注释是否泄露后端实现（内网域名、数据库表名、Redis key、内部服务名、员工邮箱、JIRA 链接、SQL 语句），检查商业版 Python SDK 是否用 Cython 编译成 .so 隐藏源码，检查商业版 JS SDK 是否用 tsup/rollup minify + files 白名单，检查 PyPI/npm 发布产物是否含 .py 源文件 / .map source map / .env / .npmrc / tsbuildinfo / __pycache__ 等隐藏泄露文件。跨项目复用：首次进入新项目用 AskUserQuestion 问商业版还是开源版，缓存到 ~/.config/dwy-sdk-spec/projects.json，下次自动按规则检查。涉及以下任何场景必须使用此 skill：用户说「检查 SDK」「SDK 发版前检查」「SDK 注释脱敏」「SDK 接口规范」「准备发 PyPI」「准备发 npm」「商业版 SDK 打包」「Cython 编译 .so」「打包前体检」「.gitignore 漏了什么」「npm pack 看看包里有什么」「发布前安全检查」「SDK 源码泄露检查」「重设 SDK 版本类型」。"
+---
+
+# dwy-sdk-spec — SDK 接口规范与发布安全检查
+
+防三类风险：接口注释泄露后端实现 / 商业版 SDK 源码被还原 / 发布产物夹带隐藏敏感文件。
+
+## 何时触发
+
+下列任何场景**必须**用此 skill，不要直接 `npm publish` / `python -m build` / `twine upload`：
+
+- 用户说「检查 SDK」「SDK 发版前检查」「SDK 接口规范」
+- 用户说「准备发 PyPI / npm」「发布前体检」「打包前检查」
+- 用户说「SDK 注释脱敏」「SDK 源码泄露检查」「.gitignore 漏了什么」
+- 用户说「商业版 SDK 打包」「Cython 编译 .so」「npm 包混淆」
+- 用户说「npm pack 看看包里有什么」「dist 目录看一下」
+- 用户说「重设 SDK 版本类型」「换商业 / 开源版本」
+
+## 工作流程 0：项目识别与配置（必走）
+
+skill 跨项目复用。每次执行流程 A/B/C 前先确保当前项目的配置就绪。
+
+### 缓存文件格式
+
+路径：`~/.config/dwy-sdk-spec/projects.json`
+
+```json
+{
+  "version": "1",
+  "projects": {
+    "/绝对/路径/到/项目根": {
+      "edition": "commercial",
+      "languages": ["python", "js"],
+      "sdk_paths": {
+        "python": ["backend"],
+        "js": ["frontend/eui", "frontend/ekit"]
+      },
+      "configured_at": "2026-05-18T12:34:56Z"
+    }
+  }
+}
+```
+
+- `edition` 必填，只能是 `commercial` 或 `opensource`
+- `languages` / `sdk_paths` 自动探测
+- key 是项目**绝对路径**（`pwd` 取），跨机器迁移自动失效
+
+### 读取流程
+
+```bash
+SKILL_DIR="$(dirname "$0")"   # 实际跑时 Claude 用 SKILL.md 所在目录拼 scripts/
+PROJECT_PATH=$(pwd)
+CONFIG=$(bash "$SKILL_DIR/scripts/init_config.sh" get "$PROJECT_PATH")
+```
+
+- 输出非 `null` → 已配置，提取 `edition` / `languages` / `sdk_paths`，跳到对应流程
+- 输出 `null` → 走「首次配置」
+
+### 首次配置流程
+
+1. 跑 `bash scripts/detect_sdk.sh "$PROJECT_PATH"` 探测语言：
+   - 看到 `pyproject.toml`（含 `[project]` 段）或 `setup.py` → Python SDK
+   - 看到 `package.json`（含 `main` / `exports` / `module` 字段）→ JS SDK
+   - monorepo 递归找子包（限 2 层深度），输出 JSON：
+
+     ```json
+     {"python": ["backend"], "js": ["frontend/eui", "frontend/ekit"]}
+     ```
+
+   - 都没找到 → 报错「当前目录不是 SDK 项目」，让用户确认 `pwd` 是否在项目根
+
+2. **AskUserQuestion 问商业 / 开源**（必问，不能默认）：
+
+   - 标题：「当前项目 SDK 是商业版还是开源版？」
+   - header：「SDK 版本」
+   - 选项：
+     - 「商业版（严格检查）」— 必须 Cython 编译 .so / npm 必须 minify + 白名单 files / 注释脱敏 + 打包白名单
+     - 「开源版（宽松检查）」— 仅做注释脱敏 + 打包黑名单（防 .env / .npmrc / .map 漏出）
+   - 不提供默认值，等用户选
+
+3. 写入缓存：
+
+   ```bash
+   bash "$SKILL_DIR/scripts/init_config.sh" set "$PROJECT_PATH" "$EDITION" "$LANGUAGES_JSON" "$SDK_PATHS_JSON"
+   ```
+
+### 重设配置流程
+
+用户说「换商业 / 开源版本」「重设 SDK 版本类型」：
+
+```bash
+bash "$SKILL_DIR/scripts/init_config.sh" reset "$PROJECT_PATH"
+```
+
+然后重新走首次配置。
+
+## 工作流程 A：接口注释脱敏检查（商业版+开源版都跑）
+
+### 目的
+
+SDK 对外的 docstring / JSDoc / TSDoc **只写功能含义、入参格式、返回值、异常**，不写实现细节。常见泄露：内网域名、数据库表名、Redis key、内部服务名、SQL 语句、员工邮箱、JIRA 工单号。
+
+### 执行
+
+```bash
+bash "$SKILL_DIR/scripts/check_comments.py" "$PROJECT_PATH" --sdk-paths "$SDK_PATHS_JSON"
+```
+
+脚本输出 JSON 数组，每项：
+
+```json
+{"file": "backend/src/dwyeapi/security.py", "line": 42, "pattern": "internal-domain", "match": "api.internal.corp.com", "context": "Connect to https://api.internal.corp.com/v2"}
+```
+
+### 违规处理
+
+逐项展示给用户：
+- 引用 `references/sensitive-patterns.md` 给出正例 / 反例对照
+- 建议修复方案（删除 / 替换为公开描述）
+- 误报场景 → 在该行后加 `# sdk-spec: ignore` 注释豁免（脚本会跳过）
+
+**禁止**直接帮用户改源码，只输出修复建议清单让用户决策。
+
+## 工作流程 B：商业版打包配置检查（仅 edition=commercial）
+
+### Python SDK 分支
+
+跑下面 4 项静态检查（不打包）：
+
+```bash
+# 1. pyproject.toml 是否含 Cython ext_modules
+grep -q 'cython\|ext_modules' "$PROJECT_PATH/pyproject.toml"
+
+# 2. 核心模块（_ 开头）是否已编译为 .so
+find "$PROJECT_PATH/<python_sdk_path>" -name '_*.so' -type f
+
+# 3. MANIFEST.in 是否含全局排除
+grep -E 'global-exclude.*\*\.py' "$PROJECT_PATH/MANIFEST.in"
+
+# 4. .gitignore 是否含必要项
+grep -E '^\*\.so$|^build/$|^dist/$|^\*\.egg-info' "$PROJECT_PATH/.gitignore"
+```
+
+缺哪条 → 引用 `references/python-commercial-guide.md` 给修复片段，提供 `assets/python-commercial.gitignore` 和 `assets/python-commercial-MANIFEST.in` 让用户 cp 到项目根（用 AskUserQuestion 让用户确认）。
+
+### JS SDK 分支
+
+跑下面 4 项静态检查：
+
+```bash
+# 1. package.json 有 files 白名单且不含 src/ tests/
+jq -e '.files | length > 0 and (contains(["src/"]) or contains(["src"])) | not' "$PROJECT_PATH/<js_sdk_path>/package.json"
+
+# 2. 打包工具配置 minify + 无 sourcemap
+grep -E 'minify.*true|legalComments.*none|sourcemap.*false' "$PROJECT_PATH/<js_sdk_path>/tsup.config.*"
+
+# 3. dist/ 下没有 .map 文件
+find "$PROJECT_PATH/<js_sdk_path>/dist" -name '*.map' -type f 2>/dev/null
+
+# 4. .gitignore 含 .env / *.tsbuildinfo
+grep -E '\.env|\.tsbuildinfo' "$PROJECT_PATH/.gitignore"
+```
+
+缺哪条 → 引用 `references/js-commercial-guide.md`，提供 `assets/js-commercial.npmignore` 和 `assets/files-whitelist-snippet.json`。
+
+## 工作流程 C：发布前文件清单审计
+
+**商业版严格 / 开源版宽松**，规则不同：
+
+| 版本 | Python 策略 | JS 策略 |
+|---|---|---|
+| commercial | 白名单：只允许 `.so` `.dist-info/` `.pyi` `.typed` `LICENSE` `README.md` 与必要资源 | 白名单：只允许 `dist/` `README.md` `LICENSE` `package.json` |
+| opensource | 黑名单：禁 `__pycache__/` `*.pyc` `.mypy_cache` `*.egg-info/` `.env*` `*.pdb` | 黑名单：禁 `.env*` `.npmrc` `*.map` `*.tsbuildinfo` `tsconfig.json` `.git*` `node_modules` |
+
+### Python 执行
+
+```bash
+bash "$SKILL_DIR/scripts/check_python_publish.sh" "$PROJECT_PATH/<python_sdk_path>" --edition "$EDITION"
+```
+
+脚本内部跑 `python -m build`（生成 wheel 到临时目录），`unzip -l dist/*.whl` 列文件，按 edition 白名单 / 黑名单断言。结束自动清理临时 dist。
+
+### JS 执行
+
+```bash
+bash "$SKILL_DIR/scripts/check_js_publish.sh" "$PROJECT_PATH/<js_sdk_path>" --edition "$EDITION"
+```
+
+脚本内部跑 `npm pack --dry-run --json` 拿包内文件列表，按 edition 断言。不实际产生 .tgz。
+
+### 输出
+
+每项违规：`<文件名>  [规则: <白/黑名单条目>]  → 建议: <修复方案>`
+
+修复方案：
+- 多余文件 → 加到 `package.json` `files` 白名单外，或加到 `MANIFEST.in` `global-exclude`
+- 缺少文件 → 检查打包脚本是否漏跑
+
+**禁止**直接帮用户改配置文件，输出建议清单让用户决策。
+
+## 错误处理速查
+
+| 情况 | 处理 |
+|---|---|
+| 脚本说命中敏感词但是误报 | 该行后加 `# sdk-spec: ignore`（Python）或 `// sdk-spec: ignore`（JS/TS）行内豁免 |
+| 商业版但项目特殊不用 Cython（如纯接口包） | 跟用户确认；要长期跳过 Python 商业打包检查 → `bash scripts/init_config.sh reset` 重选「开源版」，或单次跳过流程 B |
+| 想换商业 / 开源版本 | `bash scripts/init_config.sh reset "$(pwd)"` 然后重触发 skill 重问 |
+| `detect_sdk.sh` 没找到 SDK 但项目确实是 | 让用户手动指定 `--sdk-paths '{"python":["src/mypkg"]}'`，跳过自动探测 |
+| `python -m build` 失败 | 报告原因给用户，建议先 `pip install build`；不强制执行流程 C，可仅做流程 A+B |
+| `npm pack --dry-run` 失败 | 多半是 `npm install` 没跑或 `package.json` 缺字段，让用户先修复，重跑 |
+| 缓存文件损坏（jq 解析失败） | 提示用户备份原文件后删除 `~/.config/dwy-sdk-spec/projects.json`，重新走首次配置 |
+
+## 跨项目约束
+
+skill 文件**零绝对路径**。装到任何机器上首次用时自动走流程 0。
+
+需要用户机器满足：
+1. 装了 `jq`（解析缓存 JSON）
+2. Python 项目：装了 `python` 与 `build` 包（流程 C 用）
+3. JS 项目：装了 `npm` 与 `node`（流程 C 用）
+4. 缓存文件 `~/.config/dwy-sdk-spec/projects.json` 是本机配置，**不**随 skill 同步出去
+
+## 安全约束
+
+- skill 不存任何 token / 凭证 / 私钥
+- skill 不动 `~/.pypirc` / `~/.npmrc`
+- 脚本只做本地读 + 本地写 `~/.config/dwy-sdk-spec/`
+- 不静默修改任何源文件 / 配置文件，所有改动建议输出给用户决策
+- 不实际发布到 PyPI / npm，流程 C 全部使用 `--dry-run` 或临时目录
+- 检查通过 ≠ 安全保证，最终发布前用户必须人工 review `npm pack --dry-run` 输出

package/templates/claude-global/skills//345/256/211/345/205/250/dwy-sdk-spec/assets/files-whitelist-snippet.json

@@ -0,0 +1,22 @@
+{
+  "_comment": "复制 main / module / types / exports / files / publishConfig 到 package.json，按实际包名/路径调整",
+  "main": "./dist/index.cjs",
+  "module": "./dist/index.js",
+  "types": "./dist/index.d.ts",
+  "exports": {
+    ".": {
+      "import": "./dist/index.js",
+      "require": "./dist/index.cjs",
+      "types": "./dist/index.d.ts"
+    }
+  },
+  "files": [
+    "dist",
+    "README.md",
+    "LICENSE"
+  ],
+  "publishConfig": {
+    "registry": "https://registry.npmjs.org/",
+    "access": "public"
+  }
+}

package/templates/claude-global/skills//345/256/211/345/205/250/dwy-sdk-spec/assets/js-commercial.npmignore

@@ -0,0 +1,76 @@
+# JS/TS 商业版 SDK .npmignore 模板（降级方案）
+# 推荐：用 package.json 的 files 白名单（优先级更高），见 files-whitelist-snippet.json
+# 如必须用 .npmignore 走黑名单，cp 到包根
+
+# === 源码与测试 ===
+src/
+tests/
+__tests__/
+*.test.ts
+*.test.tsx
+*.test.js
+*.test.jsx
+*.spec.ts
+*.spec.tsx
+*.spec.js
+*.spec.jsx
+
+# === 编译产物泄露源码 ===
+*.map
+*.tsbuildinfo
+
+# === 配置文件（暴露技术栈） ===
+tsconfig*.json
+vite.config.*
+vitest.config.*
+tsup.config.*
+rollup.config.*
+webpack.config.*
+jest.config.*
+.eslintrc*
+eslint.config.*
+.prettierrc*
+prettier.config.*
+commitlint.config.*
+
+# === 凭证 / 环境（致命） ===
+.env
+.env.*
+.npmrc
+.yarnrc
+.pnpmrc
+secrets.json
+credentials.json
+*.pem
+*.key
+*.p12
+id_rsa
+id_ed25519
+
+# === 版本控制 / CI / Git hook ===
+.git/
+.gitignore
+.gitattributes
+.github/
+.gitlab-ci.yml
+.travis.yml
+.circleci/
+.husky/
+
+# === 锁文件（npm 默认忽略 package-lock，但其他可能漏） ===
+pnpm-lock.yaml
+package-lock.json
+yarn.lock
+
+# === IDE / 系统 ===
+.vscode/
+.idea/
+*.swp
+*.swo
+.DS_Store
+Thumbs.db
+
+# === 构建临时 ===
+coverage/
+.nyc_output/
+node_modules/

package/templates/claude-global/skills//345/256/211/345/205/250/dwy-sdk-spec/assets/python-commercial-MANIFEST.in

@@ -0,0 +1,37 @@
+# Python 商业版 SDK MANIFEST.in 模板
+# 作用：控制 sdist / wheel 内含什么文件
+# 用法：cp 到项目根，按需调整 graft 路径
+
+# 收录 src/ 下整棵树
+graft src
+
+# 包含许可证 + README + 类型存根 + py.typed 标记
+include LICENSE LICENCE LICENSE.* README README.* py.typed
+include src/*/py.typed
+include src/*/*.pyi
+include src/*/**/*.pyi
+
+# 业务必要资源（按需取消注释）
+# include src/*/templates/*.html
+# include src/*/data/*.json
+
+# === 关键：全局排除源码与中间产物 ===
+# 排除以 _ 开头的内部 .py（已编译为 .so，不发源码）
+global-exclude _*.py
+
+# 排除 Cython / C 中间文件
+global-exclude *.pyx *.pxd *.c
+
+# 排除字节码与缓存
+global-exclude *.pyc *.pyo __pycache__
+global-exclude .mypy_cache .pytest_cache .ruff_cache .tox
+
+# 排除版本控制 / 系统 / 编辑器文件
+global-exclude .git .gitignore .gitattributes
+global-exclude .DS_Store Thumbs.db
+global-exclude *.swp *.swo *~
+
+# 排除凭证（致命，再保险一道）
+global-exclude .env .env.*
+global-exclude .pypirc secrets.json credentials.json
+global-exclude *.pem *.key *.p12

package/templates/claude-global/skills//345/256/211/345/205/250/dwy-sdk-spec/assets/python-commercial.gitignore

@@ -0,0 +1,62 @@
+# Python 商业版 SDK .gitignore 模板
+# 用法: cp 到项目根，按需追加项目自有忽略项
+
+# 源码编译产物
+*.so
+*.so.c
+*.c
+*.dylib
+*.dll
+build/
+dist/
+*.egg-info/
+.eggs/
+
+# Cython 中间文件
+*.pyx.c
+
+# Python 缓存
+__pycache__/
+*.pyc
+*.pyo
+*.pyd
+.Python
+
+# 类型检查 / lint / 测试缓存
+.mypy_cache/
+.pytest_cache/
+.ruff_cache/
+.tox/
+.nox/
+htmlcov/
+.coverage
+.coverage.*
+
+# 虚拟环境
+.venv/
+venv/
+env/
+ENV/
+
+# 凭证 / 配置（致命，绝不能进仓库）
+.env
+.env.*
+.pypirc
+secrets.json
+credentials.json
+*.pem
+*.key
+*.p12
+id_rsa
+id_ed25519
+
+# IDE
+.vscode/
+.idea/
+*.swp
+*.swo
+*~
+
+# OS
+.DS_Store
+Thumbs.db

package/templates/claude-global/skills//345/256/211/345/205/250/dwy-sdk-spec/references/js-commercial-guide.md

@@ -0,0 +1,133 @@
+# JS/TS 商业版 SDK 完整打包指南
+
+目标：发布到 npm 的 `.tgz` 内**不含 src/、不含 sourcemap、不含 tsconfig**，只含压缩后的 `dist/` 与 `.d.ts` 类型定义。
+
+## 关键原则
+
+- `package.json` 的 `files` 字段是**白名单**，优先级高于 `.npmignore`
+- 用 `tsup` 或 `rollup` 打包，强制 `minify: true` + `sourcemap: false` + `legalComments: 'none'`
+- `.d.ts` 单独生成（用户要类型提示），但不能带 `.d.ts.map`（会映射回源码）
+
+## 工具选择
+
+| 工具 | 优势 | 推荐场景 |
+|---|---|---|
+| **tsup** | 零配置、内置 dts + 多格式 | **默认选择** |
+| rollup + rollup-plugin-dts | 配置灵活、生态成熟 | 复杂 bundle 拆分 |
+| esbuild | 最快、最小 | 简单单文件 SDK |
+
+下面以 tsup 为准。
+
+## 项目结构示例
+
+```
+mysdk/
+├── package.json
+├── tsup.config.ts
+├── tsconfig.json                   # 仅本地用，不发
+├── .gitignore
+├── .npmignore                      # 可选（files 优先）
+├── src/
+│   ├── index.ts                    # 入口
+│   ├── client.ts                   # 公开 API
+│   └── _internal/                  # 内部模块
+│       └── engine.ts
+└── dist/                           # 构建产物（唯一发布内容）
+    ├── index.js                    # ESM，minified
+    ├── index.cjs                   # CJS，minified
+    └── index.d.ts                  # 类型定义（无 .map）
+```
+
+## tsup.config.ts
+
+```typescript
+import { defineConfig } from 'tsup'
+
+export default defineConfig({
+  entry: ['src/index.ts'],
+  format: ['esm', 'cjs'],
+  dts: true,                  // 生成 .d.ts
+  sourcemap: false,           // 关键：不生成 .map（防止源码可还原）
+  minify: true,               // 压缩
+  legalComments: 'none',      // 去掉 /*! */ 版权注释（可能含路径）
+  splitting: false,           // 不拆分（防止内部模块结构暴露）
+  clean: true,                // 构建前清 dist/
+  treeshake: true,
+})
+```
+
+## package.json
+
+```json
+{
+  "name": "@dwydev/mysdk",
+  "version": "1.0.0",
+  "main": "./dist/index.cjs",
+  "module": "./dist/index.js",
+  "types": "./dist/index.d.ts",
+  "exports": {
+    ".": {
+      "import": "./dist/index.js",
+      "require": "./dist/index.cjs",
+      "types": "./dist/index.d.ts"
+    }
+  },
+  "files": [
+    "dist",
+    "README.md",
+    "LICENSE"
+  ],
+  "scripts": {
+    "build": "tsup",
+    "prepublishOnly": "pnpm build && npm pack --dry-run"
+  },
+  "publishConfig": {
+    "registry": "https://registry.npmjs.org/",
+    "access": "public"
+  }
+}
+```
+
+`files` 白名单只列 3 项 → 其他全部不发（src/、tests/、tsconfig.json、tsup.config.ts、node_modules/ 自动不发）。
+
+## 构建命令
+
+```bash
+# 清理 + 打包
+rm -rf dist/
+pnpm build
+
+# 验证 dist/ 无 .map
+find dist -name '*.map' -type f && echo "FAIL: sourcemap leaked" || echo "OK: no sourcemap"
+
+# 干跑看 .tgz 内容
+npm pack --dry-run --json | jq '.[] | .files[] | .path'
+```
+
+## 验收清单（流程 B 用）
+
+| 检查项 | 命令 |
+|---|---|
+| package.json 有 files 白名单 | `jq '.files \| length > 0' package.json` |
+| files 不含 src/ | `jq '.files \| any(. == "src" or . == "src/")' package.json` 应为 false |
+| tsup 配置 minify + 无 sourcemap | `grep -E 'minify.*true' tsup.config.*` + `grep -E 'sourcemap.*false' tsup.config.*` |
+| dist/ 下无 .map | `find dist -name '*.map'` 应为空 |
+| .gitignore 含 .env / *.tsbuildinfo | `grep -E '\.env\\|\.tsbuildinfo' .gitignore` |
+
+## 常见踩坑
+
+| 现象 | 原因 | 修复 |
+|---|---|---|
+| 用 `.npmignore` 但 files 也定义了 | `files` 优先，`.npmignore` 被忽略 | 二选一，推荐只用 `files` |
+| `.tgz` 里有 `.DS_Store` | macOS 系统文件，没被 ignore | `.gitignore` 加 `.DS_Store`；npm 默认会带 .gitignore 规则 |
+| 发布后 .d.ts 含内部路径 | tsup 生成的 .d.ts 没合并 | 用 `dts: { resolve: true }` 合并所有类型，或改用 rollup-plugin-dts |
+| 装完后用户 IDE 跳转到 minified 代码 | `.d.ts.map` 不小心发了 | 检查 `dist/` 无 `.d.ts.map`，tsup 默认不生成 |
+| `bin` 字段指向的 CLI 被压缩后报 "no entry" | 缺 shebang `#!/usr/bin/env node` | tsup 配 `banner: { js: '#!/usr/bin/env node' }` |
+
+## 参考 dwy-shared 内已有 SDK
+
+`frontend/eui/` / `frontend/ekit/` 当前是**开源版**（Vite 构建，含 `vite-plugin-dts`）。若要转商业版：
+1. 把 Vite 换成 tsup（或在 Vite 配置加 `build.minify: 'terser'` + `build.sourcemap: false`）
+2. `package.json` 添加 `files: ["dist", "README.md", "LICENSE"]`
+3. 删除 `dist/` 下所有 `.map` 文件
+4. 跑 `npm pack --dry-run` 验收

package/templates/claude-global/skills//345/256/211/345/205/250/dwy-sdk-spec/references/publish-blacklist.md

@@ -0,0 +1,106 @@
+# PyPI / npm 发布黑名单
+
+`check_python_publish.sh` / `check_js_publish.sh` 的规则源。
+
+## Python（PyPI）
+
+### 商业版：白名单（其他一律违规）
+
+| 允许的文件 / 模式 | 说明 |
+|---|---|
+| `*.so` | 编译产物 |
+| `*.pyi` | 类型存根（无源） |
+| `py.typed` | 标记包支持类型检查 |
+| `*.dist-info/**` | wheel 元数据（METADATA / RECORD / WHEEL / entry_points.txt 等） |
+| `LICENSE` `LICENSE.*` `LICENCE` | 许可证（可在包外） |
+| `README` `README.*` | 仅 dist-info 内 |
+| `<pkg>/__init__.py` | 公开入口（如果用了 re-export 模式） |
+| `<pkg>/<public_module>.py` | 不以 `_` 开头的公开 API 模块 |
+| 业务必要资源（图片、json、模板） | 列入 `package-data` |
+
+### 开源版：黑名单（任意命中视为违规）
+
+| 禁止的文件 / 模式 | 原因 |
+|---|---|
+| `__pycache__/**` | 字节码缓存，可反编译 |
+| `*.pyc` `*.pyo` | 同上 |
+| `*.egg-info/**` | 旧式构建元数据，含本地路径 |
+| `.mypy_cache/**` `.pytest_cache/**` `.ruff_cache/**` | 开发工具缓存 |
+| `.pdb` `.idb` | 调试符号 |
+| `.env` `.env.*` `.env.local` | 环境变量（凭证） |
+| `.pypirc` | PyPI 凭证（致命） |
+| `.git/**` `.gitignore` | 版本控制（含历史） |
+| `.DS_Store` `Thumbs.db` | 系统文件 |
+| `.vscode/**` `.idea/**` | IDE 配置（可能含路径） |
+| `*.bak` `*.swp` `*.swo` `*~` | 编辑器临时文件 |
+
+## npm
+
+### 商业版：白名单（其他一律违规）
+
+| 允许的文件 / 模式 | 说明 |
+|---|---|
+| `dist/**` | 构建产物（minified） |
+| `package.json` | 必有 |
+| `README` `README.*` | 用户必读 |
+| `LICENSE` `LICENSE.*` `LICENCE` | 许可证 |
+| `CHANGELOG` `CHANGELOG.*` | 可选 |
+| `bin/**` | 仅 CLI 包 |
+| `*.d.ts` 在 dist/ 内 | 类型定义 |
+
+### 开源版：黑名单（任意命中视为违规）
+
+| 禁止的文件 / 模式 | 原因 |
+|---|---|
+| `src/**` `tests/**` `__tests__/**` | 源码 / 测试（占体积） |
+| `*.test.ts` `*.spec.ts` `*.test.js` `*.spec.js` | 测试文件 |
+| `*.map` `*.js.map` `*.d.ts.map` | sourcemap（源码可还原） |
+| `*.tsbuildinfo` | TS 增量编译信息（含路径） |
+| `tsconfig*.json` | 编译配置 |
+| `vite.config.*` `vitest.config.*` `tsup.config.*` `rollup.config.*` `webpack.config.*` | 打包配置 |
+| `.eslintrc*` `.prettierrc*` `eslint.config.*` `prettier.config.*` | Lint 配置 |
+| `.env` `.env.*` | 环境变量（凭证） |
+| `.npmrc` `.yarnrc` `.pnpmrc` | 包管理器配置（含 token） |
+| `.git/**` `.gitignore` `.gitattributes` | 版本控制 |
+| `.github/**` `.gitlab-ci.yml` `.travis.yml` `.circleci/**` | CI 配置（含 secret 引用） |
+| `.vscode/**` `.idea/**` `*.swp` | IDE / 编辑器 |
+| `.DS_Store` `Thumbs.db` | 系统文件 |
+| `node_modules/**` | 依赖（npm 自动忽略，但 .npmignore 错误时可能漏出） |
+| `pnpm-lock.yaml` `package-lock.json` `yarn.lock` | 锁文件（npm 默认忽略） |
+| `.husky/**` `commitlint.config.*` | Git hook 配置 |
+
+## 致命级（任何版本都禁）
+
+无论商业 / 开源，下列文件一旦发到 PyPI / npm 都视为**严重事故**，必须立即 `npm unpublish` / 联系 PyPI 删除：
+
+| 文件 | 风险 |
+|---|---|
+| `.env*` | 含 API key / DB 密码 / 第三方凭证 |
+| `.npmrc` `.pypirc` `.git-credentials` | 仓库 / 包管理器登录凭证 |
+| `id_rsa` `id_ed25519` `*.pem` `*.key` `*.p12` | SSH / TLS 私钥 |
+| `secrets.json` `credentials.json` `.aws/credentials` | 云服务凭证 |
+| `*.pdb` 含调试源 / `.dSYM` | 调试符号文件 |
+
+`check_*_publish.sh` 命中致命级 → 输出 `[CRITICAL]` 并提示用户立即从 registry 下架。
+
+## 校验自动化
+
+每次 `pre-publish` 钩子建议接 skill：
+
+**Python**（`pyproject.toml`）：
+
+```toml
+# 暂无标准 prepublish hook，推荐 Makefile / justfile
+```
+
+**npm**（`package.json`）：
+
+```json
+{
+  "scripts": {
+    "prepublishOnly": "pnpm build && npm pack --dry-run && dwy-sdk-spec check"
+  }
+}
+```
+
+（注：`dwy-sdk-spec check` 是未来 CLI 子命令计划，当前在 Claude Code 中触发 skill）