create-dwy 0.14.2 → 0.14.3

package/CHANGELOG.md

@@ -1,5 +1,13 @@
 # create-dwy
 
+## 0.14.3
+
+### Patch Changes
+
+- 完善 Git 提交相关规范与模板文档，统一提交规则与 AI 署名治理说明。
+- 优化 iOS 规则中图标策略，优先 SF Symbols，缺省使用成熟第三方 SVG 方案。
+- 强化 `dwy-tdd-dev` 与 `dwy-0to1` 流程文档内的提交规范引用方式。
+
 ## 0.14.2
 
 ### Patch Changes

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "create-dwy",
-  "version": "0.14.2",
+  "version": "0.14.3",
   "description": "项目脚手架与多平台 AI 配置同步工具",
   "type": "module",
   "bin": {

package/templates/ai-tools/rules/Global/dwy-docker.md

@@ -0,0 +1,71 @@
+---
+description: Docker 通用规则（镜像固定版本、容器内存上限、日志大小限制）
+---
+
+# Docker 通用规则
+
+适用于 `Dockerfile`、`docker-compose*.yml`、`compose.yml`、Kubernetes manifest、CI 配置中的所有 `FROM` / `image:` 字段，以及容器资源与日志配置。
+
+## 一、Docker 镜像固定版本
+
+- **必须**使用固定版本 tag
+- **禁止** `latest`
+- **禁止**省略 tag。省略 tag 等同于 `latest`
+- **禁止**浮动 tag：`stable`、`mainline`、`current`、`release`、`lts`、`rolling`、`main`、`master`、`head`、`edge`、`nightly`
+- **禁止**只写环境或发行版 tag：`alpine`、`slim`、`bookworm`、`bullseye`、`buster`、`jammy`、`focal`、`noble`、`trixie`
+- 数据库、缓存、网关、消息队列等关键基础设施，优先固定到 `tag@sha256:...`
+
+### 正反例
+
+```dockerfile
+# 反例
+FROM nginx:latest
+FROM python
+image: redis:7
+image: postgres:bookworm
+
+# 正例
+FROM nginx:1.26.2
+FROM python:3.12.10-slim
+image: redis:7.4.2
+image: postgres:16.4
+image: postgres:16.4@sha256:xxxxx
+```
+
+## 二、Docker 容器配置要求
+
+### 1. 内存设置
+
+- 每一个容器**必须**设置最大可用内存
+- 与 Redis 配合使用时，容器最大可用内存**必须大于** Redis 的 `maxmemory`
+- **禁止**容器无限制使用宿主机内存
+
+### 2. 日志设置
+
+- Docker 日志**必须**设置最大使用量
+- **必须**限制单个日志文件大小与轮转文件数量
+- **禁止**不设上限长期写入，避免占满磁盘
+
+### compose 示例
+
+```yaml
+services:
+  app:
+    image: myapp:1.2.3
+    mem_limit: 512m
+    logging:
+      driver: json-file
+      options:
+        max-size: "10m"
+        max-file: "3"
+
+  redis:
+    image: redis:7.4.2
+    command: ["redis-server", "--maxmemory", "256mb", "--maxmemory-policy", "allkeys-lru"]
+    mem_limit: 384m
+    logging:
+      driver: json-file
+      options:
+        max-size: "10m"
+        max-file: "3"
+```

package/templates/ai-tools/rules/iOS/dwy-swift-style.md

@@ -72,18 +72,25 @@ withAnimation(.spring(response: 0.5, dampingFraction: 0.75)) { isBusy = true }
 
 ## 6. 图标：矢量图，禁止 emoji
 
-UI 图标**一律 SF Symbols 矢量图**（`Image(systemName:)`），任何视图、文案、注释都**禁止 emoji**：
+UI 图标优先使用 **SF Symbols 矢量图**（`Image(systemName:)`）。系统无对应符号时，改用**成熟第三方 SVG 图标**（如已集成并维护良好的 icon 套件），禁止自行手绘或临时 PNG/emoji。
 
 ```swift
-// 好：SF Symbols 矢量图标
+// 优先：系统 SF Symbols
 Image(systemName: "checkmark")
     .font(.system(size: 11, weight: .bold))
     .foregroundStyle(.white)
 
+// 次选：成熟第三方矢量图标组件或资源
+Image("icon_checkmark")
+    .resizable()
+    .frame(width: 12, height: 12)
+
 // 禁止：emoji 当图标
 Text("✅")   // 不允许
 ```
 
+任何视图、文案、注释都**禁止 emoji**。
+
 ## 7. 颜色 / 字体 / 动效 token 化
 
 - 颜色集中到设计 token（如 `ColorTokens.*` / `theme.*`），**禁止在视图里散落硬编码颜色字面量**。

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-git-commit.md

@@ -0,0 +1,153 @@
+---
+description: Git Commit 规范（提交安全、敏感扫描、Scope、消息规范、AI 署名治理）
+---
+
+# Git Commit 规范（强制）
+
+## 1. 适用范围
+
+适用于所有 Git 提交流程，覆盖：
+
+- `git add`
+- `git commit`
+- 为提交生成或校验 commit message 的场景
+
+任一步骤不通过：中止当前提交流交付流程。
+
+## 2. 执行顺序（硬约束）
+
+1. 安全写法检查
+2. Stage 级敏感扫描
+3. 变更范围确认
+4. Scope 与 message 格式校验
+5. AI 署名与生成声明校验
+
+## 3. 安全写法（命令注入防护）
+
+`git commit -m "..."` 会对双引号内内容做 shell 展开。出现反引号或 `$(...)` 时，禁止直接使用双引号形式。
+
+### 3.1 推荐：消息文件提交（优先）
+
+```bash
+git commit -F /tmp/commit-msg.txt
+```
+
+```bash
+cat > /tmp/commit-msg.txt <<'EOF'
+feat: 示例提交说明
+
+- 修改点 A
+- 修改点 B
+EOF
+git commit -F /tmp/commit-msg.txt
+```
+
+### 3.2 允许：单引号提交
+
+```bash
+git commit -m 'feat: 支持 runConcurrent'
+```
+
+前提：message 内无单引号字符。
+
+### 3.3 禁止：双引号直接携带反引号
+
+```bash
+git commit -m "feat: run `build-tool`"
+```
+
+上例存在命令替换风险。
+
+### 3.4 兜底：转义（不推荐）
+
+```bash
+git commit -m "feat: run \`build-tool\`"
+```
+
+## 4. Stage 级敏感扫描（强制）
+
+同时扫描：
+- `git diff --cached`
+- `git diff --cached --name-only`
+
+### 4.1 禁止提交文件
+
+`.env*`、`*.pem`、`*.key`、`*.p12`、`*.pfx`、`*.jks`、`*.keystore`、`*.sql`（真实数据）、`*.dump`、`*.sqlite`、`*.xlsx`、`*.csv`（敏感表）、`*.log`、`pgdata/`、`cache/*.json`。
+
+### 4.2 禁止内容片段（示例）
+
+`sk-` 开头 API Key、`AKIA` 开头 AWS Key、`ghp_` GitHub Token、`password=...`、`token=...`、`secret=...`、明文数据库连接串、私钥头、`IP:端口`、`ssh user@ip`。
+
+### 4.3 例外
+
+`.env.example`、环境变量读取方式、`localhost`/`127.0.0.1` 示例连接串可保留。
+
+### 4.4 处理失败
+
+1. 立即停止。
+2. 输出 `文件名:行号:命中片段`。
+3. 给出修复建议（`.gitignore`、改环境变量、替换占位符）。
+4. 用户确认后继续；用户强制提交时，message body 追加：
+   - `GIT-SECURITY: 用户已确认提交此内容`
+
+## 5. 变更范围与提交拆分
+
+先执行 `git diff --cached`，明确：修改了哪些模块、影响边界、是否一次可归因。
+
+若单条 message 无法在 `subject` 中清晰表达，必须拆分 commit。
+
+## 6. Commit Scope
+
+Scope 由 AI 根据变更模块与项目语义自行决定，保持与现有提交习惯一致且可读。
+
+- 单模块改动：优先加 scope，名称贴近主改动模块（如 `eui` / `backend` / `cli` 等）。
+- 跨模块改动：可不带 scope。
+- 无法稳定归类：短期使用无 scope，避免强行造新约束。
+
+## 7. Commit Message 规则
+
+格式：
+
+`<type>(<scope>): <subject>`
+
+或
+
+`<type>: <subject>`
+
+或
+
+`<type>!: <subject>`
+
+或
+
+`<type>(<scope>)!: <subject>`
+
+`type` 限定为：`feat`、`fix`、`refactor`、`chore`、`docs`、`test`、`perf`、`style`、`ci`。
+
+`subject` 规则：
+
+- 中文、动宾短语。
+- ≤72 字符。
+- 不用句号、不用“了”。
+- 不得含 emoji。
+- 可选 body 仅说明 why，不要复述 what。
+- 破坏性变更：`feat!:` / `fix!:`（带 scope 时写成 `feat(<scope>)!:` / `fix(<scope>)!:`） + `BREAKING CHANGE: ...`
+
+## 8. AI 署名与生成声明治理
+
+commit 的 subject、body、footer、trailer 中禁止出现：
+
+- `Co-Authored-By: Claude ...`
+- `Generated with Claude Code`
+- `Generated with ...`
+- `Claude`、`ChatGPT`、`GPT`、`Copilot`、`Cursor`、`AI`、`LLM`
+- `noreply@anthropic.com`、`noreply@openai.com`
+
+`git commit -m "..."` 不得附带 AI 署名 trailer。
+
+## 9. 参考示例
+
+- `feat(eui): 添加 Image 组件懒加载支持`
+- `refactor(backend): 提取分页逻辑为共享工具`
+- `fix(eui)!: 重构 EDialog open 属性为 v-model:open`
+  - `BREAKING CHANGE: EDialog 不再接受 visible 属性，请改用 v-model:open`

package/templates/ai-tools/rules//346/225/260/346/215/256/345/272/223/dwy-postgres.md

@@ -14,6 +14,8 @@ description: PostgreSQL 安全与配置规范（参数化查询、应用用户
 |------|------|
 | 参数化查询 | **禁止**字符串拼接 SQL（用 ORM 或 `text(... :param)` 参数绑定） |
 | 应用用户权限 | 只授予 SELECT / INSERT / UPDATE / DELETE，**不给** DROP / CREATE / ALTER / SUPERUSER |
+| 端口暴露 | **禁止**将 `5432` 直接暴露到公网；仅允许 VPC / 内网 / 跳板机访问 |
+| 运行权限 | PostgreSQL 服务进程**禁止**以 `root` 用户运行，必须使用专用低权限系统用户 |
 | 连接池 | `pool_size ≤ 20`，`max_overflow ≤ 10` |
 | SSL 连接 | 生产环境启用 `sslmode=require` |
 | 敏感字段加密 | 身份证号 / 银行卡 / 手机号原文等使用 AES 加密**存储**，不仅展示脱敏 |
@@ -25,6 +27,8 @@ description: PostgreSQL 安全与配置规范（参数化查询、应用用户
 
 生产环境**禁止**使用 `postgres` 超级用户跑应用；为每个应用创建独立用户，授权严格限定到 DML。
 
+数据库服务自身也**禁止**由 `root` 直接启动或托管，统一使用 `postgres` 或发行版默认专用系统账号运行。
+
 ```sql
 -- 创建应用专用用户（非超级用户）
 CREATE USER app_user WITH PASSWORD 'strong_password';
@@ -83,6 +87,8 @@ ALTER DEFAULT PRIVILEGES IN SCHEMA public
 | SQL 拼接 | f-string / `%` / 字符串相加构造 SQL | **致命 → STOP** |
 | 应用用户超权 | 应用账号拥有 DROP / CREATE / ALTER / SUPERUSER | **致命 → STOP** |
 | 超级用户跑应用 | 应用以 `postgres` 或其他超级用户身份连接 | **致命 → STOP** |
+| 公网开放 5432 | 安全组 / 防火墙 / LB 允许公网直连 PostgreSQL 端口 | **致命 → STOP** |
+| root 运行数据库 | PostgreSQL 服务进程以 `root` 身份运行 | **致命 → STOP** |
 | 连接池超限 | `pool_size > 20` 或 `max_overflow > 10` | 高 |
 | 无 SSL | 生产环境连接串无 `sslmode=require` | 高 |
 | 敏感字段明文 | 身份证 / 银行卡等明文落库 | 高 |

package/templates/ai-tools/rules//346/225/260/346/215/256/345/272/223/dwy-redis.md

@@ -21,15 +21,18 @@ description: Redis 安全与使用规范（必须用 dwyeapi 客户端、密码
 | 规则 | 说明 |
 |------|------|
 | 认证 | **必须**设置 `requirepass`，无密码 Redis 一律拒绝接入生产 |
-| 绑定地址 | `bind 127.0.0.1` 或内网地址，**禁止** `bind 0.0.0.0` |
+| 绑定地址 | `bind 127.0.0.1` 或内网地址，**禁止** `bind 0.0.0.0`，**禁止**通过安全组 / 防火墙 / LB 直接暴露 `6379` 到公网 |
+| 运行权限 | Redis 进程**禁止**以 `root` 用户运行，必须使用专用低权限用户 |
 | 危险命令 | **禁用**或重命名 `FLUSHALL` / `FLUSHDB` / `CONFIG` / `KEYS` / `DEBUG` |
-| 内存上限 | 设 `maxmemory` 与 `maxmemory-policy`（推荐 `allkeys-lru`），防止 OOM |
+| 内存上限 | Redis 运行**必须**显式设置 `maxmemory` 与 `maxmemory-policy`（推荐 `allkeys-lru`），防止缓存无限膨胀或 OOM |
 | 持久化 | 根据用途选择：缓存可关 AOF；会话 / 黑名单需 AOF everysec |
 
 ```conf
 # redis.conf 关键项示例
 requirepass <strong-password>
 bind 127.0.0.1
+port 6379
+maxclients 10000
 rename-command FLUSHALL ""
 rename-command FLUSHDB ""
 rename-command CONFIG ""
@@ -39,6 +42,12 @@ maxmemory 256mb
 maxmemory-policy allkeys-lru
 ```
 
+```ini
+# systemd/service 示例
+User=redis
+Group=redis
+```
+
 ---
 
 ## 三、Key 设计规范（强制）
@@ -79,10 +88,13 @@ await redis.set("myapp:cache:user:uuid:f7e2", json_data, ex=300)
 | 检查项 | 违规模式 | 严重程度 |
 |--------|---------|---------|
 | 绑定 0.0.0.0 | 服务对公网暴露 | **致命 → STOP** |
+| 公网开放 6379 | 安全组 / 防火墙 / LB 允许公网直连 Redis 端口 | **致命 → STOP** |
 | 无密码 | 生产 Redis 未设 `requirepass` | **致命 → STOP** |
+| root 运行 | Redis 进程以 `root` 身份启动 | **致命 → STOP** |
 | 存敏感原文 | 密码 / 身份证 / token 明文存 Redis | **致命 → STOP** |
 | 自建连接池 | 业务代码 `aioredis.from_url(...)`，未走 dwyeapi 缓存模块 | 高 |
 | 危险命令未禁 | `FLUSHALL` / `KEYS` / `CONFIG` 等可在生产执行 | 高 |
+| 未设 `maxmemory` | Redis 未设置缓存最大可用内存或未配置淘汰策略 | **致命 → STOP** |
 | Key 无 TTL | `redis.set()` 没有 `ex` 参数（业务上明确永久存储除外） | 中 |
 | Key 无前缀 | Key 无项目前缀，污染共享 Redis | 中 |
 | Pub/Sub 当队列 | 业务关键消息走 Pub/Sub | 高 |

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/SKILL.md

@@ -26,6 +26,7 @@ description: "部署后线上环境基础安全巡检：远程 SSH 到目标服
 | `references/checks-network.md` | 即将运行 4.1 / 4.2 / 4.4 / 4.7 类检查或解读其输出时 | SSH / Nginx / HTTPS / 依赖服务连通性 |
 | `references/checks-data.md` | 即将运行 4.3 / 4.5 / 4.11 类检查或解读其输出时 | 数据库暴露 / 环境变量 / 凭证强度 |
 | `references/checks-runtime.md` | 即将运行 4.6 / 4.8 / 4.9 / 4.10 类检查或解读其输出时 | Docker / 自愈 / 日志防爆 / 资源推荐 |
+| `references/security-doc-search.md` | 本地 checks 不够判定、需要查官方安全文档、需要按版本追 CVE、或需要把新规则沉淀回 skill 时 | 权威文档检索策略 / 官方来源清单 / 沉淀规则 |
 
 ---
 
@@ -46,12 +47,13 @@ description: "部署后线上环境基础安全巡检：远程 SSH 到目标服
 1. 收集目标信息  → 确认 SSH 连接、目标服务范围
 2. 连通性测试    → SSH 登录、sudo 权限确认
 3. 基础环境识别  → 系统版本、已部署服务清单
-4. 分类检查      → SSH / Nginx / DB / HTTPS / Env / Docker / Services / Resilience / Logs / Capacity / Secrets(主 Bash 调用 run_all.sh,12 路并行)
-5. 生成报告      → 按等级聚合,Markdown 格式
-6. 修复建议      → 每条问题给出修复方向(不执行)
+4. 权威文档检索  → 必要时查官方文档 / CVE / OWASP,补足判定依据
+5. 分类检查      → SSH / Nginx / DB / HTTPS / Env / Docker / Services / Resilience / Logs / Capacity / Secrets(主 Bash 调用 run_all.sh,12 路并行)
+6. 生成报告      → 按等级聚合,Markdown 格式
+7. 修复建议      → 每条问题给出修复方向(不执行)
 ```
 
-**共 6 步，按顺序执行。**
+**共 7 步，按顺序执行。**
 
 ---
 
@@ -115,7 +117,44 @@ ssh ${TARGET} "
 
 ---
 
-## Step 4: 分类检查（并行执行）
+## Step 4: 权威文档检索（必要时执行）
+
+当出现以下任一情况，**先读** `references/security-doc-search.md`，再用 WebSearch / 官方站点检索：
+
+1. `references/checks-*.md` 里只有抽象规则，没有给出当前版本依据
+2. audit 输出出现了明确版本号，需要判断是否存在已知高危 CVE
+3. 配置项语义、默认值、版本门槛不确定
+4. 用户明确要求“按官方安全文档”解释
+5. 本次发现适合沉淀回长期规则
+
+### 强制来源顺序
+
+1. 官方产品文档 / 官方 security 页面
+2. 官方 release notes / advisories
+3. CISA KEV / NVD / CVE
+4. OWASP Cheat Sheet
+
+**禁止**把论坛、博客、AI 聚合页当唯一依据。
+
+### 强制检索输出
+
+每次外部检索至少产出 3 个字段：
+
+| 字段 | 说明 |
+|------|------|
+| `source` | 权威来源 URL |
+| `claim` | 从文档得到的明确结论 |
+| `impact` | 这条结论如何影响本次分级 / 判定 / 修复建议 |
+
+### 需要沉淀时怎么做
+
+- 可复用的配置语义 / 检查基线 → 回写对应 `references/checks-*.md`
+- 可复用的检索方法 / 来源入口 → 回写 `references/security-doc-search.md`
+- 单次版本漏洞情报 → 只写进本次报告,不固化成长期规则
+
+---
+
+## Step 5: 分类检查（并行执行）
 
 **主 Claude 直接用 Bash 调用 `run_all.sh`,12 路并行跑完全部检查类目**,把原始输出落到 `/tmp/dwy_audit_<host>.txt`,再由主 Claude `Read` 文件后做分析。
 
@@ -251,7 +290,7 @@ bash {scripts}/check_db.sh <target> [ssh_opts...]
 
 ---
 
-## Step 5: 生成报告
+## Step 6: 生成报告
 
 报告必须为 Markdown 格式,**核心是"完整检查清单 + 状态可视化"** — 让用户一眼看到"检查了哪些 / 通过哪些 / 失败哪些 / 跳过哪些 / 未覆盖哪些"。
 
@@ -441,7 +480,7 @@ bash {scripts}/check_db.sh <target> [ssh_opts...]
 
 ---
 
-## Step 6: 修复建议(只输出,不执行)
+## Step 7: 修复建议(只输出,不执行)
 
 **严格禁止：**
 
@@ -455,6 +494,7 @@ bash {scripts}/check_db.sh <target> [ssh_opts...]
 - 在报告中给出修复命令片段(供用户复制)
 - 解释修复后的影响和验证方法
 - 推荐修复优先级
+- 给出本次实际引用过的权威文档 URL
 
 ---
 

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/references/checks-data.md

@@ -35,6 +35,17 @@
 | `rename-command` | 危险命令(FLUSHALL/CONFIG)已重命名 | medium |
 | Redis 版本 | 非已知 CVE 版本 | medium |
 
+**Redis 版本判定补充：**
+
+- 配置语义先看官方安全文档：`https://redis.io/docs/latest/operate/oss_and_stack/management/security/`
+- 版本安全再搜：`redis <version> CVE`、`redis <version> security advisory`
+- 优先来源：Redis 官方、NVD、CISA KEV
+- 分级规则：
+  - Redis 外网暴露 + 命中高危 CVE / KEV → **critical**
+  - Redis 仅内网暴露，但命中高危 CVE → high
+  - 未命中高危 CVE，但版本明显偏旧且无安全维护依据 → medium
+- 如 `bind`、`protected-mode`、公网暴露本身已不合规，按对应配置项分级；不要把“版本风险”和“暴露风险”混成一条。
+
 ---
 
 ## 4.5 环境变量 / 文件权限 — `{scripts}/check_env.sh`

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/references/checks-network.md

@@ -49,6 +49,20 @@
 | 暴露的 location | 排查 `/.git`、`/.env`、`/admin` 是否泄漏 | **critical** |
 | Nginx 版本 | 非已知 CVE 版本 | medium |
 
+**Nginx 版本判定补充：**
+
+- 先查官方配置语义：
+  - headers 模块：`https://nginx.org/en/docs/http/ngx_http_headers_module.html`
+  - SSL 模块：`https://nginx.org/en/docs/http/ngx_http_ssl_module.html`
+- 再查版本安全：
+  - 搜索词：`nginx <version> security advisory`、`nginx <version> CVE`
+  - 优先来源：Nginx 官方公告、NVD、CISA KEV
+- 分级规则：
+  - 命中 **CISA KEV** 或存在明确在野利用记录 → **critical**
+  - 命中高危 CVE（建议按 CVSS ≥ 7.0 参考），但未见在野利用 → high
+  - 未命中高危 CVE，但版本明显老旧且缺少后续安全修复依据 → medium
+- 如果只是配置项（如 `ssl_protocols`、`ssl_stapling`、`add_header ... always`）语义不清，不按“版本风险”报，改为引用官方模块文档解释配置风险。
+
 ---
 
 ## 4.4 HTTPS 证书 — `{scripts}/check_https.sh`

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/references/checks-runtime.md

@@ -34,6 +34,22 @@
 | **daemon `registry-mirrors`**(时区在 PRC 时) | 至少 1 个国内源(daocloud / aliyun / ustc / tsinghua) | high(PRC 无配置)/ info(境外) |
 | **运行容器使用境外 registry**(`gcr.io` `ghcr.io` `k8s.gcr.io` `quay.io` `mcr.microsoft.com` `nvcr.io` `docker.elastic.co`)且时区在 PRC | 改用 `<registry>.m.daocloud.io` 前缀(`registry-mirrors` **不**对它们生效) | high |
 
+**Docker 版本与暴露面判定补充：**
+
+- 官方基础文档：
+  - Engine security：`https://docs.docker.com/engine/security/`
+  - daemon remote access：`https://docs.docker.com/engine/daemon/remote-access/`
+  - logging driver：`https://docs.docker.com/engine/logging/configure/`
+  - OWASP Docker Security Cheat Sheet：`https://cheatsheetseries.owasp.org/cheatsheets/Docker_Security_Cheat_Sheet.html`
+- 版本安全搜索词：
+  - `docker engine <version> CVE`
+  - `docker <version> security advisory`
+- 分级规则：
+  - 命中 **CISA KEV**，或 Docker daemon TCP 端口公网暴露且无充分保护 → **critical**
+  - 命中高危 CVE（建议按 CVSS ≥ 7.0 参考），但当前未见在野利用 → high
+  - 未命中高危 CVE，但版本过旧且缺少持续维护依据 → medium
+- `docker.sock` 挂载、`--privileged`、2375/2376 暴露属于**配置暴露面**，优先按当前表里的配置项分级，不要被“版本没问题”掩盖。
+
 ---
 
 ## 4.8 自愈与资源耗尽防护 — `{scripts}/check_resilience.sh`

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/references/security-doc-search.md

@@ -0,0 +1,179 @@
+## 权威安全文档检索
+
+当 `references/checks-*.md` 无法覆盖以下场景时，先查权威文档，再下结论：
+
+- 目标版本是否存在已知高危 CVE
+- 某个配置项语义不确定
+- audit 输出与经验规则冲突
+- 用户要求“按官方安全文档”解释
+- 需要把新发现沉淀回本 skill
+
+---
+
+## 检索优先级
+
+1. **官方产品文档 / 官方安全页**
+2. **官方维护的版本公告 / 安全公告 / release notes**
+3. **CISA KEV / NVD / CVE 记录**
+4. **OWASP Cheat Sheet**
+
+禁止把论坛、博客、聚合站当一手依据。
+
+---
+
+## 固定检索策略
+
+### 1. 先查“配置语义”
+
+按产品名 + 配置项名搜索，优先官方文档：
+
+- `OpenSSH sshd_config PermitRootLogin PasswordAuthentication official`
+- `nginx ssl_protocols ssl_stapling add_header official`
+- `PostgreSQL listen_addresses ssl official`
+- `Redis protected mode bind requirepass official`
+- `Docker daemon remote access docker.sock log-driver official`
+
+目标：确认该配置项的**官方含义、默认值、启用条件、版本约束**。
+
+### 2. 再查“版本安全”
+
+当 audit 输出包含版本号时，按 `产品 + 版本 + CVE` 搜：
+
+- `nginx 1.24.0 CVE`
+- `postgresql 15.6 CVE`
+- `redis 7.2.4 CVE`
+- `docker engine 26.1.4 CVE`
+
+目标：确认是否存在：
+
+- 高危未修复漏洞
+- 该版本已被官方宣布 EOL
+- 配置项依赖的最小版本门槛
+
+### 3. 最后查“硬化基线”
+
+当官方文档只解释语义、不直接给安全基线时，补查：
+
+- `OWASP Docker Security Cheat Sheet`
+- `CISA Known Exploited Vulnerabilities`
+- 产品官方 security / advisories 页面
+
+目标：把“语义”转成“审计期望值”。
+
+---
+
+## 推荐来源清单
+
+### SSH / OpenSSH
+
+- OpenSSH `sshd_config` 手册：`https://man.openbsd.org/sshd_config`
+
+重点看：
+
+- `PermitRootLogin`
+- `PasswordAuthentication`
+- `PermitEmptyPasswords`
+- `AllowUsers` / `AllowGroups`
+
+### Nginx / HTTPS
+
+- Nginx headers 模块：`https://nginx.org/en/docs/http/ngx_http_headers_module.html`
+- Nginx SSL 模块：`https://nginx.org/en/docs/http/ngx_http_ssl_module.html`
+
+重点看：
+
+- `add_header ... always`
+- `ssl_protocols`
+- `ssl_stapling`
+- `ssl_stapling_verify`
+
+### PostgreSQL
+
+- 连接与认证：`https://www.postgresql.org/docs/current/runtime-config-connection.html`
+
+重点看：
+
+- `listen_addresses`
+- `port`
+- `ssl`
+
+### Redis
+
+- Redis Security：`https://redis.io/docs/latest/operate/oss_and_stack/management/security/`
+
+重点看：
+
+- `bind`
+- `protected mode`
+- 外网暴露风险
+
+### Docker
+
+- Docker Engine security：`https://docs.docker.com/engine/security/`
+- Docker daemon remote access：`https://docs.docker.com/engine/daemon/remote-access/`
+- Docker logging drivers：`https://docs.docker.com/engine/logging/configure/`
+- OWASP Docker Security Cheat Sheet：`https://cheatsheetseries.owasp.org/cheatsheets/Docker_Security_Cheat_Sheet.html`
+
+重点看：
+
+- daemon attack surface
+- `docker.sock`
+- TCP remote API
+- capabilities / privileged
+- `log-driver`
+
+### CVE / 漏洞情报
+
+- CISA KEV：`https://www.cisa.gov/known-exploited-vulnerabilities-catalog`
+- NVD：`https://nvd.nist.gov/`
+
+用途：
+
+- 判断某版本是否已有**被在野利用**漏洞
+- 给 critical / high 分级补外部依据
+
+---
+
+## 审计时何时必须检索
+
+以下情况不得只靠本地规则：
+
+1. `references/checks-*.md` 写着“非已知 CVE 版本”，但当前没附具体依据
+2. audit 输出出现明确版本号，且版本看起来偏旧
+3. 某项默认值与当前发行版可能有漂移
+4. 需要判断某项该算 `critical` 还是 `high`
+5. 用户要求“给官方文档链接”
+
+---
+
+## 沉淀规则
+
+如果检索得到**稳定、可复用、非一次性**的信息，必须回写：
+
+- 配置语义类 → 更新对应 `references/checks-network.md` / `references/checks-data.md` / `references/checks-runtime.md`
+- 检索方法类 → 更新本文件
+- 仅某产品某版本临时漏洞 → 不写入长期规则，只在本次报告引用
+
+判断“适合沉淀”的标准：
+
+- 下次审计大概率还会遇到
+- 不是某个用户私有环境特例
+- 可以转化为明确检查项、期望值或检索模板
+
+---
+
+## 输出要求
+
+当使用了外部文档，报告里的失败项详情至少补 1 个权威链接：
+
+- 官方文档优先
+- 漏洞项可追加 CISA KEV 或 NVD
+- 不引用二手博客作唯一依据
+
+格式建议：
+
+```markdown
+- 参考:
+  - https://www.postgresql.org/docs/current/runtime-config-connection.html
+  - https://nvd.nist.gov/
+```

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/scripts/check_db.sh

@@ -42,7 +42,19 @@ else
 
   echo ""
   echo "--- PG 版本 & 数据库列表 ---"
-  sudo -n -u postgres psql -tAc "SELECT version()" 2>/dev/null | head -1 || echo "[i] 无法连接 PG"
+  PG_VERSION_RAW=$(sudo -n -u postgres psql -tAc "SELECT version()" 2>/dev/null | head -1 || true)
+  if [[ -n "$PG_VERSION_RAW" ]]; then
+    echo "$PG_VERSION_RAW"
+    PG_VERSION=$(echo "$PG_VERSION_RAW" | grep -oE 'PostgreSQL[[:space:]]+[0-9]+(\.[0-9]+){0,2}' | awk '{print $2}' | head -1)
+    echo "postgresql_version_normalized=${PG_VERSION:-unknown}"
+    echo "official_doc_pg_runtime=https://www.postgresql.org/docs/current/runtime-config-connection.html"
+    if [[ -n "$PG_VERSION" ]]; then
+      echo "search_hint_1=postgresql ${PG_VERSION} CVE"
+      echo "search_hint_2=postgresql ${PG_VERSION} security advisory"
+    fi
+  else
+    echo "[i] 无法连接 PG"
+  fi
   sudo -n -u postgres psql -tAc "SELECT datname FROM pg_database WHERE datistemplate=false" 2>/dev/null || true
 fi
 
@@ -109,7 +121,20 @@ else
 
   echo ""
   echo "--- Redis INFO server (需 auth, 跳过若失败) ---"
-  timeout 3 redis-cli -h 127.0.0.1 INFO server 2>/dev/null | grep -E "redis_version|os|arch_bits" | head -5 || echo "[i] 需要密码或无法连接"
+  REDIS_INFO=$(timeout 3 redis-cli -h 127.0.0.1 INFO server 2>/dev/null || true)
+  if [[ -n "$REDIS_INFO" ]]; then
+    echo "$REDIS_INFO" | grep -E "redis_version|os|arch_bits" | head -5
+    REDIS_VERSION=$(echo "$REDIS_INFO" | sed -n 's/^redis_version://p' | head -1)
+    echo "redis_version_normalized=${REDIS_VERSION:-unknown}"
+    echo "official_doc_redis_security=https://redis.io/docs/latest/operate/oss_and_stack/management/security/"
+    if [[ -n "$REDIS_VERSION" ]]; then
+      echo "search_hint_redis_1=redis ${REDIS_VERSION} CVE"
+      echo "search_hint_redis_2=redis ${REDIS_VERSION} security advisory"
+    fi
+  else
+    echo "[i] 需要密码或无法连接"
+    echo "official_doc_redis_security=https://redis.io/docs/latest/operate/oss_and_stack/management/security/"
+  fi
 fi
 
 echo ""

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/scripts/check_docker.sh

@@ -11,6 +11,16 @@ fi
 
 echo "--- docker version ---"
 docker version --format '{{.Server.Version}} (client: {{.Client.Version}})' 2>/dev/null || docker --version
+DOCKER_SERVER_VERSION=$(docker version --format '{{.Server.Version}}' 2>/dev/null || docker --version | grep -oE '[0-9]+(\.[0-9]+){1,3}' | head -1)
+echo "docker_server_version_normalized=${DOCKER_SERVER_VERSION:-unknown}"
+echo "official_doc_docker_security=https://docs.docker.com/engine/security/"
+echo "official_doc_docker_remote_access=https://docs.docker.com/engine/daemon/remote-access/"
+echo "official_doc_docker_logging=https://docs.docker.com/engine/logging/configure/"
+echo "official_doc_docker_owasp=https://cheatsheetseries.owasp.org/cheatsheets/Docker_Security_Cheat_Sheet.html"
+if [[ -n "$DOCKER_SERVER_VERSION" ]]; then
+  echo "search_hint_1=docker engine ${DOCKER_SERVER_VERSION} CVE"
+  echo "search_hint_2=docker ${DOCKER_SERVER_VERSION} security advisory"
+fi
 
 echo ""
 echo "--- docker daemon 监听 ---"

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/scripts/check_nginx.sh

@@ -11,6 +11,14 @@ fi
 
 echo "--- nginx version ---"
 nginx -v 2>&1
+NGINX_VERSION=$(nginx -v 2>&1 | sed -n 's#.*nginx/\([^ ]*\).*#\1#p' | head -1)
+echo "nginx_version_normalized=${NGINX_VERSION:-unknown}"
+echo "official_doc_headers=https://nginx.org/en/docs/http/ngx_http_headers_module.html"
+echo "official_doc_ssl=https://nginx.org/en/docs/http/ngx_http_ssl_module.html"
+if [[ -n "$NGINX_VERSION" ]]; then
+  echo "search_hint_1=nginx ${NGINX_VERSION} security advisory"
+  echo "search_hint_2=nginx ${NGINX_VERSION} CVE"
+fi
 
 echo ""
 echo "--- nginx 进程运行用户 ---"

package/templates/ai-tools/skills//345/274/200/345/217/221/346/265/201/347/250/213/dwy-0to1/SKILL.md

@@ -58,7 +58,7 @@ description: 端到端「0→1 产品孵化」编排器。用户丢一个产品
 
 **Step 5/6 同一个 skill 两道门**：`dwy-prototype` 在低保真（`phase=lowfi`）、高保真（`phase=hifi`）各调一次、各卡一道门，目的不同（验流程 vs 做底稿），别合并。
 
-**Step 9 循环**：对 STATE「选定版本」里的每个版本依次调 `dwy-tdd-dev` 走完，编排器更新「版本开发进度」表；全部版本完，Step 9 标 `done`，给交付报告。每版完成的 commit 由 `dwy-tdd-dev` 走 `dwy-git-commit` 规范（敏感扫描 + 格式 + 禁 AI 署名），不裸 commit。
+**Step 9 循环**：对 STATE「选定版本」里的每个版本依次调 `dwy-tdd-dev` 走完，编排器更新「版本开发进度」表；全部版本完，Step 9 标 `done`，给交付报告。每版完成的 commit 由 `dwy-tdd-dev` 按 Git 提交规范执行（敏感扫描 + 格式 + 禁 AI 署名），不裸 commit。
 
 ## 产物目录（项目内 docs/0to1/）
 

package/templates/ai-tools/skills//345/274/200/345/217/221/346/265/201/347/250/213/dwy-tdd-dev/SKILL.md

@@ -52,7 +52,7 @@ description: 按 TDD 把一个版本/功能落地成代码：写实施计划（b
     2. 运行看到失败（给确切命令 + 预期失败输出）
     3. 最小实现（贴实际实现代码）
     4. 运行看到通过（给确切命令 + 预期 PASS）
-    5. commit（优先走 `dwy-git-commit`：敏感扫描 + 规范 message + 禁 AI 署名；该 skill 不在则至少做敏感扫描 + 规范 message，给确切命令）
+    5. commit（按 Git 提交规范：敏感扫描 + 规范 message + 禁 AI 署名；该规范未生效时至少做敏感扫描 + 规范 message，给确切命令）
 
 **禁止占位符**——以下都是计划失败，绝不允许：
 
@@ -140,7 +140,7 @@ version: vN
 | `BLOCKED` | 卡住做不下去 → 补上下文 / 换更强模型 / 拆小 Task / 升级给用户，**别让它原样重试** |
 | `NEEDS_CONTEXT` | 缺信息 → 补齐缺的上下文再继续 |
 
-**两道审查全 ✅、Critical/Important 全修完、且本 Task 已 commit（步骤 5，走 dwy-git-commit），这个 Task 才算完成，进下一个 Task。** commit 是 Task 的硬收尾——别把多个 Task 攒着不提交，漏 commit 等于 Task 没完成。
+**两道审查全 ✅、Critical/Important 全修完、且本 Task 已 commit（按 Git 提交规范），这个 Task 才算完成，进下一个 Task。** commit 是 Task 的硬收尾——别把多个 Task 攒着不提交，漏 commit 等于 Task 没完成。
 
 > **自包含 + 可增强**：上面这套 spec / code 审查逻辑已内嵌，能独立跑。如果检测到项目里有 `/code-review` 命令或 `dwy-dev-qa` skill，Task 级或下面版本级的 code-review 可委托给它们做增强（更全面），没有就用内嵌逻辑。
 
@@ -205,7 +205,7 @@ git diff --stat $BASE_SHA..$HEAD_SHA
 - **禁止没有失败测试就写生产代码**——红-绿-重构铁律，违反就删掉重来。
 - **禁止跳审查**——spec 和 code 两道都要，且 spec 在前 code 在后，顺序不能反。
 - **禁止带未修的 Critical / Important 进下一个 Task 或下一个版本。**
-- **禁止 Task 未 commit 就开下一个 Task**——红-绿-审查全过后必须当场 commit（走 dwy-git-commit），不许把多个 Task 的改动攒到最后一次性提交。
+- **禁止 Task 未 commit 就开下一个 Task**——红-绿-审查全过后必须当场 commit（按 Git 提交规范），不许把多个 Task 的改动攒到最后一次性提交。
 - **禁止没跑验证就声称完成**——「应该过了」不算证据，必须有刚跑的命令输出。
 - **禁止实施计划留占位符**（TODO / 待补充 / 类似 Task N）——每步给实际代码 + 确切命令。
 - **禁止把代码写进 `docs/0to1/`**——只有实施计划进 `plans/`，代码进项目源码。

package/templates/ai-tools/skills//345/274/200/345/217/221/346/265/201/347/250/213/dwy-tdd-dev/templates/impl-plan.md

@@ -67,7 +67,7 @@ export function validateNoteBody(body: string): { ok: boolean; error?: string }
 Run: `pnpm vitest run tests/validators/note.test.ts`
 Expected: PASS（2 passed），其它测试不受影响
 
-- [ ] **步骤 5：commit（走 `dwy-git-commit`：敏感扫描 + 规范 message + 禁 AI 署名）**
+- [ ] **步骤 5：commit（按 Git 提交规范：敏感扫描 + 规范 message + 禁 AI 署名）**
 
 ```bash
 git add src/validators/note.ts tests/validators/note.test.ts
@@ -107,7 +107,7 @@ Expected: FAIL — <预期失败原因，必须是「功能没实现」>
 Run: `<确切测试命令>`
 Expected: PASS，其它测试不挂、输出无 warning
 
-- [ ] **步骤 5：commit（走 `dwy-git-commit`：敏感扫描 + 规范 message + 禁 AI 署名）**
+- [ ] **步骤 5：commit（按 Git 提交规范：敏感扫描 + 规范 message + 禁 AI 署名）**
 
 ```bash
 git add <文件>

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-git-commit-safe.md

@@ -1,66 +0,0 @@
----
-description: git commit message 安全写法(防反引号被 shell 命令替换误执行)
----
-
-# git commit 安全写法
-
-## 核心风险
-
-AI 生成的 commit message 爱用 Markdown 风格反引号包代码标识符。经 shell 执行 `git commit -m "..."` 时，**双引号内**的反引号会被当成命令替换实际执行：
-
-```bash
-# 危险：`bun install` 被 shell 当成 $(bun install) 执行
-git commit -m "fix: support `bun install` on windows"
-```
-
-shell 实际跑了 `bun install`，把输出塞进 message，甚至误执行破坏性命令导致丢代码。`$(...)` 同理。
-
-## 强制规则
-
-commit message 含反引号 `` ` `` / `$(...)` / 多行 / emoji 等特殊字符时，**禁止** `git commit -m "..."`，必须走以下安全写法：
-
-### 1. 文件提交（首选，多行 / 特殊字符一律用它）
-
-```bash
-git commit -F <msg-file>
-
-# 或 stdin
-printf '%s\n' "$MSG" | git commit --file=-
-
-# 或 heredoc 写文件再提交
-cat > /tmp/commit-msg.txt <<'EOF'
-feat(agent): add `runConcurrent`
-
-- support drain-all-before-throw
-EOF
-git commit -F /tmp/commit-msg.txt
-```
-
-### 2. 单引号包裹（单行、无单引号时可用）
-
-```bash
-# 单引号内所有字符字面，反引号原样保留
-git commit -m 'fix: support `bun install` on windows'
-```
-
-### 3. 转义反引号（不推荐，易漏）
-
-```bash
-git commit -m "fix: support \`bun install\` on windows"
-```
-
-## 安全速查
-
-| 方式 | 反引号风险 |
-|---|---|
-| `git commit -m "...`...`..."` | 危险（双引号内被求值） |
-| `git commit -m '...`...`...'` | 安全（单引号不展开） |
-| `git commit -F <file>` | 安全（Git 直读文件，不过 shell） |
-| `git commit --file=-` | 安全 |
-
-## 禁止
-
-- **禁止**把含反引号 / `$(...)` 的 message 拼进 `git commit -m "..."` 双引号
-- **禁止**为图省事忽略此约束 —— 误执行后果是丢代码，不可逆
-
-> PreToolUse hook `pre-git-commit-backtick-check.sh` 会在双引号 message 含未转义反引号 / `$(...)` 时硬拦截（exit 2），但 hook 是兜底，写法本身就该走安全方式。

package/templates/ai-tools/skills//345/274/200/345/217/221/346/265/201/347/250/213/dwy-git-commit/SKILL.md

@@ -1,125 +0,0 @@
----
-name: dwy-git-commit
-description: "Git commit 强制规范（敏感数据扫描 + message 格式 + 禁 AI 署名）。触发场景：用户说'提交' / 'commit' / 'git commit' / 'git add'；AI 准备执行 `git add` / `git commit` 之前；用户让你帮忙写 commit message；review 已有 commit message。强制：先扫描暂存物是否含 .env / 密钥 / API Key / 连接串等敏感数据；再检查 CLAUDE.md 的 Git Commit Scope 段；subject 用中文动宾短语 ≤72 字符；message 任何位置禁止 Claude / GPT / Copilot / AI / LLM 字样及 Co-Authored-By trailer。"
----
-
-# Git Commit 强制规范
-
-每次 `git add` / `git commit` 前按顺序执行以下检查，任一步未通过 → **STOP，不得提交**。
-
-## Step 0: 敏感数据扫描
-
-`git diff --cached` + `git diff --cached --name-only` 同时扫文件名和内容。
-
-### 禁止提交的文件
-
-| 类型 | 示例 |
-|---|---|
-| 环境变量 | `.env`, `.env.*`, `*.env` |
-| SSH 密钥 | `id_rsa`, `id_ed25519`, `*.pem`, `*.key` |
-| 证书 | `*.p12`, `*.pfx`, `*.jks`, `*.keystore` |
-| 数据库 | `*.sql`（含真实数据）、`*.dump`, `*.sqlite` |
-| 原始数据 | `*.xlsx`, `*.csv`（含用户/学生等敏感数据） |
-| 日志 | `*.log` |
-| Docker 卷 | `pgdata/`, `cache/*.json` |
-
-### 禁止出现的敏感内容
-
-**总则**：代码、文档、规则文件、注释里禁止出现真实的 API Key / Token / 密码 / IP / 凭证，即使作为"示例"也不行。GitHub Secret Scanning 不区分上下文，真实格式的 key 写在文档里也会触发泄露告警。示例必须用明显假值（`sk-xxxxxxxxxxxx`、`your-key-here`、`192.168.x.x`）。
-
-| 类型 | 匹配模式 |
-|---|---|
-| API Key | `sk-[a-zA-Z0-9]{20,}` |
-| AWS Key | `AKIA[0-9A-Z]{16}` |
-| GitHub Token | `ghp_[a-zA-Z0-9]{36}` |
-| 密码赋值 | `password\s*[:=]\s*["'][^"']{4,}` |
-| 数据库连接串 | `://\w+:[^@\s]+@`（含密码） |
-| 私钥内容 | `-----BEGIN (RSA \|EC )?PRIVATE KEY-----` |
-| Token 赋值 | `token\s*[:=]\s*["'][a-zA-Z0-9_\-]{20,}` |
-| Secret 赋值 | `secret\s*[:=]\s*["'][^"']{8,}` |
-| 服务器 IP+端口 | `\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}:\d+` |
-| SSH 连接 | `ssh\s+.*@\d{1,3}\.\d{1,3}` |
-
-**例外（不算违规）**：`.env.example` 占位符；从环境变量读取（`os.getenv("API_KEY")`）；`localhost` / `127.0.0.1` 的连接串；文档假数据；配置文件空字符串默认值。
-
-### 违规处理
-
-1. **立即停止** `git add` / `git commit`
-2. **列出违规项**：文件 + 行号 + 匹配的敏感模式 + 脱敏摘要（如 `sk-5522****dc3`）
-3. **建议修复**：加入 `.gitignore` / 移到 `.env` / 改用环境变量 / 替换为占位符
-4. **等用户明确确认**后才能继续；确认强制提交时，commit body 附 `GIT-SECURITY: 用户已确认提交此内容`
-
-## Step 1: 分析变更
-
-`git diff --cached` 回答：这次改做了几件事？涉及哪些模块？
-
-**做了多件事（无法用 ≤72 字符 subject 清晰描述）→ 必须拆成多个 commit。**
-
-## Step 2: 确定 scope
-
-读当前项目 CLAUDE.md 的 `## Git Commit Scope` 段：
-
-- **找到** → scope 从枚举值中选，不得自造
-- **没找到** → 提醒用户「当前项目 CLAUDE.md 未定义 Git Commit Scope，建议添加」，scope 可省略
-
-单模块变更 → **必须**带 scope；跨模块变更 → 省略 scope。
-
-## Step 3: 生成 message
-
-格式：`<type>(<scope>): <subject>` 或（无 scope）`<type>: <subject>`
-
-**type 枚举（只能从中选）**：
-
-| type | 用途 |
-|------|------|
-| feat | 新功能 |
-| fix | 修复 bug |
-| refactor | 重构（不改外部行为） |
-| chore | 构建/依赖/配置/发版等杂务 |
-| docs | 文档 |
-| test | 测试 |
-| perf | 性能优化 |
-| style | 代码格式（不影响逻辑） |
-| ci | CI/CD 配置 |
-
-**subject**：中文、无句号、≤72 字符、动宾短语（添加/修复/移除/重构/升级）。
-
-**body（可选）**：空一行后写；中文；只写 why 不复述 what；破坏性变更加 `BREAKING CHANGE:` 前缀（subject 用 `feat!:` / `fix!:` 标记）。
-
-## Step 4: 禁止大模型署名
-
-commit message（subject、body、footer、trailer）**禁止出现任何大模型 / AI 工具相关内容**，覆盖系统默认的 `Co-Authored-By` 追加行为。
-
-**禁止出现（不完全列举）**：
-
-- `Co-Authored-By: Claude ...` / `Co-Authored-By: GPT ...` / `Co-Authored-By: Copilot ...` 等 AI 署名 trailer
-- `Generated with Claude Code` / `🤖 Generated with ...` 等生成声明
-- `noreply@anthropic.com` / `noreply@openai.com` 等 AI 厂商邮箱
-- 任何提到 Claude / ChatGPT / GPT / Copilot / Cursor / AI / 大模型 / LLM 的字样
-
-**执行要点**：
-
-- `git commit -m "..."` 只写规范内容，**绝不**附加 `Co-Authored-By` trailer
-- HEREDOC 传 message 时，HEREDOC 内容也不得包含上述字样
-- 暂存的 message 含大模型信息 → **立即删除**后再提交
-
-## 常见错误 vs 正确
-
-| 错误 | 正确 |
-|------|------|
-| `feat: add user login`（英文） | `feat: 添加用户登录功能` |
-| `fix(eui): 修复了按钮样式。` | `fix(eui): 修复按钮样式`（无句号、不用"了"） |
-| `feat: 添加登录并修复登出 bug` | 拆成两个 commit |
-| `update: 修改配置` | `update` 不在枚举，应为 `chore` |
-| `feat(auth): ...`（项目无 auth scope） | 用项目已定义的 scope 值 |
-| message 末尾加 `Co-Authored-By: Claude ...` | 不加任何 AI 署名 trailer |
-| `🤖 Generated with Claude Code` | 不加任何生成声明 |
-
-## 正确示例
-
-- `feat(eui): 添加 Image 组件，支持懒加载`
-- `fix: 修复 token 刷新竞态条件`
-- `refactor(backend): 提取分页逻辑为共享工具`
-- `chore: 升级 Vite 至 8.x`
-- `feat(eui)!: 重命名 EDialog open 属性为 v-model:open`
-  - body：`BREAKING CHANGE: EDialog 不再接受 visible 属性，请改用 v-model:open`

package/templates/ai-tools/skills//350/204/232/346/211/213/346/236/266/dwy-tech-stack/SKILL.md

@@ -1,61 +0,0 @@
----
-name: dwy-tech-stack
-description: 跨栈技术选型强制约束（FastAPI / Vue 3 / Flutter / UV / pnpm / Docker / S3 / DolphinDB 等）。触发场景：用户提到「用什么 ORM / 缓存 / 状态管理 / 路由 / 包管理 / 组件库」/ 引入新依赖 / 替换现有库 / 调研选型 / 新项目初始化 / 架构评估；AI 准备执行 `pnpm add` / `uv add` / `pip install` / `flutter pub add` / `npm install` 前；讨论涉及后端 Web 框架、ORM、关系数据库、缓存、消息队列、异步任务、JWT / 密码哈希、Linter；前端 Vue 框架、构建工具、组件库、状态管理、样式方案、表单校验、测试；移动端 Flutter、状态管理、HTTP 客户端、路由、本地存储、代码生成；容器化、对象存储、时序数据库时。强制：每个领域只有唯一方案，AI 不得选替代，不得「建议改用 XX」。
----
-
-# 跨栈技术选型强制约束
-
-每个领域只有一个方案，AI 不得选替代，不得「建议改用 XX」。
-
-## 后端
-
-| 领域 | 唯一方案 | 禁止替代 |
-|------|---------|---------|
-| Web 框架 | FastAPI | Django, Flask, Tornado, Sanic |
-| ORM | SQLAlchemy 2.0 (异步) | Tortoise ORM, Peewee, Django ORM |
-| 关系数据库 | PostgreSQL | MySQL, MariaDB, SQLite(生产) |
-| 缓存 / 消息队列 | Redis | Memcached, RabbitMQ, Kafka |
-| 异步任务 | ARQ (eapi[tasks]) | Celery, Dramatiq, Huey |
-| 数据库迁移 | Alembic | 手动 DDL, Django migrations |
-| 包管理 | UV | pip, Poetry, Pipenv |
-| 密码哈希 | bcrypt (eapi security) | argon2, scrypt, 自实现 |
-| JWT | python-jose (eapi security) | PyJWT, 自实现 |
-| 数据校验 | Pydantic v2 | marshmallow, attrs, 手动校验 |
-| 基础设施层 | dwyeapi | 自造框架、手写基础设施 |
-| Linter/Formatter | Ruff | Black, isort, flake8, pylint |
-
-## 前端（Web）
-
-| 领域 | 唯一方案 | 禁止替代 |
-|------|---------|---------|
-| 框架 | Vue 3 (Composition API) | React, Svelte, Angular, Vue 2 |
-| 构建工具 | Vite | Webpack, Rollup, esbuild 直接用 |
-| 组件库 | @dwydev/eui | Element Plus, Ant Design Vue, Naive UI |
-| 工具库 | @dwydev/ekit | 手写 request/storage/validators |
-| 状态管理 | Pinia (Setup Store) | Vuex, 手动 reactive/provide |
-| 样式 | Tailwind CSS 4 | Sass/Less 手写、CSS Modules、UnoCSS |
-| 包管理 | pnpm | npm, yarn |
-| 项目结构 | pnpm monorepo (workspace) | Lerna, Nx, Turborepo |
-| 表单校验 | vee-validate + zod | 手动 v-model 校验 |
-| 路由 | Vue Router 4 | — |
-| 测试 | Vitest | Jest |
-
-## 移动端 / 桌面端
-
-| 领域 | 唯一方案 | 禁止替代 |
-|------|---------|---------|
-| 框架 | Flutter | React Native, Kotlin Multiplatform, MAUI |
-| 状态管理 | Riverpod | GetX, Bloc, Provider, MobX |
-| HTTP 客户端 | Dio | http, Chopper, Retrofit |
-| 路由 | GoRouter | auto_route, Routemaster |
-| 本地存储 | shared_preferences + flutter_secure_storage | Hive, Isar, sqflite(非必要时) |
-| 代码生成 | riverpod_generator + freezed + json_serializable | 手写 fromJson/toJson |
-
-## 基础设施
-
-| 领域 | 唯一方案 |
-|------|---------|
-| 容器化 | Docker + Docker Compose |
-| 对象存储(开发) | MinIO (S3 协议) |
-| 对象存储(生产) | 任何 S3 兼容云服务 |
-| 时序数据库(量化金融) | DolphinDB |