create-dwy 0.14.2 → 0.14.4

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/references/security-doc-search.md

@@ -0,0 +1,179 @@
+## 权威安全文档检索
+
+当 `references/checks-*.md` 无法覆盖以下场景时，先查权威文档，再下结论：
+
+- 目标版本是否存在已知高危 CVE
+- 某个配置项语义不确定
+- audit 输出与经验规则冲突
+- 用户要求“按官方安全文档”解释
+- 需要把新发现沉淀回本 skill
+
+---
+
+## 检索优先级
+
+1. **官方产品文档 / 官方安全页**
+2. **官方维护的版本公告 / 安全公告 / release notes**
+3. **CISA KEV / NVD / CVE 记录**
+4. **OWASP Cheat Sheet**
+
+禁止把论坛、博客、聚合站当一手依据。
+
+---
+
+## 固定检索策略
+
+### 1. 先查“配置语义”
+
+按产品名 + 配置项名搜索，优先官方文档：
+
+- `OpenSSH sshd_config PermitRootLogin PasswordAuthentication official`
+- `nginx ssl_protocols ssl_stapling add_header official`
+- `PostgreSQL listen_addresses ssl official`
+- `Redis protected mode bind requirepass official`
+- `Docker daemon remote access docker.sock log-driver official`
+
+目标：确认该配置项的**官方含义、默认值、启用条件、版本约束**。
+
+### 2. 再查“版本安全”
+
+当 audit 输出包含版本号时，按 `产品 + 版本 + CVE` 搜：
+
+- `nginx 1.24.0 CVE`
+- `postgresql 15.6 CVE`
+- `redis 7.2.4 CVE`
+- `docker engine 26.1.4 CVE`
+
+目标：确认是否存在：
+
+- 高危未修复漏洞
+- 该版本已被官方宣布 EOL
+- 配置项依赖的最小版本门槛
+
+### 3. 最后查“硬化基线”
+
+当官方文档只解释语义、不直接给安全基线时，补查：
+
+- `OWASP Docker Security Cheat Sheet`
+- `CISA Known Exploited Vulnerabilities`
+- 产品官方 security / advisories 页面
+
+目标：把“语义”转成“审计期望值”。
+
+---
+
+## 推荐来源清单
+
+### SSH / OpenSSH
+
+- OpenSSH `sshd_config` 手册：`https://man.openbsd.org/sshd_config`
+
+重点看：
+
+- `PermitRootLogin`
+- `PasswordAuthentication`
+- `PermitEmptyPasswords`
+- `AllowUsers` / `AllowGroups`
+
+### Nginx / HTTPS
+
+- Nginx headers 模块：`https://nginx.org/en/docs/http/ngx_http_headers_module.html`
+- Nginx SSL 模块：`https://nginx.org/en/docs/http/ngx_http_ssl_module.html`
+
+重点看：
+
+- `add_header ... always`
+- `ssl_protocols`
+- `ssl_stapling`
+- `ssl_stapling_verify`
+
+### PostgreSQL
+
+- 连接与认证：`https://www.postgresql.org/docs/current/runtime-config-connection.html`
+
+重点看：
+
+- `listen_addresses`
+- `port`
+- `ssl`
+
+### Redis
+
+- Redis Security：`https://redis.io/docs/latest/operate/oss_and_stack/management/security/`
+
+重点看：
+
+- `bind`
+- `protected mode`
+- 外网暴露风险
+
+### Docker
+
+- Docker Engine security：`https://docs.docker.com/engine/security/`
+- Docker daemon remote access：`https://docs.docker.com/engine/daemon/remote-access/`
+- Docker logging drivers：`https://docs.docker.com/engine/logging/configure/`
+- OWASP Docker Security Cheat Sheet：`https://cheatsheetseries.owasp.org/cheatsheets/Docker_Security_Cheat_Sheet.html`
+
+重点看：
+
+- daemon attack surface
+- `docker.sock`
+- TCP remote API
+- capabilities / privileged
+- `log-driver`
+
+### CVE / 漏洞情报
+
+- CISA KEV：`https://www.cisa.gov/known-exploited-vulnerabilities-catalog`
+- NVD：`https://nvd.nist.gov/`
+
+用途：
+
+- 判断某版本是否已有**被在野利用**漏洞
+- 给 critical / high 分级补外部依据
+
+---
+
+## 审计时何时必须检索
+
+以下情况不得只靠本地规则：
+
+1. `references/checks-*.md` 写着“非已知 CVE 版本”，但当前没附具体依据
+2. audit 输出出现明确版本号，且版本看起来偏旧
+3. 某项默认值与当前发行版可能有漂移
+4. 需要判断某项该算 `critical` 还是 `high`
+5. 用户要求“给官方文档链接”
+
+---
+
+## 沉淀规则
+
+如果检索得到**稳定、可复用、非一次性**的信息，必须回写：
+
+- 配置语义类 → 更新对应 `references/checks-network.md` / `references/checks-data.md` / `references/checks-runtime.md`
+- 检索方法类 → 更新本文件
+- 仅某产品某版本临时漏洞 → 不写入长期规则，只在本次报告引用
+
+判断“适合沉淀”的标准：
+
+- 下次审计大概率还会遇到
+- 不是某个用户私有环境特例
+- 可以转化为明确检查项、期望值或检索模板
+
+---
+
+## 输出要求
+
+当使用了外部文档，报告里的失败项详情至少补 1 个权威链接：
+
+- 官方文档优先
+- 漏洞项可追加 CISA KEV 或 NVD
+- 不引用二手博客作唯一依据
+
+格式建议：
+
+```markdown
+- 参考:
+  - https://www.postgresql.org/docs/current/runtime-config-connection.html
+  - https://nvd.nist.gov/
+```

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/scripts/check_db.sh

@@ -42,7 +42,19 @@ else
 
   echo ""
   echo "--- PG 版本 & 数据库列表 ---"
-  sudo -n -u postgres psql -tAc "SELECT version()" 2>/dev/null | head -1 || echo "[i] 无法连接 PG"
+  PG_VERSION_RAW=$(sudo -n -u postgres psql -tAc "SELECT version()" 2>/dev/null | head -1 || true)
+  if [[ -n "$PG_VERSION_RAW" ]]; then
+    echo "$PG_VERSION_RAW"
+    PG_VERSION=$(echo "$PG_VERSION_RAW" | grep -oE 'PostgreSQL[[:space:]]+[0-9]+(\.[0-9]+){0,2}' | awk '{print $2}' | head -1)
+    echo "postgresql_version_normalized=${PG_VERSION:-unknown}"
+    echo "official_doc_pg_runtime=https://www.postgresql.org/docs/current/runtime-config-connection.html"
+    if [[ -n "$PG_VERSION" ]]; then
+      echo "search_hint_1=postgresql ${PG_VERSION} CVE"
+      echo "search_hint_2=postgresql ${PG_VERSION} security advisory"
+    fi
+  else
+    echo "[i] 无法连接 PG"
+  fi
   sudo -n -u postgres psql -tAc "SELECT datname FROM pg_database WHERE datistemplate=false" 2>/dev/null || true
 fi
 
@@ -109,7 +121,20 @@ else
 
   echo ""
   echo "--- Redis INFO server (需 auth, 跳过若失败) ---"
-  timeout 3 redis-cli -h 127.0.0.1 INFO server 2>/dev/null | grep -E "redis_version|os|arch_bits" | head -5 || echo "[i] 需要密码或无法连接"
+  REDIS_INFO=$(timeout 3 redis-cli -h 127.0.0.1 INFO server 2>/dev/null || true)
+  if [[ -n "$REDIS_INFO" ]]; then
+    echo "$REDIS_INFO" | grep -E "redis_version|os|arch_bits" | head -5
+    REDIS_VERSION=$(echo "$REDIS_INFO" | sed -n 's/^redis_version://p' | head -1)
+    echo "redis_version_normalized=${REDIS_VERSION:-unknown}"
+    echo "official_doc_redis_security=https://redis.io/docs/latest/operate/oss_and_stack/management/security/"
+    if [[ -n "$REDIS_VERSION" ]]; then
+      echo "search_hint_redis_1=redis ${REDIS_VERSION} CVE"
+      echo "search_hint_redis_2=redis ${REDIS_VERSION} security advisory"
+    fi
+  else
+    echo "[i] 需要密码或无法连接"
+    echo "official_doc_redis_security=https://redis.io/docs/latest/operate/oss_and_stack/management/security/"
+  fi
 fi
 
 echo ""

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/scripts/check_docker.sh

@@ -11,6 +11,16 @@ fi
 
 echo "--- docker version ---"
 docker version --format '{{.Server.Version}} (client: {{.Client.Version}})' 2>/dev/null || docker --version
+DOCKER_SERVER_VERSION=$(docker version --format '{{.Server.Version}}' 2>/dev/null || docker --version | grep -oE '[0-9]+(\.[0-9]+){1,3}' | head -1)
+echo "docker_server_version_normalized=${DOCKER_SERVER_VERSION:-unknown}"
+echo "official_doc_docker_security=https://docs.docker.com/engine/security/"
+echo "official_doc_docker_remote_access=https://docs.docker.com/engine/daemon/remote-access/"
+echo "official_doc_docker_logging=https://docs.docker.com/engine/logging/configure/"
+echo "official_doc_docker_owasp=https://cheatsheetseries.owasp.org/cheatsheets/Docker_Security_Cheat_Sheet.html"
+if [[ -n "$DOCKER_SERVER_VERSION" ]]; then
+  echo "search_hint_1=docker engine ${DOCKER_SERVER_VERSION} CVE"
+  echo "search_hint_2=docker ${DOCKER_SERVER_VERSION} security advisory"
+fi
 
 echo ""
 echo "--- docker daemon 监听 ---"

package/templates/ai-tools/skills//{350/277/220/347/273/264/345/217/221/345/270/203 → 345/256/211/345/205/250}/dwy-deploy-audit/scripts/check_nginx.sh

@@ -11,6 +11,14 @@ fi
 
 echo "--- nginx version ---"
 nginx -v 2>&1
+NGINX_VERSION=$(nginx -v 2>&1 | sed -n 's#.*nginx/\([^ ]*\).*#\1#p' | head -1)
+echo "nginx_version_normalized=${NGINX_VERSION:-unknown}"
+echo "official_doc_headers=https://nginx.org/en/docs/http/ngx_http_headers_module.html"
+echo "official_doc_ssl=https://nginx.org/en/docs/http/ngx_http_ssl_module.html"
+if [[ -n "$NGINX_VERSION" ]]; then
+  echo "search_hint_1=nginx ${NGINX_VERSION} security advisory"
+  echo "search_hint_2=nginx ${NGINX_VERSION} CVE"
+fi
 
 echo ""
 echo "--- nginx 进程运行用户 ---"

package/templates/ai-tools/skills//345/274/200/345/217/221/346/265/201/347/250/213/dwy-0to1/SKILL.md

@@ -58,7 +58,7 @@ description: 端到端「0→1 产品孵化」编排器。用户丢一个产品
 
 **Step 5/6 同一个 skill 两道门**：`dwy-prototype` 在低保真（`phase=lowfi`）、高保真（`phase=hifi`）各调一次、各卡一道门，目的不同（验流程 vs 做底稿），别合并。
 
-**Step 9 循环**：对 STATE「选定版本」里的每个版本依次调 `dwy-tdd-dev` 走完，编排器更新「版本开发进度」表；全部版本完，Step 9 标 `done`，给交付报告。每版完成的 commit 由 `dwy-tdd-dev` 走 `dwy-git-commit` 规范（敏感扫描 + 格式 + 禁 AI 署名），不裸 commit。
+**Step 9 循环**：对 STATE「选定版本」里的每个版本依次调 `dwy-tdd-dev` 走完，编排器更新「版本开发进度」表；全部版本完，Step 9 标 `done`，给交付报告。每版完成的 commit 由 `dwy-tdd-dev` 按 Git 提交规范执行（敏感扫描 + 格式 + 禁 AI 署名），不裸 commit。
 
 ## 产物目录（项目内 docs/0to1/）
 

package/templates/ai-tools/skills//345/274/200/345/217/221/346/265/201/347/250/213/dwy-tdd-dev/SKILL.md

@@ -52,7 +52,7 @@ description: 按 TDD 把一个版本/功能落地成代码：写实施计划（b
     2. 运行看到失败（给确切命令 + 预期失败输出）
     3. 最小实现（贴实际实现代码）
     4. 运行看到通过（给确切命令 + 预期 PASS）
-    5. commit（优先走 `dwy-git-commit`：敏感扫描 + 规范 message + 禁 AI 署名；该 skill 不在则至少做敏感扫描 + 规范 message，给确切命令）
+    5. commit（按 Git 提交规范：敏感扫描 + 规范 message + 禁 AI 署名；该规范未生效时至少做敏感扫描 + 规范 message，给确切命令）
 
 **禁止占位符**——以下都是计划失败，绝不允许：
 
@@ -140,7 +140,7 @@ version: vN
 | `BLOCKED` | 卡住做不下去 → 补上下文 / 换更强模型 / 拆小 Task / 升级给用户，**别让它原样重试** |
 | `NEEDS_CONTEXT` | 缺信息 → 补齐缺的上下文再继续 |
 
-**两道审查全 ✅、Critical/Important 全修完、且本 Task 已 commit（步骤 5，走 dwy-git-commit），这个 Task 才算完成，进下一个 Task。** commit 是 Task 的硬收尾——别把多个 Task 攒着不提交，漏 commit 等于 Task 没完成。
+**两道审查全 ✅、Critical/Important 全修完、且本 Task 已 commit（按 Git 提交规范），这个 Task 才算完成，进下一个 Task。** commit 是 Task 的硬收尾——别把多个 Task 攒着不提交，漏 commit 等于 Task 没完成。
 
 > **自包含 + 可增强**：上面这套 spec / code 审查逻辑已内嵌，能独立跑。如果检测到项目里有 `/code-review` 命令或 `dwy-dev-qa` skill，Task 级或下面版本级的 code-review 可委托给它们做增强（更全面），没有就用内嵌逻辑。
 
@@ -205,7 +205,7 @@ git diff --stat $BASE_SHA..$HEAD_SHA
 - **禁止没有失败测试就写生产代码**——红-绿-重构铁律，违反就删掉重来。
 - **禁止跳审查**——spec 和 code 两道都要，且 spec 在前 code 在后，顺序不能反。
 - **禁止带未修的 Critical / Important 进下一个 Task 或下一个版本。**
-- **禁止 Task 未 commit 就开下一个 Task**——红-绿-审查全过后必须当场 commit（走 dwy-git-commit），不许把多个 Task 的改动攒到最后一次性提交。
+- **禁止 Task 未 commit 就开下一个 Task**——红-绿-审查全过后必须当场 commit（按 Git 提交规范），不许把多个 Task 的改动攒到最后一次性提交。
 - **禁止没跑验证就声称完成**——「应该过了」不算证据，必须有刚跑的命令输出。
 - **禁止实施计划留占位符**（TODO / 待补充 / 类似 Task N）——每步给实际代码 + 确切命令。
 - **禁止把代码写进 `docs/0to1/`**——只有实施计划进 `plans/`，代码进项目源码。

package/templates/ai-tools/skills//345/274/200/345/217/221/346/265/201/347/250/213/dwy-tdd-dev/templates/impl-plan.md

@@ -67,7 +67,7 @@ export function validateNoteBody(body: string): { ok: boolean; error?: string }
 Run: `pnpm vitest run tests/validators/note.test.ts`
 Expected: PASS（2 passed），其它测试不受影响
 
-- [ ] **步骤 5：commit（走 `dwy-git-commit`：敏感扫描 + 规范 message + 禁 AI 署名）**
+- [ ] **步骤 5：commit（按 Git 提交规范：敏感扫描 + 规范 message + 禁 AI 署名）**
 
 ```bash
 git add src/validators/note.ts tests/validators/note.test.ts
@@ -107,7 +107,7 @@ Expected: FAIL — <预期失败原因，必须是「功能没实现」>
 Run: `<确切测试命令>`
 Expected: PASS，其它测试不挂、输出无 warning
 
-- [ ] **步骤 5：commit（走 `dwy-git-commit`：敏感扫描 + 规范 message + 禁 AI 署名）**
+- [ ] **步骤 5：commit（按 Git 提交规范：敏感扫描 + 规范 message + 禁 AI 署名）**
 
 ```bash
 git add <文件>

package/templates/ai-tools/rules/iOS/dwy-swift-style.md

@@ -1,96 +0,0 @@
----
-paths:
-  - "**/*.swift"
----
-
-# Swift 代码规范
-
-编辑任何 `.swift` 时遵守。本规则仅覆盖代码写法层（缩进、命名、注释、控制流、UI token 化），是与具体业务无关的通用约定。
-
-## 1. 缩进与格式
-
-- **4 空格缩进**，不用 Tab。
-- 类型 / 函数声明参数过长时换行，每参数一行，右括号与返回类型 `) -> X` 单起一行。
-- 一行只做一件事，避免把多个 `if` 挤进一行。
-
-## 2. 命名
-
-- 类型 `UpperCamelCase`，属性 / 方法 / 局部变量 `lowerCamelCase`。
-- **局部短生命周期变量可用短名**（`i` = index、`f` = formatter、`cal` = calendar），同一文件内保持一致。
-- 名字表达意图，避免无信息量的 `data` / `info` / `tmp` 当主力变量名。
-
-## 3. 类型声明（iOS 17）
-
-状态对象统一 iOS 17 写法，不要 `ObservableObject / @Published / @StateObject`：
-
-```swift
-@MainActor                  // 所有触碰 UI / 主线程隔离状态的类型都标
-@Observable                 // 替代 ObservableObject
-final class ListViewModel { // 非继承类一律 final
-    private let store: DataStore  // 依赖私有 + 构造注入
-}
-```
-
-## 4. 注释（中文，强制全量）
-
-**所有代码都要加注释，包括每个类型和每个方法**。注释说明**意图**（为什么这么做、约束是什么），而非复述代码字面。
-
-- **类型顶部必加** `///` 文档注释：说明该类型的职责、它在数据流里的位置或关键约束。`class` / `struct` / `enum` / `protocol` / 有逻辑的 `extension` 都算。
-- **每个方法 / 函数必加** `///` 文档注释（公开和私有都要），说明它做什么、入参出参的语义、可能抛出的错误。
-- 关键属性、反直觉分支、易踩坑处用行内 `//` 标注触发条件。
-- 注释里**禁止 emoji**。
-- 不写废话注释（`// 设置 name` 这种复述赋值的删掉），注释要补充代码没说出口的信息。
-
-```swift
-/// 列表数据源。负责从持久层读取并按时间分组，供视图直接渲染。
-@MainActor
-@Observable
-final class ListViewModel {
-
-    /// 重新加载全部数据并写回 `grouped`。
-    /// 失败时透传持久层错误，由调用方决定提示策略。
-    func reload() throws {
-        let items = try store.all()        // 持久层已保证非 nil，无需兜底
-        grouped = group(items)
-    }
-}
-```
-
-## 5. 控制流：信任上游，不过度防御
-
-只在系统外边界（用户输入、文件 / 网络读入、外部 API）校验；内部调用信任类型签名。
-
-```swift
-// 好：early return，无多余 else
-guard !isBusy else { return }
-withAnimation(.spring(response: 0.5, dampingFraction: 0.75)) { isBusy = true }
-```
-
-- 不写 `value ?? default` 兜已有明确来源的值。
-- 不写 `try? { ... }` 吞异常掩盖 bug；只 catch 预期的具体错误，其余让它抛。
-- 持久 / IO 层方法用 `throws` 透传错误，由调用方决定处理，不在底层吞。
-
-## 6. 图标：矢量图，禁止 emoji
-
-UI 图标**一律 SF Symbols 矢量图**（`Image(systemName:)`），任何视图、文案、注释都**禁止 emoji**：
-
-```swift
-// 好：SF Symbols 矢量图标
-Image(systemName: "checkmark")
-    .font(.system(size: 11, weight: .bold))
-    .foregroundStyle(.white)
-
-// 禁止：emoji 当图标
-Text("✅")   // 不允许
-```
-
-## 7. 颜色 / 字体 / 动效 token 化
-
-- 颜色集中到设计 token（如 `ColorTokens.*` / `theme.*`），**禁止在视图里散落硬编码颜色字面量**。
-- 字体用 `.font(.system(size:weight:))` 或集中的字体 token。
-- 动效统一用一组 `.spring(response:dampingFraction:)` 参数，不用 `.easeInOut`，保持全局手感一致。
-
-## 8. 文案与时间
-
-- 所有 UI 文案走 `String(localized: "some_key")`，**禁止硬编码字面量**；key 命名风格全项目统一。
-- 业务逻辑里「现在」作为依赖注入（`now: @escaping () -> Date = { Date() }`），方便单测固定时间，禁止在逻辑里直接散用 `Date()`。

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-git-commit-safe.md

@@ -1,66 +0,0 @@
----
-description: git commit message 安全写法(防反引号被 shell 命令替换误执行)
----
-
-# git commit 安全写法
-
-## 核心风险
-
-AI 生成的 commit message 爱用 Markdown 风格反引号包代码标识符。经 shell 执行 `git commit -m "..."` 时，**双引号内**的反引号会被当成命令替换实际执行：
-
-```bash
-# 危险：`bun install` 被 shell 当成 $(bun install) 执行
-git commit -m "fix: support `bun install` on windows"
-```
-
-shell 实际跑了 `bun install`，把输出塞进 message，甚至误执行破坏性命令导致丢代码。`$(...)` 同理。
-
-## 强制规则
-
-commit message 含反引号 `` ` `` / `$(...)` / 多行 / emoji 等特殊字符时，**禁止** `git commit -m "..."`，必须走以下安全写法：
-
-### 1. 文件提交（首选，多行 / 特殊字符一律用它）
-
-```bash
-git commit -F <msg-file>
-
-# 或 stdin
-printf '%s\n' "$MSG" | git commit --file=-
-
-# 或 heredoc 写文件再提交
-cat > /tmp/commit-msg.txt <<'EOF'
-feat(agent): add `runConcurrent`
-
-- support drain-all-before-throw
-EOF
-git commit -F /tmp/commit-msg.txt
-```
-
-### 2. 单引号包裹（单行、无单引号时可用）
-
-```bash
-# 单引号内所有字符字面，反引号原样保留
-git commit -m 'fix: support `bun install` on windows'
-```
-
-### 3. 转义反引号（不推荐，易漏）
-
-```bash
-git commit -m "fix: support \`bun install\` on windows"
-```
-
-## 安全速查
-
-| 方式 | 反引号风险 |
-|---|---|
-| `git commit -m "...`...`..."` | 危险（双引号内被求值） |
-| `git commit -m '...`...`...'` | 安全（单引号不展开） |
-| `git commit -F <file>` | 安全（Git 直读文件，不过 shell） |
-| `git commit --file=-` | 安全 |
-
-## 禁止
-
-- **禁止**把含反引号 / `$(...)` 的 message 拼进 `git commit -m "..."` 双引号
-- **禁止**为图省事忽略此约束 —— 误执行后果是丢代码，不可逆
-
-> PreToolUse hook `pre-git-commit-backtick-check.sh` 会在双引号 message 含未转义反引号 / `$(...)` 时硬拦截（exit 2），但 hook 是兜底，写法本身就该走安全方式。

package/templates/ai-tools/skills//345/274/200/345/217/221/346/265/201/347/250/213/dwy-git-commit/SKILL.md

@@ -1,125 +0,0 @@
----
-name: dwy-git-commit
-description: "Git commit 强制规范（敏感数据扫描 + message 格式 + 禁 AI 署名）。触发场景：用户说'提交' / 'commit' / 'git commit' / 'git add'；AI 准备执行 `git add` / `git commit` 之前；用户让你帮忙写 commit message；review 已有 commit message。强制：先扫描暂存物是否含 .env / 密钥 / API Key / 连接串等敏感数据；再检查 CLAUDE.md 的 Git Commit Scope 段；subject 用中文动宾短语 ≤72 字符；message 任何位置禁止 Claude / GPT / Copilot / AI / LLM 字样及 Co-Authored-By trailer。"
----
-
-# Git Commit 强制规范
-
-每次 `git add` / `git commit` 前按顺序执行以下检查，任一步未通过 → **STOP，不得提交**。
-
-## Step 0: 敏感数据扫描
-
-`git diff --cached` + `git diff --cached --name-only` 同时扫文件名和内容。
-
-### 禁止提交的文件
-
-| 类型 | 示例 |
-|---|---|
-| 环境变量 | `.env`, `.env.*`, `*.env` |
-| SSH 密钥 | `id_rsa`, `id_ed25519`, `*.pem`, `*.key` |
-| 证书 | `*.p12`, `*.pfx`, `*.jks`, `*.keystore` |
-| 数据库 | `*.sql`（含真实数据）、`*.dump`, `*.sqlite` |
-| 原始数据 | `*.xlsx`, `*.csv`（含用户/学生等敏感数据） |
-| 日志 | `*.log` |
-| Docker 卷 | `pgdata/`, `cache/*.json` |
-
-### 禁止出现的敏感内容
-
-**总则**：代码、文档、规则文件、注释里禁止出现真实的 API Key / Token / 密码 / IP / 凭证，即使作为"示例"也不行。GitHub Secret Scanning 不区分上下文，真实格式的 key 写在文档里也会触发泄露告警。示例必须用明显假值（`sk-xxxxxxxxxxxx`、`your-key-here`、`192.168.x.x`）。
-
-| 类型 | 匹配模式 |
-|---|---|
-| API Key | `sk-[a-zA-Z0-9]{20,}` |
-| AWS Key | `AKIA[0-9A-Z]{16}` |
-| GitHub Token | `ghp_[a-zA-Z0-9]{36}` |
-| 密码赋值 | `password\s*[:=]\s*["'][^"']{4,}` |
-| 数据库连接串 | `://\w+:[^@\s]+@`（含密码） |
-| 私钥内容 | `-----BEGIN (RSA \|EC )?PRIVATE KEY-----` |
-| Token 赋值 | `token\s*[:=]\s*["'][a-zA-Z0-9_\-]{20,}` |
-| Secret 赋值 | `secret\s*[:=]\s*["'][^"']{8,}` |
-| 服务器 IP+端口 | `\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}:\d+` |
-| SSH 连接 | `ssh\s+.*@\d{1,3}\.\d{1,3}` |
-
-**例外（不算违规）**：`.env.example` 占位符；从环境变量读取（`os.getenv("API_KEY")`）；`localhost` / `127.0.0.1` 的连接串；文档假数据；配置文件空字符串默认值。
-
-### 违规处理
-
-1. **立即停止** `git add` / `git commit`
-2. **列出违规项**：文件 + 行号 + 匹配的敏感模式 + 脱敏摘要（如 `sk-5522****dc3`）
-3. **建议修复**：加入 `.gitignore` / 移到 `.env` / 改用环境变量 / 替换为占位符
-4. **等用户明确确认**后才能继续；确认强制提交时，commit body 附 `GIT-SECURITY: 用户已确认提交此内容`
-
-## Step 1: 分析变更
-
-`git diff --cached` 回答：这次改做了几件事？涉及哪些模块？
-
-**做了多件事（无法用 ≤72 字符 subject 清晰描述）→ 必须拆成多个 commit。**
-
-## Step 2: 确定 scope
-
-读当前项目 CLAUDE.md 的 `## Git Commit Scope` 段：
-
-- **找到** → scope 从枚举值中选，不得自造
-- **没找到** → 提醒用户「当前项目 CLAUDE.md 未定义 Git Commit Scope，建议添加」，scope 可省略
-
-单模块变更 → **必须**带 scope；跨模块变更 → 省略 scope。
-
-## Step 3: 生成 message
-
-格式：`<type>(<scope>): <subject>` 或（无 scope）`<type>: <subject>`
-
-**type 枚举（只能从中选）**：
-
-| type | 用途 |
-|------|------|
-| feat | 新功能 |
-| fix | 修复 bug |
-| refactor | 重构（不改外部行为） |
-| chore | 构建/依赖/配置/发版等杂务 |
-| docs | 文档 |
-| test | 测试 |
-| perf | 性能优化 |
-| style | 代码格式（不影响逻辑） |
-| ci | CI/CD 配置 |
-
-**subject**：中文、无句号、≤72 字符、动宾短语（添加/修复/移除/重构/升级）。
-
-**body（可选）**：空一行后写；中文；只写 why 不复述 what；破坏性变更加 `BREAKING CHANGE:` 前缀（subject 用 `feat!:` / `fix!:` 标记）。
-
-## Step 4: 禁止大模型署名
-
-commit message（subject、body、footer、trailer）**禁止出现任何大模型 / AI 工具相关内容**，覆盖系统默认的 `Co-Authored-By` 追加行为。
-
-**禁止出现（不完全列举）**：
-
-- `Co-Authored-By: Claude ...` / `Co-Authored-By: GPT ...` / `Co-Authored-By: Copilot ...` 等 AI 署名 trailer
-- `Generated with Claude Code` / `🤖 Generated with ...` 等生成声明
-- `noreply@anthropic.com` / `noreply@openai.com` 等 AI 厂商邮箱
-- 任何提到 Claude / ChatGPT / GPT / Copilot / Cursor / AI / 大模型 / LLM 的字样
-
-**执行要点**：
-
-- `git commit -m "..."` 只写规范内容，**绝不**附加 `Co-Authored-By` trailer
-- HEREDOC 传 message 时，HEREDOC 内容也不得包含上述字样
-- 暂存的 message 含大模型信息 → **立即删除**后再提交
-
-## 常见错误 vs 正确
-
-| 错误 | 正确 |
-|------|------|
-| `feat: add user login`（英文） | `feat: 添加用户登录功能` |
-| `fix(eui): 修复了按钮样式。` | `fix(eui): 修复按钮样式`（无句号、不用"了"） |
-| `feat: 添加登录并修复登出 bug` | 拆成两个 commit |
-| `update: 修改配置` | `update` 不在枚举，应为 `chore` |
-| `feat(auth): ...`（项目无 auth scope） | 用项目已定义的 scope 值 |
-| message 末尾加 `Co-Authored-By: Claude ...` | 不加任何 AI 署名 trailer |
-| `🤖 Generated with Claude Code` | 不加任何生成声明 |
-
-## 正确示例
-
-- `feat(eui): 添加 Image 组件，支持懒加载`
-- `fix: 修复 token 刷新竞态条件`
-- `refactor(backend): 提取分页逻辑为共享工具`
-- `chore: 升级 Vite 至 8.x`
-- `feat(eui)!: 重命名 EDialog open 属性为 v-model:open`
-  - body：`BREAKING CHANGE: EDialog 不再接受 visible 属性，请改用 v-model:open`

package/templates/ai-tools/skills//350/204/232/346/211/213/346/236/266/dwy-tech-stack/SKILL.md

@@ -1,61 +0,0 @@
----
-name: dwy-tech-stack
-description: 跨栈技术选型强制约束（FastAPI / Vue 3 / Flutter / UV / pnpm / Docker / S3 / DolphinDB 等）。触发场景：用户提到「用什么 ORM / 缓存 / 状态管理 / 路由 / 包管理 / 组件库」/ 引入新依赖 / 替换现有库 / 调研选型 / 新项目初始化 / 架构评估；AI 准备执行 `pnpm add` / `uv add` / `pip install` / `flutter pub add` / `npm install` 前；讨论涉及后端 Web 框架、ORM、关系数据库、缓存、消息队列、异步任务、JWT / 密码哈希、Linter；前端 Vue 框架、构建工具、组件库、状态管理、样式方案、表单校验、测试；移动端 Flutter、状态管理、HTTP 客户端、路由、本地存储、代码生成；容器化、对象存储、时序数据库时。强制：每个领域只有唯一方案，AI 不得选替代，不得「建议改用 XX」。
----
-
-# 跨栈技术选型强制约束
-
-每个领域只有一个方案，AI 不得选替代，不得「建议改用 XX」。
-
-## 后端
-
-| 领域 | 唯一方案 | 禁止替代 |
-|------|---------|---------|
-| Web 框架 | FastAPI | Django, Flask, Tornado, Sanic |
-| ORM | SQLAlchemy 2.0 (异步) | Tortoise ORM, Peewee, Django ORM |
-| 关系数据库 | PostgreSQL | MySQL, MariaDB, SQLite(生产) |
-| 缓存 / 消息队列 | Redis | Memcached, RabbitMQ, Kafka |
-| 异步任务 | ARQ (eapi[tasks]) | Celery, Dramatiq, Huey |
-| 数据库迁移 | Alembic | 手动 DDL, Django migrations |
-| 包管理 | UV | pip, Poetry, Pipenv |
-| 密码哈希 | bcrypt (eapi security) | argon2, scrypt, 自实现 |
-| JWT | python-jose (eapi security) | PyJWT, 自实现 |
-| 数据校验 | Pydantic v2 | marshmallow, attrs, 手动校验 |
-| 基础设施层 | dwyeapi | 自造框架、手写基础设施 |
-| Linter/Formatter | Ruff | Black, isort, flake8, pylint |
-
-## 前端（Web）
-
-| 领域 | 唯一方案 | 禁止替代 |
-|------|---------|---------|
-| 框架 | Vue 3 (Composition API) | React, Svelte, Angular, Vue 2 |
-| 构建工具 | Vite | Webpack, Rollup, esbuild 直接用 |
-| 组件库 | @dwydev/eui | Element Plus, Ant Design Vue, Naive UI |
-| 工具库 | @dwydev/ekit | 手写 request/storage/validators |
-| 状态管理 | Pinia (Setup Store) | Vuex, 手动 reactive/provide |
-| 样式 | Tailwind CSS 4 | Sass/Less 手写、CSS Modules、UnoCSS |
-| 包管理 | pnpm | npm, yarn |
-| 项目结构 | pnpm monorepo (workspace) | Lerna, Nx, Turborepo |
-| 表单校验 | vee-validate + zod | 手动 v-model 校验 |
-| 路由 | Vue Router 4 | — |
-| 测试 | Vitest | Jest |
-
-## 移动端 / 桌面端
-
-| 领域 | 唯一方案 | 禁止替代 |
-|------|---------|---------|
-| 框架 | Flutter | React Native, Kotlin Multiplatform, MAUI |
-| 状态管理 | Riverpod | GetX, Bloc, Provider, MobX |
-| HTTP 客户端 | Dio | http, Chopper, Retrofit |
-| 路由 | GoRouter | auto_route, Routemaster |
-| 本地存储 | shared_preferences + flutter_secure_storage | Hive, Isar, sqflite(非必要时) |
-| 代码生成 | riverpod_generator + freezed + json_serializable | 手写 fromJson/toJson |
-
-## 基础设施
-
-| 领域 | 唯一方案 |
-|------|---------|
-| 容器化 | Docker + Docker Compose |
-| 对象存储(开发) | MinIO (S3 协议) |
-| 对象存储(生产) | 任何 S3 兼容云服务 |
-| 时序数据库(量化金融) | DolphinDB |