create-dwy 0.14.7 → 0.16.0

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/harmony.md

@@ -0,0 +1,25 @@
+# 鸿蒙发布流程
+
+适用：HarmonyOS ArkTS 产物——**应用包（har app / hap）** 或 **SDK（har→ohpm）**。
+
+## 版本（通用步，固化）
+
+- `oh-package.json5` 的 `version` = 语义版本号，走 `../dwy-semver` 决策 + bump.py。
+- 多文件同步见 `version-sync.md`。
+
+## build / publish（项目步，不写死命令）
+
+命令来自缓存（build_cmd/publish_cmd），缓存缺则按 `publish-config.md` 探测：
+- 探测线索：`build-profile.json5`、ohpm 脚本、DevEco 构建配置、CI workflow
+- 探测不到→问用户→缓存
+
+按缓存 method 分流：
+- `ohpm` → 用项目实际的 ohpm 发布命令（中心仓 / 私有源）
+- `github-action` → 引 `../dwy-github-action-publish`（先过通用检查）
+- `local` → 缓存的本地构建/发布命令
+
+## changelog / 安全检查 / 监控
+
+- changelog → `changelog.md`（写 `harmony/CHANGELOG.md`）
+- 安全检查 → `../dwy-sdk-spec`
+- 监控 + 结果 → `monitor-notify.md`

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/ios.md

@@ -0,0 +1,32 @@
+# iOS 发布流程
+
+适用：iOS 产物——**应用包（ipa→TestFlight/App Store）** 或 **SDK（framework/xcframework→CocoaPods/SPM）**。
+
+## 先判产物形态
+
+- 应用包：有 app target、`fastlane/` beta/release lane、TestFlight 上传 → 走 app 路径
+- SDK：产出 framework/xcframework、有 podspec / `Package.swift` → 走 SDK 路径
+
+## 版本（通用步，固化）
+
+- 语义版本号 `CFBundleShortVersionString`，走 `../dwy-semver` 决策 + bump.py。
+- **build 号 `CFBundleVersion` = 时间戳 `yyyyMMddHHmm` 12 位**（如 `202606231430`，`date +%Y%m%d%H%M`），每次发布重新生成，单调递增。app 和 SDK 都适用。
+- 多文件同步见 `version-sync.md`。
+
+## build / publish（项目步，不写死命令）
+
+命令来自缓存（`release_config.sh` 的 build_cmd/publish_cmd），缓存缺则按 `publish-config.md` 探测：
+- 探测线索：`fastlane/Fastfile`、`*.xcodeproj`/`*.xcworkspace`、`Makefile`、CI workflow、`package.json` scripts
+- 探测不到→问用户→缓存
+
+按缓存 method 分流：
+- `testflight` → 用项目实际的 TestFlight 上传命令（fastlane lane / Transporter / altool）
+- `cocoapods` / `spm` → 用项目实际的 pod 发布 / git tag 命令（SPM 以 tag 为版本，tag 须等于 `CFBundleShortVersionString`）
+- `github-action` → 引 `../dwy-github-action-publish`（先过其通用检查）
+- `local` → 缓存的本地命令
+
+## changelog / 安全检查 / 监控
+
+- changelog → `changelog.md`（写 `ios/CHANGELOG.md`）
+- 安全检查 → `../dwy-sdk-spec`（SDK 发布尤其要查泄露）
+- 监控 + 结果 → `monitor-notify.md`

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/monitor-notify.md

@@ -0,0 +1,36 @@
+# 监控发布进程 + 通知结果
+
+发布触发后监控进程直到终态，再输出结果文本。监控方式因 CI / 本地而异（项目步）。
+
+## 监控
+
+发布方式来自缓存 method：
+
+- **CI（github-action / github-action-oidc）**：
+  ```bash
+  gh run watch "$(gh run list --workflow=<release.yml> --limit=1 --json databaseId --jq '.[0].databaseId')" --exit-status
+  ```
+  观察到失败时拉日志定位失败 job：`gh run view <run-id> --json jobs,conclusion`。
+- **本地（local / testflight / maven / cocoapods / ohpm）**：用缓存的 `publish_cmd` 退出码判断，再做产物 / 渠道检查。
+
+## verify
+
+用缓存 `verify_cmd`，或按渠道验证新版本可见：
+
+- npm：`npm view <pkg> version`
+- PyPI：`pip index versions <pkg>`
+- maven / ohpm / cocoapods：对应渠道版本查询
+- TestFlight：App Store Connect 构建状态
+- GitHub Release：`gh release view <tag>`
+- 前端 / 后端：页面访问 / 版本接口 / 健康检查
+
+verify 失败，发布不算完成。
+
+## 通知结果（输出结果文本）
+
+发布终态后在对话里输出结果摘要，不接外部通知：
+
+- **成功**：平台 / 应用目录、版本号、产物、渠道、verify 结果
+- **失败**：失败阶段、关键报错、下一步建议（重发 / bump / 修配置）
+
+涉及删除远端 release / tag 的重发，必须先确认用户允许。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/publish-config.md

@@ -0,0 +1,65 @@
+# 发布方式缓存 + 命令探测
+
+发布方式与 build/publish 命令**因项目而异，不写死**。按应用目录探测 → 问 → 缓存复用。
+
+## 缓存机制
+
+- 缓存文件：`<project_root>/.dwy/publish/config.json`，读写走 `scripts/release_config.sh`。
+- key = **相对项目根的相对目录**（如 `ios`、`apps/electron`，根用 `.`）。
+- `.dwy/` 是本机判断缓存，**提醒用户加进 `.gitignore`**，不入版本库。
+
+## 读写流程
+
+1. 确定本次要发的**应用目录**（相对路径）。
+2. `release_config.sh get <root> <rel_dir>`：
+   - 命中且 `configured=true` → 用缓存的 method + build_cmd/publish_cmd/verify_cmd
+   - 比对 `cmd_source`：若项目里对应命令源（package.json scripts / Fastfile / workflow 等）已变 → 重新探测+问用户+更新缓存
+   - 未命中（首次进入该目录）→ 走第 3 步
+3. 首次配置：
+   - 探测真实命令（见下方探测线索）
+   - AskUserQuestion 问发布方式（见下方各平台候选）
+   - 检查对应配置就绪（GA workflow 是否存在 / TestFlight 凭据线索 / maven·pod publish 配置）
+   - `release_config.sh set <root> <rel_dir> <platform> <method> <channel> <configured> [build_cmd] [publish_cmd] [verify_cmd] [cmd_source]`
+   - 提醒把 `.dwy/` 加进 `.gitignore`
+4. 目录与缓存对不上（仓库结构变了）：先 AI 自助判断目录是否仍正确，判不准再问用户，必要时 `reset` 重建。
+
+全程 AI 自动跑，仅探测不到 / 命令歧义 / 配置缺失时才问用户。
+
+## build/publish 命令探测线索（不写死，按项目找）
+
+| 平台 | 去哪找真实命令 |
+|------|---------------|
+| 前端 | `package.json` scripts（build/deploy）、`vite.config.*`、`.github/workflows/`、`Makefile` |
+| 后端 | `Dockerfile`、`docker-compose`、部署脚本、`Makefile`、`pyproject.toml`、`.github/workflows/` |
+| iOS | `fastlane/Fastfile`、`*.xcodeproj` / `*.xcworkspace`、`Makefile`、CI workflow、`package.json` scripts |
+| Android | `build.gradle(.kts)` task、`gradlew`、`fastlane/`、CI workflow |
+| 鸿蒙 | `build-profile.json5`、ohpm 脚本、DevEco 构建配置、CI workflow |
+| 通用包 | `package.json` scripts、`pyproject.toml`、`Makefile`、发布脚本、`.github/workflows/` |
+
+探测到多个候选时问用户选；探测不到时问用户给命令。命令存进缓存的 `build_cmd`/`publish_cmd`/`verify_cmd`。
+
+## 各平台发布方式候选（AskUserQuestion）
+
+先按平台 + 产物形态（应用包 vs SDK）裁剪候选，推荐项标注：
+
+| platform / 产物 | method 候选 |
+|------|------|
+| ios 应用包（ipa） | `testflight`(推荐) / `github-action` / `local` / `manual` |
+| ios SDK（framework/xcframework） | `cocoapods` / `spm` / `github-action` / `local` |
+| android 应用包（apk/aab） | `github-action`(推荐) / `local` |
+| android SDK（aar） | `maven`(推荐) / `github-action` / `local` |
+| harmony（har / har app） | `ohpm`(推荐) / `github-action` / `local` |
+| frontend | `github-action`(CI，推荐 OIDC) / `local` |
+| backend | `github-action`(CI，推荐 OIDC) / `local` |
+| generic — PyPI/npm | `github-action-oidc`(**推荐**，无静态凭据、符合团队准则) / `local` |
+| generic — Cython wheel | `github-action`(cibuildwheel) / `local` |
+| generic — Electron | `github-action`(多平台 runner) / `local` |
+| generic — Docker/二进制 | `github-action` / `local` |
+
+## PyPI / npm 首次配置：主动推荐 GitHub Action OIDC
+
+PyPI / npm 且未配置 GA 时，**主动推荐 `github-action-oidc`**（OIDC Trusted Publishing，无长期静态凭据）：
+
+- 给 workflow 模板：见 `../dwy-github-action-publish`（Python wheel / 纯包 OIDC）。
+- 给 Trusted Publisher 网页配置步骤：PyPI/npmjs 后台绑定 repo + workflow 文件名 + environment。
+- 用户仍可选 `local`（`uv publish` / `pnpm publish` 等），按其选择缓存。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/version-sync.md

@@ -0,0 +1,30 @@
+# 版本号多文件同步
+
+版本号定好后，**同一次发布的所有版本来源文件必须改到完全一致**。一个技术栈往往有多处版本声明，漏改一处就会导致包内版本不一致、构建产物版本错乱。
+
+## 各技术栈版本来源清单
+
+| 技术栈 | 版本来源文件 | 字段 |
+|------|------|------|
+| Python | `pyproject.toml` + 包 `__init__.py` | `version` / `__version__` |
+| Node/Vue | `package.json` | `version` |
+| Android | `build.gradle(.kts)` | `versionName`（语义号）+ `versionCode`（整数，每次发布递增） |
+| iOS | `Info.plist` 或 `project.pbxproj` | `CFBundleShortVersionString`（语义号）+ `CFBundleVersion`（build 号，见 `sdk-ios.md`） |
+| 鸿蒙 | `oh-package.json5` | `version` |
+
+## 规则
+
+- **Python**：`pyproject.toml` 的 `version` 与包 `__init__.py` 的 `__version__` 两处必须一致。
+- **Android**：`versionName` 用语义版本号；`versionCode` 是单调递增整数，与语义号无关，每次发布 +1。
+- **iOS**：`CFBundleShortVersionString` 用语义版本号；`CFBundleVersion`（build 号）用时间戳，规则见 `sdk-ios.md`。
+- 改完后用 grep 全仓库扫一遍旧版本号，确认无遗漏：
+
+```bash
+grep -rn "<旧版本号>" --include=pyproject.toml --include=package.json --include="*.gradle*" --include="*.plist" --include="oh-package.json5" .
+```
+
+## 禁止
+
+- 禁止只改一处版本来源就发布（如只改 `pyproject.toml` 漏改 `__init__.py`）
+- 禁止用会自动 commit 的版本命令（`npm version` / `bumpversion` 等），直接编辑文件，保持提交边界可控
+- 禁止 `versionCode` / `CFBundleVersion` 不递增就重发（应用商店会拒）

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/scripts/release_config.sh

@@ -0,0 +1,115 @@
+#!/usr/bin/env bash
+# dwy-publish 发布方式缓存读写
+# 缓存写项目内 <project_root>/.dwy/publish/config.json，key 用相对项目根的相对目录
+# 用法:
+#   release_config.sh get   <project_root> <rel_dir>
+#   release_config.sh set   <project_root> <rel_dir> <platform> <method> <channel> <configured> [build_cmd] [publish_cmd] [verify_cmd] [cmd_source]
+#   release_config.sh reset <project_root> <rel_dir>
+#   release_config.sh list  <project_root>
+#
+# 设计要点（与发布编排配套）:
+#   - 通用步(定版本/changelog/安全检查)不进缓存,走固化流程
+#   - 项目步(build/publish/verify)命令因项目而异,探测/确认后存这里复用
+#   - cmd_source 是命令来源指纹,编排器 get 后比对,变更则重新问用户更新
+
+set -euo pipefail
+
+config_file() {
+  echo "${1%/}/.dwy/publish/config.json"
+}
+
+ensure_config() {
+  local root="$1"
+  local dir="${root%/}/.dwy/publish"
+  local file
+  file="$(config_file "$root")"
+  mkdir -p "$dir"
+  if [[ ! -f "$file" ]]; then
+    echo '{"version":"1","apps":{}}' > "$file"
+  fi
+  # 检测损坏
+  if ! jq empty "$file" 2>/dev/null; then
+    echo "ERROR: $file is corrupted. Back it up and delete to reset." >&2
+    exit 2
+  fi
+}
+
+cmd_get() {
+  local root="$1" rel="$2"
+  ensure_config "$root"
+  jq --arg p "$rel" '.apps[$p] // null' "$(config_file "$root")"
+}
+
+cmd_set() {
+  local root="$1" rel="$2" platform="$3" method="$4" channel="$5" configured="$6"
+  local build_cmd="${7:-}" publish_cmd="${8:-}" verify_cmd="${9:-}" cmd_source="${10:-}"
+
+  case "$platform" in
+    frontend|backend|ios|android|harmony|generic) ;;
+    *) echo "ERROR: platform must be one of frontend|backend|ios|android|harmony|generic, got: $platform" >&2; exit 2 ;;
+  esac
+  case "$configured" in
+    true|false) ;;
+    *) echo "ERROR: configured must be 'true' or 'false', got: $configured" >&2; exit 2 ;;
+  esac
+  if [[ -z "$method" ]]; then
+    echo "ERROR: method must not be empty" >&2; exit 2
+  fi
+
+  ensure_config "$root"
+  local now file tmp
+  now=$(date -u +%Y-%m-%dT%H:%M:%SZ)
+  file="$(config_file "$root")"
+  tmp=$(mktemp)
+  jq \
+    --arg p "$rel" \
+    --arg pl "$platform" \
+    --arg m "$method" \
+    --arg c "$channel" \
+    --arg b "$build_cmd" \
+    --arg pub "$publish_cmd" \
+    --arg v "$verify_cmd" \
+    --arg cs "$cmd_source" \
+    --argjson cfg "$configured" \
+    --arg t "$now" \
+    '.apps[$p] = {platform:$pl, method:$m, channel:$c, build_cmd:$b, publish_cmd:$pub, verify_cmd:$v, cmd_source:$cs, configured:$cfg, configured_at:$t}' \
+    "$file" > "$tmp"
+  mv "$tmp" "$file"
+
+  echo "OK: cached $rel -> $platform/$method"
+  echo "Remember to add .dwy/ to .gitignore (本机判断缓存，不入版本库)"
+}
+
+cmd_reset() {
+  local root="$1" rel="$2"
+  ensure_config "$root"
+  local file tmp
+  file="$(config_file "$root")"
+  tmp=$(mktemp)
+  jq --arg p "$rel" 'del(.apps[$p])' "$file" > "$tmp"
+  mv "$tmp" "$file"
+  echo "OK: removed $rel from cache"
+}
+
+cmd_list() {
+  local root="$1"
+  ensure_config "$root"
+  jq '.apps | to_entries | map({dir: .key, platform: .value.platform, method: .value.method, configured: .value.configured})' "$(config_file "$root")"
+}
+
+main() {
+  if [[ $# -lt 1 ]]; then
+    echo "Usage: $0 {get|set|reset|list} <project_root> [args...]" >&2
+    exit 2
+  fi
+  local action="$1"; shift
+  case "$action" in
+    get)   cmd_get "$@" ;;
+    set)   cmd_set "$@" ;;
+    reset) cmd_reset "$@" ;;
+    list)  cmd_list "$@" ;;
+    *) echo "ERROR: unknown action: $action" >&2; exit 2 ;;
+  esac
+}
+
+main "$@"

package/templates/ai-tools/skills//345/{256/211/345/205/250 → 217/221/345/270/203/345/217/221/347/211/210}/dwy-sdk-spec/SKILL.md

@@ -1,13 +1,13 @@
 ---
 name: dwy-sdk-spec
-description: "通用 SDK 发布前安全检查——任何 SDK 对外发布（PyPI / npm / 私有源 / 直接交付，渠道不限）前都应先过这一关。查三类风险：①接口注释是否泄露后端实现（内网域名、数据库表名、Redis key、内部服务名、员工邮箱、JIRA 链接、SQL 语句）；②商业版 SDK 源码是否被保护（Python 用 Cython 编译 .so、JS 用 tsup/rollup minify + files 白名单）；③发布产物是否夹带隐藏敏感文件（.py 源码 / .map source map / .env / .npmrc / tsbuildinfo / __pycache__ 等）。跨项目复用：首次进入新项目用 AskUserQuestion 问商业版还是开源版，缓存到 ~/.config/dwy-sdk-spec/projects.json，下次自动按规则检查。涉及以下任何场景必须使用此 skill：用户说「检查 SDK」「SDK 发版前检查」「SDK 注释脱敏」「SDK 接口规范」「发布前安全检查」「SDK 源码泄露检查」「商业版 SDK 打包」「Cython 编译 .so」「打包前体检」「.gitignore 漏了什么」「npm pack 看看包里有什么」「重设 SDK 版本类型」，或准备把 SDK 发到 PyPI / npm / 任意渠道时。"
+description: "通用 SDK 发布前安全检查——任何 SDK 对外发布（PyPI / npm / 私有源 / 直接交付，渠道不限）前都应先过这一关。查三类风险：①接口注释是否泄露后端实现（内网域名、数据库表名、Redis key、内部服务名、员工邮箱、JIRA 链接、SQL 语句）；②商业版 SDK 源码是否被保护（Python 用 Cython 编译 .so、JS 用 tsup/rollup minify + files 白名单）；③发布产物是否夹带隐藏敏感文件（.py 源码 / .map source map / .env / .npmrc / tsbuildinfo / __pycache__ 等）。跨项目复用：首次进入新项目用 AskUserQuestion 问商业版还是开源版，缓存到 <project_root>/.dwy/sdk-spec/config.json，下次自动按规则检查。涉及以下任何场景必须使用此 skill：用户说「检查 SDK」「SDK 发版前检查」「SDK 注释脱敏」「SDK 接口规范」「发布前安全检查」「SDK 源码泄露检查」「商业版 SDK 打包」「Cython 编译 .so」「打包前体检」「.gitignore 漏了什么」「npm pack 看看包里有什么」「重设 SDK 版本类型」时。注：本 skill 只做发布前安全检查闸门，不执行发版流程（发版编排走 dwy-publish，会在发布前主动调用本检查）。"
 ---
 
 # dwy-sdk-spec — SDK 接口规范与发布安全检查
 
 防三类风险：接口注释泄露后端实现 / 商业版 SDK 源码被还原 / 发布产物夹带隐藏敏感文件。
 
-**适用范围**：任何 SDK 对外发布前的通用安全闸门，与发布渠道无关——PyPI / npm / 私有源 / 直接打包交付都先过这一关。发 PyPI 只是其中一种渠道，不是触发前提。检查通过后，通用发版流程（测试 / bump / changelog / tag / publish）走 `dwy-publish`；含 C 扩展需跨平台 wheel 的走 `dwy-cibuildwheel`。
+**适用范围**：任何 SDK 对外发布前的通用安全闸门，与发布渠道无关——PyPI / npm / 私有源 / 直接打包交付都先过这一关。发 PyPI 只是其中一种渠道，不是触发前提。检查通过后，通用发版流程（测试 / bump / changelog / tag / publish）走 `dwy-publish`；含 C 扩展需跨平台 wheel 的走 `dwy-github-action-publish`。
 
 ## 何时触发
 
@@ -26,28 +26,24 @@ skill 跨项目复用。每次执行流程 A/B/C 前先确保当前项目的配
 
 ### 缓存文件格式
 
-路径：`~/.config/dwy-sdk-spec/projects.json`
+路径：`<project_root>/.dwy/sdk-spec/config.json`（写项目内，扁平结构，不存绝对路径）
 
 ```json
 {
   "version": "1",
-  "projects": {
-    "/绝对/路径/到/项目根": {
-      "edition": "commercial",
-      "languages": ["python", "js"],
-      "sdk_paths": {
-        "python": ["backend"],
-        "js": ["frontend/eui", "frontend/ekit"]
-      },
-      "configured_at": "2026-05-18T12:34:56Z"
-    }
-  }
+  "edition": "commercial",
+  "languages": ["python", "js"],
+  "sdk_paths": {
+    "python": ["backend"],
+    "js": ["frontend/eui", "frontend/ekit"]
+  },
+  "configured_at": "2026-05-18T12:34:56Z"
 }
 ```
 
 - `edition` 必填，只能是 `commercial` 或 `opensource`
-- `languages` / `sdk_paths` 自动探测
-- key 是项目**绝对路径**（`pwd` 取），跨机器迁移自动失效
+- `languages` / `sdk_paths` 自动探测，`sdk_paths` 是**相对项目根的相对路径**
+- 配置随项目走、不存绝对路径；`.dwy/` 是本机判断缓存，提醒用户加进 `.gitignore`
 
 ### 读取流程
 
@@ -57,9 +53,22 @@ PROJECT_PATH=$(pwd)
 CONFIG=$(bash "$SKILL_DIR/scripts/init_config.sh" get "$PROJECT_PATH")
 ```
 
-- 输出非 `null` → 已配置，提取 `edition` / `languages` / `sdk_paths`，跳到对应流程
+- 输出非 `null` → 已配置，提取 `edition` / `languages` / `sdk_paths`，先做**路径校验**（见下），再跳到对应流程
 - 输出 `null` → 走「首次配置」
 
+### 路径校验（应对 SDK 目录改名）
+
+`sdk_paths` 存相对路径，SDK 子目录改名（如 `backend`→`core`）后缓存会指向已不存在的目录。get 返回非 `null` 后，逐个检查 `sdk_paths` 里的相对目录在 `$PROJECT_PATH` 下是否存在：
+
+```bash
+for d in $(jq -r '.sdk_paths[][]' <<< "$CONFIG"); do
+  [[ -d "$PROJECT_PATH/$d" ]] || echo "MISSING: $d"
+done
+```
+
+- 全部存在 → 直接用缓存
+- 有 `MISSING` → 警告用户「缓存的 SDK 路径已失效」，跑 `detect_sdk.sh` 重新探测，再用 `init_config.sh set` 覆盖更新（`edition` 沿用旧值），然后继续
+
 ### 首次配置流程
 
 1. 跑 `bash scripts/detect_sdk.sh "$PROJECT_PATH"` 探测语言：
@@ -207,12 +216,13 @@ bash "$SKILL_DIR/scripts/check_js_publish.sh" "$PROJECT_PATH/<js_sdk_path>" --ed
 | 情况 | 处理 |
 |---|---|
 | 脚本说命中敏感词但是误报 | 该行后加 `# sdk-spec: ignore`（Python）或 `// sdk-spec: ignore`（JS/TS）行内豁免 |
-| 商业版但项目特殊不用 Cython（如纯接口包） | 跟用户确认；要长期跳过 Python 商业打包检查 → `bash scripts/init_config.sh reset` 重选「开源版」，或单次跳过流程 B |
+| 商业版但项目特殊不用 Cython（如纯接口包） | 跟用户确认；要长期跳过 Python 商业打包检查 → `bash scripts/init_config.sh reset "$(pwd)"` 重选「开源版」，或单次跳过流程 B |
 | 想换商业 / 开源版本 | `bash scripts/init_config.sh reset "$(pwd)"` 然后重触发 skill 重问 |
 | `detect_sdk.sh` 没找到 SDK 但项目确实是 | 让用户手动指定 `--sdk-paths '{"python":["src/mypkg"]}'`，跳过自动探测 |
 | `python -m build` 失败 | 报告原因给用户，建议先 `pip install build`；不强制执行流程 C，可仅做流程 A+B |
 | `npm pack --dry-run` 失败 | 多半是 `npm install` 没跑或 `package.json` 缺字段，让用户先修复，重跑 |
-| 缓存文件损坏（jq 解析失败） | 提示用户备份原文件后删除 `~/.config/dwy-sdk-spec/projects.json`，重新走首次配置 |
+| 缓存文件损坏（jq 解析失败） | 提示用户备份原文件后删除 `<project_root>/.dwy/sdk-spec/config.json`，重新走首次配置 |
+| 缓存的 SDK 路径失效（目录改名/删除） | 走「路径校验」：警告后跑 `detect_sdk.sh` 重探测 + `set` 覆盖更新 |
 
 ## 跨项目约束
 
@@ -222,13 +232,13 @@ skill 文件**零绝对路径**。装到任何机器上首次用时自动走流
 1. 装了 `jq`（解析缓存 JSON）
 2. Python 项目：装了 `python` 与 `build` 包（流程 C 用）
 3. JS 项目：装了 `npm` 与 `node`（流程 C 用）
-4. 缓存文件 `~/.config/dwy-sdk-spec/projects.json` 是本机配置，**不**随 skill 同步出去
+4. 缓存文件写项目内 `<project_root>/.dwy/sdk-spec/config.json`，是本机判断缓存，提醒用户加进 `.gitignore`，不入版本库
 
 ## 安全约束
 
 - skill 不存任何 token / 凭证 / 私钥
 - skill 不动 `~/.pypirc` / `~/.npmrc`
-- 脚本只做本地读 + 本地写 `~/.config/dwy-sdk-spec/`
+- 脚本只做本地读 + 本地写 `<project_root>/.dwy/sdk-spec/`
 - 不静默修改任何源文件 / 配置文件，所有改动建议输出给用户决策
 - 不实际发布到 PyPI / npm，流程 C 全部使用 `--dry-run` 或临时目录
 - 检查通过 ≠ 安全保证，最终发布前用户必须人工 review `npm pack --dry-run` 输出

package/templates/ai-tools/skills//345/{256/211/345/205/250 → 217/221/345/270/203/345/217/221/347/211/210}/dwy-sdk-spec/references/python-commercial-guide.md

@@ -136,7 +136,7 @@ unzip -l dist/*.whl | grep -E '_.*\.py$' && echo "FAIL: source leaked" || echo "
 | wheel 里有 `.py` 源 | `exclude-package-data` 没匹配到 / MANIFEST.in 缺 global-exclude | 同时配 setup 配置 + MANIFEST.in |
 | 装完后 `ImportError: cannot import name '_engine'` | `__init__.py` 用了 `from . import _engine` 但 .so 命名空间不对 | 确保 `.so` 文件在包内，名字与 import 路径一致 |
 | `pip install -e .` 后 import 慢 | 开发模式没编译 .so，跑了 .py | 开发用 `python setup.py build_ext --inplace` 触发编译 |
-| 跨平台 wheel（manylinux / macOS） | 单平台编译产物只能装到对应平台 | 用 `cibuildwheel`（项目已有 dwy-cibuildwheel skill） |
+| 跨平台 wheel（manylinux / macOS） | 单平台编译产物只能装到对应平台 | 用 `cibuildwheel`（项目已有 dwy-github-action-publish skill） |
 
 ## 参考 dwy-shared 内已有 SDK
 

package/templates/ai-tools/skills//345/{256/211/345/205/250 → 217/221/345/270/203/345/217/221/347/211/210}/dwy-sdk-spec/references/sensitive-patterns.md

@@ -109,4 +109,4 @@ export async function fetchUser(id: string): Promise<UserProfile> { ... }
 - Python：`# sdk-spec: ignore`
 - TS/JS：`// sdk-spec: ignore`
 
-豁免**单行**，不豁免整段。要长期豁免某文件 → 在 `~/.config/dwy-sdk-spec/projects.json` 的对应项目下加 `ignore_files: ["path/to/file.py"]`（未来支持，当前手动用行内豁免）。
+豁免**单行**，不豁免整段。要长期豁免某文件 → 在 `<project_root>/.dwy/sdk-spec/config.json` 加 `ignore_files: ["path/to/file.py"]`（未来支持，当前手动用行内豁免）。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-sdk-spec/scripts/init_config.sh

@@ -0,0 +1,91 @@
+#!/usr/bin/env bash
+# dwy-sdk-spec 配置缓存读写
+# 缓存写项目内 <project_root>/.dwy/sdk-spec/config.json，扁平结构、不存绝对路径
+# 用法:
+#   init_config.sh get   <project_root>
+#   init_config.sh set   <project_root> <edition> <languages_json> <sdk_paths_json>
+#   init_config.sh reset <project_root>
+
+set -euo pipefail
+
+config_file() {
+  echo "${1%/}/.dwy/sdk-spec/config.json"
+}
+
+ensure_config() {
+  local root="$1"
+  local dir="${root%/}/.dwy/sdk-spec"
+  local file
+  file="$(config_file "$root")"
+  mkdir -p "$dir"
+  if [[ ! -f "$file" ]]; then
+    echo '{"version":"1"}' > "$file"
+  fi
+  # 检测损坏
+  if ! jq empty "$file" 2>/dev/null; then
+    echo "ERROR: $file is corrupted. Back it up and delete to reset." >&2
+    exit 2
+  fi
+}
+
+cmd_get() {
+  local root="$1"
+  ensure_config "$root"
+  # 无 edition 视为未配置，返回 null
+  jq 'if has("edition") then . else null end' "$(config_file "$root")"
+}
+
+cmd_set() {
+  local root="$1" edition="$2" languages_json="$3" sdk_paths_json="$4"
+
+  if [[ "$edition" != "commercial" && "$edition" != "opensource" ]]; then
+    echo "ERROR: edition must be 'commercial' or 'opensource', got: $edition" >&2
+    exit 2
+  fi
+
+  ensure_config "$root"
+  local now file tmp
+  now=$(date -u +%Y-%m-%dT%H:%M:%SZ)
+  file="$(config_file "$root")"
+  tmp=$(mktemp)
+  jq -n \
+    --arg e "$edition" \
+    --argjson l "$languages_json" \
+    --argjson s "$sdk_paths_json" \
+    --arg t "$now" \
+    '{version:"1", edition:$e, languages:$l, sdk_paths:$s, configured_at:$t}' \
+    > "$tmp"
+  mv "$tmp" "$file"
+
+  echo "OK: cached $root -> $edition"
+  echo "Remember to add .dwy/ to .gitignore (本机判断缓存，不入版本库)"
+}
+
+cmd_reset() {
+  local root="$1"
+  local file
+  file="$(config_file "$root")"
+  rm -f "$file"
+  echo "OK: removed $file"
+}
+
+main() {
+  if [[ $# -lt 1 ]]; then
+    echo "Usage: $0 {get|set|reset} <project_root> [args...]" >&2
+    exit 2
+  fi
+  local action="$1"
+  shift
+
+  case "$action" in
+    get)   cmd_get "$@" ;;
+    set)   cmd_set "$@" ;;
+    reset) cmd_reset "$@" ;;
+    *)
+      echo "ERROR: unknown action: $action" >&2
+      exit 2
+      ;;
+  esac
+}
+
+main "$@"

package/templates/ai-tools/skills//345/274/200/345/217/221/346/265/201/347/250/213/dwy-whiteboard-prototype/SKILL.md

@@ -0,0 +1,70 @@
+---
+name: dwy-whiteboard-prototype
+description: "用 HTML 白板（FigJam/draw.io 风格）画可交互 UI 原型。触发场景：用户说『画原型 / 出原型 / 画白板 / 原型图 / 做个原型 / prototype / 把某页面的各种状态画出来 / 把这几个页面的跳转画清楚』，或要在动手写 UI 代码前先验证页面与交互流程时。产出：每个页面一个 HTML 白板文件，画布二维摆放、SVG 连线表达跳转、左侧导航在白板间切换、右侧标注写交互与边界。这是项目原型的标准做法，画 iOS/移动端页面原型时务必用本 skill，别另起炉灶手搓样式与交互引擎。"
+---
+
+# 白板原型（HTML 可交互）
+
+把页面与交互流程画成「白板」：每个页面一个 HTML 文件，文件内把该页面的**所有状态**（默认/空态/加载/错误/禁用…）摆成二维画布，用 SVG 连线表达状态间跳转，左侧固定导航在不同页面白板间切换。
+
+**这套原型是雏形/脚手架**——目的是先把页面齐、状态全、跳转流程理清、交互无 bug，给后续 UI 设计打底。所以重点在覆盖与流程正确，**不必纠结像素级视觉**。图标用稳定图标库（SF Symbols 风格的字符/内联 SVG）占位，**不用 emoji 作功能性图标**。
+
+## 起步：复制模板，别手搓引擎
+
+`assets/template.html` 已含整套白板引擎（平移缩放、SVG 连线、选中高亮、复位展示、左侧导航、拖拽防误触）。**画新原型时复制它，只改三处**：
+
+1. **画布区**（`.stage` 列表）——每个状态一个画布
+2. **`EDGES`**（脚本顶部）——声明白板内状态跳转，决定画哪些连线
+3. **左侧 `.sidenav`**——把当前页设 `.on`，其余指向对应白板 html
+
+引擎部分（`drawWires`/`select`/`focusOn`/拖拽缩放/`fitAll`）**不要改、不要重写**——这些是反复调试过的，重写极易引入下面「交互铁律」里踩过的坑。
+
+## 组织：按「页面」划分白板
+
+- **一个页面 = 一个 HTML 文件**（如 `connect-spec.html` `home-spec.html`）。文件内放该页面的**全部状态变体**，每个状态一个画布。
+- 不要把多个并列功能塞一个白板——页面多了会糊成网格图、画布爆炸。模块间的关系交给左侧导航和跨白板跳转。
+- **左侧导航按用户旅程顺序排页面**（例：引导页 → 首页 → 连接页 → 功能页），不是按技术依赖。每个白板的导航内容一致，只有「当前页」标记不同。
+- 一个**总览页** `index-spec.html` 串各页入口（卡片 + 链接下钻到各白板）。
+- 文件统一放 `docs/prototypes/`，命名 `<页面>-spec.html`。
+
+## 每个画布的结构
+
+左 `.phone`（设备框，内 `.screen` 放 UI）+ 右 `.spec` 标注栏。`.stage` 用 `data-id`（唯一）、`data-x`/`data-y`（白板坐标，列距约 760、行距约 820）；`.canvas-no` 的 `id` 必须 = `data-id`（选中靠它）。
+
+**设备尺寸按目标端定**（不写死）：模板 `.phone` 默认 320×680，复制后**按产品目标端改 `.phone` 的 `width`/`height`**——iOS 用 iPhone 逻辑尺寸（如 390×844）、鸿蒙用对应 vp 尺寸、iPad/平板/Web 用各自真实比例。列距/行距随之放宽以免画布重叠。
+
+**标注栏三段式**（这是原型的核心价值，别省）：
+
+- **用途**：一句话讲清这个页面/状态的职责。
+- **交互跳转**：点哪 → 去哪。白板内跳转用 `<a class="jump" data-go="目标id">`；跨白板跳转用 `<a class="xjump" href="目标-spec.html">`（绿色 ↗ 标识）。
+- **边界处理**：雏形阶段最该写全的部分——单行文字截断、空态、加载态、禁用态、错误态、超时兜底等，按该状态适用项列。
+
+付费/受限操作：按钮旁加 `<span class="pill lock">PRO</span>`，标注栏加「付费」段（`.gt.pay`），按需。
+
+## 交互铁律（踩过的坑，务必遵守）
+
+这些是反复迭代修出来的，模板已实现；自己改引擎或写新交互时不要违背：
+
+- **编号 = 选中入口，画框不选中**。只有点 `.canvas-no`（编号标题）才选中并「复位展示」。画框本身不响应选中——否则点画框空白、点画框内按钮都容易误触出 bug。
+- **按钮 = 跳转**。画框内可点元素用 `data-go="目标id"` 做白板内跳转（点了 select + 复位展示）；跨白板跳转用 `<a href>`。
+- **可点元素不启动拖拽**。`pointerdown` 里 `if(e.target.closest('input,a,[data-go],.canvas-no'))return`。原因：真实鼠标点击带几像素抖动，若任意位置都进入拖拽判定，点击会被 `moved` 判成拖拽而吞掉——曾导致「点编号不高亮、点按钮不跳转」。这是最隐蔽的坑，务必保留。
+- **复位展示让目标看清**。跳转/选中后调 `focusOn(id)`：缩放到单画布刚好填满视口 + 居中，不管之前缩放多小都清晰。别只 `centerOn`（保持原缩放会看不清）。
+- **连线从画框边缘进出**，不从中心（否则被框体盖住像断的）。`edgeAnchor` 已实现选最近边 + 贝塞尔曲线 + 箭头 + 中点标签。
+- **禁文本选中**：`body{user-select:none}` + `input{user-select:text}`，拖拽不选中画框文字。
+- **单行截断**：`white-space:nowrap;overflow:hidden;text-overflow:ellipsis` + 父级 `min-width:0`（省略号生效前提）。列表项必带。
+
+## 视觉 token
+
+**配色按产品定位推荐，只换色板、不动结构。** 模板 `:root` 是一套**语义变量架构**（`--gold` 主色 / `--device` 背景 / `--surface*` 分层 / `--red`/`--green`/`--pro` 等），默认填的是深色蓝调一套可跑值。复制后**按产品定位重填这些变量的色值 + 明/暗调**：金融稳重、社交活泼、工具中性——AI 自行判断给配色方案。
+
+只换**色值**，`:root` 的变量名、圆角、阴影、间距、质感等**结构不动**（引擎和样式都引用这些变量名，改名会断）。纯系统字体 `-apple-system,"PingFang SC"`，**零外部字体依赖**（符合本地纯客户端定位，也避免离线打不开）。
+
+## 产出后自检
+
+用本地 http 服务打开（`python3 -m http.server`，注意 `?v=` 破缓存），确认：
+- 各画布定位正确、连线带箭头无坐标错误（`NaN`）；
+- 点编号 → 高亮 + 复位展示；点画框内按钮/标注 jump → 白板内跳转；点跨白板链接 → 切文件；
+- 拖拽空白处平移、滚轮缩放正常；点画框空白处不误选中；
+- 列表超长文字省略号截断不撑破。
+
+新增页面白板后，记得在 `index-spec.html` 和各白板左侧导航里补上入口。