create-dwy 0.16.0 → 0.17.0

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-ios-app-store-release/scripts/appstore_config.sh

@@ -0,0 +1,140 @@
+#!/usr/bin/env bash
+# App Store Connect 用户级配置管理：只保存非秘密标识与私钥文件，禁止向 Skill 或项目目录写入凭据。
+
+set -euo pipefail
+
+default_root="/Users/$(id -un)/.dwy/app-store-connect"
+
+# 输出用法，避免调用者猜测参数格式而误把私钥内容传入命令行。
+usage() {
+  cat <<'EOF'
+Usage:
+  appstore_config.sh init [--root <directory>]
+  appstore_config.sh get [--root <directory>]
+  appstore_config.sh set --issuer-id <id> --key-id <id> [--team-id <id>] [--root <directory>]
+  appstore_config.sh import-key --path <AuthKey.p8> [--root <directory>]
+  appstore_config.sh reset [--root <directory>]
+EOF
+}
+
+# 创建私有目录并收紧权限，防止同机其他用户读取配置或私钥。
+ensure_root() {
+  mkdir -p "$root/private_keys" "$root/sessions" "$root/submissions"
+  chmod 700 "$root" "$root/private_keys" "$root/sessions" "$root/submissions"
+}
+
+# 将非秘密配置初始化为 JSON；私钥单独存放，避免在 get 输出中泄漏。
+ensure_config() {
+  ensure_root
+  if [[ ! -f "$config_file" ]]; then
+    jq -n '{version: 1}' > "$config_file"
+    chmod 600 "$config_file"
+  fi
+  if ! jq empty "$config_file" >/dev/null 2>&1; then
+    echo "ERROR: configuration is not valid JSON: $config_file" >&2
+    exit 2
+  fi
+}
+
+# 校验受外部输入控制的标识长度，避免错误或过大的配置写入本地缓存。
+validate_id() {
+  local label="$1" value="$2" limit="$3"
+  if [[ -z "$value" || ${#value} -gt "$limit" ]]; then
+    echo "ERROR: $label must contain 1-$limit characters" >&2
+    exit 2
+  fi
+}
+
+# 解析共享根目录参数；其他参数由具体子命令处理。
+parse_root() {
+  while [[ $# -gt 0 ]]; do
+    case "$1" in
+      --root)
+        root="$2"
+        shift 2
+        ;;
+      *)
+        remaining+=("$1")
+        remaining_count=$((remaining_count + 1))
+        shift
+        ;;
+    esac
+  done
+}
+
+action="${1:-}"
+if [[ -z "$action" ]]; then
+  usage >&2
+  exit 2
+fi
+shift
+
+root="$default_root"
+remaining=()
+remaining_count=0
+parse_root "$@"
+# macOS 自带 Bash 在 `nounset` 下会将空数组视为未绑定，因此空参数必须避免展开数组。
+if [[ "$remaining_count" -eq 0 ]]; then
+  set --
+else
+  set -- "${remaining[@]}"
+fi
+config_file="$root/config.json"
+
+case "$action" in
+  init)
+    [[ $# -eq 0 ]] || { usage >&2; exit 2; }
+    ensure_config
+    echo "OK: initialized $root"
+    ;;
+  get)
+    [[ $# -eq 0 ]] || { usage >&2; exit 2; }
+    ensure_config
+    cat "$config_file"
+    ;;
+  set)
+    issuer_id=""
+    key_id=""
+    team_id=""
+    while [[ $# -gt 0 ]]; do
+      case "$1" in
+        --issuer-id) issuer_id="$2"; shift 2 ;;
+        --key-id) key_id="$2"; shift 2 ;;
+        --team-id) team_id="$2"; shift 2 ;;
+        *) usage >&2; exit 2 ;;
+      esac
+    done
+    validate_id "issuer id" "$issuer_id" 128
+    validate_id "key id" "$key_id" 64
+    if [[ -n "$team_id" ]]; then validate_id "team id" "$team_id" 64; fi
+    ensure_config
+    jq -n --arg issuer "$issuer_id" --arg key "$key_id" --arg team "$team_id" \
+      '{version: 1, issuer_id: $issuer, key_id: $key, team_id: $team}' > "$config_file"
+    chmod 600 "$config_file"
+    echo "OK: stored non-secret API identifiers in $config_file"
+    ;;
+  import-key)
+    [[ $# -eq 2 && "$1" == "--path" ]] || { usage >&2; exit 2; }
+    source_key="$2"
+    [[ -f "$source_key" && "${source_key##*.}" == "p8" ]] || {
+      echo "ERROR: --path must reference an existing .p8 file" >&2
+      exit 2
+    }
+    ensure_config
+    target_key="$root/private_keys/$(basename "$source_key")"
+    cp "$source_key" "$target_key"
+    chmod 600 "$target_key"
+    echo "OK: imported private key to $target_key"
+    ;;
+  reset)
+    [[ $# -eq 0 ]] || { usage >&2; exit 2; }
+    if [[ -f "$config_file" ]]; then
+      rm "$config_file"
+    fi
+    echo "OK: removed non-secret configuration; private keys and submissions were preserved"
+    ;;
+  *)
+    usage >&2
+    exit 2
+    ;;
+esac

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/SKILL.md

@@ -1,13 +1,13 @@
 ---
 name: dwy-publish
-description: "发版/部署编排器。触发条件：用户说\"发版\"\"部署\"\"发布上线\"\"release\"\"publish\"\"走发版流程\"时。按应用目录确认发布方式并缓存，串起定版本→changelog→安全检查→build/发布→监控→通知。版本号决策单独走 dwy-semver，GA 打包走 dwy-github-action-publish，发布前安全检查走 dwy-sdk-spec——本 skill 负责编排，按路径主动调它们。"
+description: "发版/部署编排器。触发条件：用户说\"发版\"\"部署\"\"发布上线\"\"release\"\"publish\"\"走发版流程\"时。按应用目录确认发布方式并缓存，串起定版本→changelog→安全检查→打 tag→build/发布→监控→通知。每次更新版本必须打 git tag，tag 版本串与 changelog 新版本标题完全一致。版本号决策单独走 dwy-semver，GA 打包走 dwy-github-action-publish，发布前安全检查走 dwy-sdk-spec——本 skill 负责编排，按路径主动调它们。"
 ---
 
 # 发版编排器
 
 一条发版链的编排执行。进入前测试已完成。
 
-**先**读仓库上下文，判目标平台（前端/后端/Android/iOS/鸿蒙/通用）+ 定位应用目录（相对项目根的相对路径）。**再**按下表执行 8 步。
+**先**读仓库上下文，判目标平台（前端/后端/Android/iOS/鸿蒙/通用）+ 定位应用目录（相对项目根的相对路径）。**再**按下表执行 9 步。
 
 | # | 步骤 | 类型 | 调用 |
 |---|------|------|------|
@@ -16,16 +16,19 @@ description: "发版/部署编排器。触发条件：用户说\"发版\"\"部
 | 3 | 定版本号 + 多文件同步 | 通用步 | `../dwy-semver` + `references/version-sync.md` |
 | 4 | 写 changelog（按平台子目录） | 通用步 | `references/changelog.md` |
 | 5 | 安全检查（闸门，未过不发） | 通用步 | `../dwy-sdk-spec` |
-| 6 | build + 触发发布 | 项目步 | `references/<平台>.md`；走 GA 引 `../dwy-github-action-publish` |
-| 7 | 监控发布进程 | 项目步 | `references/monitor-notify.md` |
-| 8 | 通知结果（输出结果文本） | — | `references/monitor-notify.md` |
+| 6 | commit 版本变更 + 打 tag 并推送 | 通用步 | `references/git-tag.md` |
+| 7 | build + 触发发布 | 项目步 | `references/<平台>.md`；走 GA 引 `../dwy-github-action-publish` |
+| 8 | 监控发布进程 | 项目步 | `references/monitor-notify.md` |
+| 9 | 通知结果（输出结果文本） | — | `references/monitor-notify.md` |
 
 平台流程文件：`frontend-deploy.md` / `backend-deploy.md` / `ios.md` / `android.md` / `harmony.md` / `generic-release.md`。
 
 ## 编排约束
 
-- **通用步固化**（定版本/changelog/安全检查跨项目一致，走子 skill/脚本）；**项目步读上下文+缓存**（build/deploy/监控命令因项目而异，**绝不写死**，探测不到问用户后缓存）。
-- 安全检查（第 5 步）是闸门，未过不进发布。
-- 全程 AI 自动判断、自动跑，仅搞不定时才问用户（版本级别拿不准、命令探测不到、配置缺失、构建/发布失败）。
+- **通用步固化**（定版本/changelog/安全检查/打 tag 跨项目一致，走子 skill/脚本）；**项目步读上下文+缓存**（build/deploy/监控命令因项目而异，**绝不写死**，探测不到问用户后缓存）。
+- 安全检查（第 5 步）是闸门，未过不进 tag / 发布。
+- **每次更新版本必须打 tag**（第 6 步）：tag 版本串与本次 changelog 新版本标题（`## x.y.z`）完全一致；细则见 `references/git-tag.md`。无 bump 的纯重发可不打新 tag。
+- 若 GA workflow 由 tag 触发，第 6 步 push tag 即触发第 7 步发布。
+- 全程 AI 自动判断、自动跑，仅搞不定时才问用户（版本级别拿不准、命令探测不到、配置缺失、构建/发布失败、需删远端 tag）。
 - 编排时按文件路径主动加载子 skill（`../dwy-semver`、`../dwy-sdk-spec`、`../dwy-github-action-publish`）；这些 skill 也可被用户独立触发。
 - `.dwy/` 缓存提醒用户加进 `.gitignore`。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/android.md

@@ -24,8 +24,9 @@
 - `github-action` → 引 `../dwy-github-action-publish`（先过通用检查）
 - `local` → 缓存的本地构建/发布命令
 
-## changelog / 安全检查 / 监控
+## changelog / tag / 安全检查 / 监控
 
 - changelog → `changelog.md`（写 `android/CHANGELOG.md`）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致）
 - 安全检查 → `../dwy-sdk-spec`
 - 监控 + 结果 → `monitor-notify.md`

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/backend-deploy.md

@@ -17,7 +17,8 @@
 - `github-action` → 引 `../dwy-github-action-publish`（CI 推荐 OIDC，先过通用检查）
 - `local` → 缓存的本地构建/部署命令（打镜像 / 部署脚本）
 
-## changelog / 监控
+## changelog / tag / 监控
 
 - changelog → `changelog.md`（写 `backend/CHANGELOG.md`）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致）
 - 监控 + verify → `monitor-notify.md`（后端信号：健康检查 / 版本接口 / 运行日志 / 镜像 tag）

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/changelog.md

@@ -10,7 +10,26 @@ monorepo 下一个仓库可能同时含 android / ios / harmony / frontend / bac
 - `frontend/CHANGELOG.md`
 - `backend/CHANGELOG.md`
 
-子目录名按仓库实际结构定（先在第 0 步识别平台目录）。
+子目录名按仓库实际结构定（先在第 0 步识别平台目录）。单包仓库可在根目录一份；monorepo 按包目录（如 `dwy-cli/CHANGELOG.md`、`frontend/eui/CHANGELOG.md`）。
+
+## 版本标题格式（与 git tag 对齐）
+
+新版本必须用二级标题，版本串单独成标题，供第 6 步打 tag 原样取用：
+
+```markdown
+# <包标识>          ← monorepo 建议有 H1，作为 tag 的包前缀（如 create-dwy、@dwydev/eui）
+
+## 0.16.1           ← 新版本标题；tag 版本串必须与此完全一致
+
+### Patch Changes
+
+- ...
+```
+
+约束：
+
+- 标题里只写 SemVer 版本串（可含预发布，如 `1.0.0-rc.1`），不要写 `v0.16.1`、日期或其它后缀
+- 该版本串 = 版本来源文件里的 version = 即将打的 tag 中的版本部分（见 `git-tag.md`）
 
 ## 写法
 
@@ -22,9 +41,9 @@ git log <last-tag>..HEAD --oneline -- <平台子目录>/
 ```
 
 3. 按 `feat` / `fix` / `refactor` / `chore` 分组
-4. 写入该平台 `CHANGELOG.md`，标注新版本号
+4. 写入该平台 `CHANGELOG.md`，用 `## <新版本号>` 标注（格式见上）
 
-如果仓库已有自动生成命令（changelogen 等），优先使用，但仍按平台目录过滤范围。
+如果仓库已有自动生成命令（changelogen 等），优先使用，但仍按平台目录过滤范围，且产出的版本标题须满足上述格式。
 
 ## 自动执行
 
@@ -33,5 +52,6 @@ changelog 由 AI 自动生成并写入，不强制逐步确认。仅当 commit
 ## 禁止
 
 - 禁止写一份全局 CHANGELOG 混入多平台变更
-- 禁止 changelog 未写完就进入部署
+- 禁止 changelog 未写完就进入 tag / 部署
 - 禁止把其他平台的 commit 写进当前平台 CHANGELOG（必须按目录过滤）
+- 禁止版本标题写成与即将打的 tag 版本串不一致的形式

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/frontend-deploy.md

@@ -17,7 +17,8 @@
 - `github-action` → 引 `../dwy-github-action-publish`（CI 推荐 OIDC，先过通用检查）
 - `local` → 缓存的本地构建/部署命令（推镜像 / 传 CDN·OSS / 部署脚本）
 
-## changelog / 监控
+## changelog / tag / 监控
 
 - changelog → `changelog.md`（写 `frontend/CHANGELOG.md`）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致）
 - 监控 + verify → `monitor-notify.md`（前端信号：页面访问 / 版本接口 / 产物 hash / CDN 刷新）

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/generic-release.md

@@ -20,8 +20,9 @@
 
 **PyPI/npm 未配置 GA 时按 `publish-config.md` 主动推荐 OIDC。**
 
-## changelog / 安全检查 / 监控
+## changelog / tag / 安全检查 / 监控
 
 - changelog → `changelog.md`（单包仓库根目录一份；monorepo 按包目录过滤）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致；monorepo 例：`@dwydev/eui@2.2.3`、`create-dwy@0.16.1`）
 - 安全检查 → `../dwy-sdk-spec`（对外包必查泄露/产物）
 - 监控 + verify → `monitor-notify.md`（包仓库版本查询 / GitHub Release）

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/git-tag.md

@@ -0,0 +1,82 @@
+# 发版 git tag（强制）
+
+**每次更新版本号都必须打 tag 并推远端。** 无版本 bump 的纯重发 / 仅重跑 workflow / 仅回滚，不打新 tag。
+
+## 时机
+
+在第 3 步版本同步 + 第 4 步 changelog 写完、第 5 步安全检查通过之后：
+
+1. 将版本来源文件 + CHANGELOG 一并 commit（若尚未提交）
+2. 按下方规则算出 tag 名
+3. 本地打 tag → push tag 到 origin
+4. 再进入 build / 发布（若 workflow 由 tag 触发，push tag 即触发发布）
+
+```bash
+# 版本与 changelog 已落盘并 commit 后
+git tag <tag>
+git push origin <tag>
+```
+
+## tag 与 changelog 版本对齐（硬规则）
+
+tag 中的**版本串**必须与本次 CHANGELOG **新版本标题**完全一致，禁止改写。
+
+| CHANGELOG 写法 | 取出的版本串 |
+|----------------|-------------|
+| `## 0.16.1` | `0.16.1` |
+| `## 2.2.3` | `2.2.3` |
+| `## 1.0.0-rc.1` | `1.0.0-rc.1` |
+
+禁止：
+
+- changelog 写 `## 0.16.1`，tag 打成 `v0.16.1` / `0.16.1.0` / `0.16`（格式不一致）
+- tag 版本与 `package.json` / `pyproject.toml` 等来源文件不一致
+- 未写 changelog 新版本标题就打 tag
+
+## tag 全名拼法
+
+先取 changelog 版本串 `VER`，再按仓库惯例拼全名：
+
+| 场景 | 规则 | 例 |
+|------|------|-----|
+| monorepo 多包 / 多平台 | `{包标识}@{VER}`；包标识优先取该 CHANGELOG 顶部 H1（去掉 `# `），否则取 `package.json` 的 `name` | CHANGELOG H1 `# create-dwy` + `## 0.16.1` → `create-dwy@0.16.1`；H1 `# @dwydev/eui` + `## 2.2.3` → `@dwydev/eui@2.2.3` |
+| 单包仓库且历史 tag 已有固定前缀 | 沿用历史前缀 + `VER`（仅当前缀不篡改 VER 本身时） | 历史 `v1.2.0` 且 changelog 为 `## 1.3.0` 时，若项目约定 `v` 前缀且 VER 仍完整出现 → 须在本仓库已有 tag 惯例中确认；**优先保证 VER 与 changelog 一致** |
+| 单包仓库无历史惯例 | 直接用 `VER` | changelog `## 1.0.0` → tag `1.0.0` |
+
+**冲突裁决**：若「历史 `v` 前缀」与「changelog 无 `v`」冲突，以 **changelog 标题里的版本串** 为准拼 tag（monorepo 用 `包@VER`，单包用 `VER`），不要为了凑 `v` 前缀改掉 VER。仓库若已有 workflow 写死 `v*` 触发，同步改 workflow 或 changelog 标题约定，二者必须一致。
+
+打 tag 前自检：
+
+```bash
+# VER 必须等于 changelog 最新 ## 标题
+# 包来源文件 version 字段必须等于 VER
+git tag -l | head   # 对照历史命名是否 monorepo 包前缀
+```
+
+## 推送与触发
+
+- 必须 `git push origin <tag>`，只打本地 tag 不算完成
+- method 为 `github-action` / `github-action-oidc` 且 workflow `on.push.tags` 时：push tag 即触发 CI，不必再另起发布命令
+- method 为 local / testflight / maven 等：先 push tag，再跑缓存的 `publish_cmd`（或按项目既有顺序，但 tag 不可省）
+
+## 重发 / 删 tag
+
+远端已有错误 tag 需要覆盖时：
+
+1. **先确认用户允许**删除远端 tag / release
+2. 再删远端 + 本地，重打同名 tag 推送
+
+```bash
+git push origin :refs/tags/<tag>
+git tag -d <tag>
+git tag <tag>
+git push origin <tag>
+```
+
+## 禁止
+
+- 禁止版本号已 bump 却不打 tag
+- 禁止 tag 版本串与 changelog 新版本标题不一致
+- 禁止 tag 与版本来源文件不一致
+- 禁止未 push 远端就当发版完成
+- 禁止未确认用户就删除远端已有 tag / release

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/harmony.md

@@ -18,8 +18,9 @@
 - `github-action` → 引 `../dwy-github-action-publish`（先过通用检查）
 - `local` → 缓存的本地构建/发布命令
 
-## changelog / 安全检查 / 监控
+## changelog / tag / 安全检查 / 监控
 
 - changelog → `changelog.md`（写 `harmony/CHANGELOG.md`）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致）
 - 安全检查 → `../dwy-sdk-spec`
 - 监控 + 结果 → `monitor-notify.md`

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/ios.md

@@ -21,12 +21,13 @@
 
 按缓存 method 分流：
 - `testflight` → 用项目实际的 TestFlight 上传命令（fastlane lane / Transporter / altool）
-- `cocoapods` / `spm` → 用项目实际的 pod 发布 / git tag 命令（SPM 以 tag 为版本，tag 须等于 `CFBundleShortVersionString`）
+- `cocoapods` / `spm` → 用项目实际的 pod 发布命令（SPM 消费 git tag；tag 走统一 `git-tag.md`，版本串 = changelog = `CFBundleShortVersionString`）
 - `github-action` → 引 `../dwy-github-action-publish`（先过其通用检查）
 - `local` → 缓存的本地命令
 
-## changelog / 安全检查 / 监控
+## changelog / tag / 安全检查 / 监控
 
 - changelog → `changelog.md`（写 `ios/CHANGELOG.md`）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致）
 - 安全检查 → `../dwy-sdk-spec`（SDK 发布尤其要查泄露）
 - 监控 + 结果 → `monitor-notify.md`

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/monitor-notify.md

@@ -30,7 +30,7 @@ verify 失败，发布不算完成。
 
 发布终态后在对话里输出结果摘要，不接外部通知：
 
-- **成功**：平台 / 应用目录、版本号、产物、渠道、verify 结果
-- **失败**：失败阶段、关键报错、下一步建议（重发 / bump / 修配置）
+- **成功**：平台 / 应用目录、版本号、**git tag 全名**、产物、渠道、verify 结果
+- **失败**：失败阶段、关键报错、下一步建议（重发 / bump / 修配置 / 重打 tag）
 
 涉及删除远端 release / tag 的重发，必须先确认用户允许。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-semver/SKILL.md

@@ -120,7 +120,7 @@ python3 scripts/bump.py 2.0.0-rc.1 major             # -> 2.0.0  (预发布转
 ## 与 dwy-publish 的边界
 
 - **dwy-semver**（本 skill）：只回答"该升哪一位、新号是多少"
-- **dwy-publish**：拿到版本号后执行发版流程（测试 → bump 版本文件 → changelog → build → publish → tag）
+- **dwy-publish**：拿到版本号后执行发版流程（测试 → bump 版本文件 → changelog → 安全检查 → **打 tag（版本串与 changelog 标题一致）** → build → publish）
 
 发版时若不确定版本号，先用本 skill 决策，再交给 dwy-publish 落地。
 

package/templates/ai-tools/skills//345/237/272/347/241/200/345/272/223/dwy-eapi/references/tasks-integration-guide.md

@@ -143,7 +143,7 @@ curl -X POST http://localhost:8000/tasks \
 
 ```json
 {
-  "code": 200,
+  "code": "SUCCESS",
   "message": "success",
   "data": {
     "id": "task_a1b2c3d4...",
@@ -184,7 +184,7 @@ curl "http://localhost:8000/tasks?task_type=process_data"
 curl -X POST http://localhost:8000/tasks/task_a1b2c3d4.../cancel
 ```
 
-仅 `pending` 和 `running` 状态的任务可取消。已结束的任务返回 400。
+仅 `pending` 和 `running` 状态的任务可取消。已结束的任务抛 `BusinessError`，HTTP **422**（`TASK_ALREADY_FINISHED`）。
 
 ### 自定义路由前缀
 

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/SKILL.md

@@ -464,7 +464,7 @@ bash {scripts}/check_db.sh <target> [ssh_opts...]
 
 根据本次失败项归纳的可执行后续动作:
 
-- 镜像版本不固定 (4.6) → 跑 `/dwy-docker-image` 选 N-1 minor
+- 镜像版本不固定 (4.6) → 跑 `/dwy-docker` 选 N-1 minor
 - daemon 未配 registry-mirrors (4.6) → 跑 `/dwy-mirror-source` 写国内源
 - 容器资源偏离推荐 (4.10) → 改 `docker-compose.prod.yml` 的 mem_limit/maxmemory
 - ...

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/references/checks-runtime.md

@@ -11,7 +11,7 @@
 ## 4.6 Docker 安全 — `{scripts}/check_docker.sh`
 
 > **跨 skill 联动**:本节发现的镜像版本/镜像源问题,只**报告**不修复。具体修复路径:
-> - 镜像 tag 不固定 / `:latest` / 浮动 tag → 引导用户跑 `/dwy-docker-image`(走 query_dockerhub.py 选 N-1 minor)
+> - 镜像 tag 不固定 / `:latest` / 浮动 tag → 引导用户跑 `/dwy-docker`(走 query_dockerhub.py 选 N-1 minor)
 > - daemon 未配 registry-mirrors / 容器用境外 registry → 引导用户跑 `/dwy-mirror-source`(写阿里云/中科大/daocloud)
 
 | 检查项 | 期望值 | 严重级 |
@@ -107,7 +107,7 @@
 
 ## 4.10 硬件识别与资源推荐 — `{scripts}/check_capacity.sh`
 
-> 脚本只输出 raw（硬件规格 + 当前容器 mem_limit + Postgres/Redis 启动参数 + compose 资源声明）；主 Claude 用下表生成 "推荐 vs 当前" 对比报告。详细推荐规则与配比公式参考 `dwy-docker-image` skill 第二部分。
+> 脚本只输出 raw（硬件规格 + 当前容器 mem_limit + Postgres/Redis 启动参数 + compose 资源声明）；主 Claude 用下表生成 "推荐 vs 当前" 对比报告。详细推荐规则与配比公式参考 `dwy-docker` skill 第二部分。
 
 **容器资源推荐分级表（按宿主总内存）**
 

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/scripts/check_docker.sh

@@ -43,7 +43,7 @@ docker ps --format "{{.Names}}|{{.Ports}}" 2>/dev/null | while IFS='|' read -r n
 done
 
 echo ""
-echo "--- 镜像 tag 分级检查 (生产期望: 固定到具体 patch, 跑 /dwy-docker-image 选 N-1 minor) ---"
+echo "--- 镜像 tag 分级检查 (生产期望: 固定到具体 patch, 跑 /dwy-docker 选 N-1 minor) ---"
 # 浮动 tag 黑名单 (无版本号或仅描述类的)
 FLOATING_TAGS='^(latest|stable|mainline|edge|current|alpine|slim|bookworm|bullseye|buster|jammy|focal|noble|nightly)$'
 docker ps --format "{{.Names}}|{{.Image}}" 2>/dev/null | while IFS='|' read -r name image; do
@@ -87,7 +87,7 @@ docker ps --format "{{.Names}}|{{.Image}}" 2>/dev/null | while IFS='|' read -r n
   fi
 done
 echo ""
-echo "[i] 修复:对每条 [!!!] / [!!] / [!] 的镜像,跑 /dwy-docker-image 用 query_dockerhub.py 拿 N-1 minor 推荐版本"
+echo "[i] 修复:对每条 [!!!] / [!!] / [!] 的镜像,跑 /dwy-docker 用 query_dockerhub.py 拿 N-1 minor 推荐版本"
 
 echo ""
 echo "--- 容器是否以 root 运行 ---"
@@ -255,5 +255,5 @@ echo ""
 echo "[i] 修复路径:"
 echo "      1. docker.io 加速  → /dwy-mirror-source 自动配 daemon registry-mirrors"
 echo "      2. gcr/ghcr/k8s    → 把 image 改 <registry>.m.daocloud.io 前缀, 见 dwy-mirror-source 镜像替换表"
-echo "      3. 镜像版本不固定  → /dwy-docker-image 选 N-1 minor 重新固定"
+echo "      3. 镜像版本不固定  → /dwy-docker 选 N-1 minor 重新固定"
 REMOTE

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/scripts/check_secrets.sh

@@ -320,7 +320,7 @@ done
 echo ""
 echo "########## 凭证强度汇总 ##########"
 echo "[i] 修复指引:"
-echo "  - WEAK 密码: 立即轮换 + 走 dwy-server-security 规则 (>= 16 字符 + 三类字符)"
+echo "  - WEAK 密码: 立即轮换 (建议 >= 16 字符 + 三类字符的强密码)"
 echo "  - 高敏字段 (JWT/SECRET/AK/SK): >= 32 字符随机串"
 echo "  - 生成命令: openssl rand -base64 24 | tr -d '=+/' | cut -c1-20"
 echo "  - 高敏: openssl rand -hex 32  (生成 64 字符 hex token)"

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/README.md

@@ -0,0 +1,57 @@
+# 自媒体 skills（uc-media）
+
+## 处理流程
+
+```text
+跨集 channel-profile · topic-backlog · design-defaults?
+
+  有主题 ─────────────────────┐
+  无主题 → 0005 ★人选 ────────┤
+                               ▼
+                    【0010 产品卡 · 一步】
+                    ① 竞品 + 差异化
+                    ② AI 自动推荐演讲地图
+                       （讲/不讲 · 内容柱 · 时长）
+                    ★ 不做则停；可改 §3 地图
+                               ▼
+                    【0030 事实】按内容柱扩展深库
+                               ▼
+                    【0040 脚本】按地图蒸馏口播
+                               ▼
+                    0050→0060→0070→0080→render
+                    可选 0090 包装
+```
+
+**因果：** 主题 → **看清赛道并自动生成讲什么** → 为地图备事实 → 蒸馏成片。
+
+| 编号 | 决定什么 | 主文档 |
+|------|----------|--------|
+| 0005 | 拍哪个主题（可选） | topic-backlog.md |
+| **0010** | 竞品差在哪 + **AI 推荐讲什么** | `0010-product/产品卡-*.md` |
+| 0030 | 按地图扩事实 | `0030-facts/事实-*.md` |
+| 0040 | 口播分镜 | `0040-script/脚本-*.md` |
+| 0050–0080 | 设计·素材·成片·工厂 | … |
+| 0090 | 多平台包装（可选） | 0070-package/ |
+
+| 模式 | 行为 |
+|------|------|
+| **fast** | 0010→0030 连跑后停；0040/0050 停；连 0060–0070；0080 停 |
+| **standard** | 每步确认（含是否改 0010 地图） |
+
+## Skills
+
+| Skill | 作用 |
+|-------|------|
+| uc-media-flow | 编排 |
+| uc-media-0005-ideation | 选题发现 |
+| **uc-media-0010-product** | **竞品 + AI 演讲地图（合并）** |
+| uc-media-0030-facts | 按地图扩事实 |
+| uc-media-0040-script … 0080-factory | 脚本与制作 |
+| media-platform-packaging | 0090 可选 |
+| dwy-doubao-tts | 口播配音（豆包声音复刻 2.0，可选） |
+
+契约：[`uc-media-flow/CONTRACT.md`](./uc-media-flow/CONTRACT.md)
+
+## 兼容
+
+旧分步 `0010-topic` + `0020-product` → 单一 `0010-product`；无 0020 目录。