create-dwy 0.16.1 → 0.17.1

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-oss-commercial-license.md

@@ -0,0 +1,128 @@
+---
+description: 商用/销售类应用的开源依赖许可合规（禁不可商用与强 copyleft；仅强制署名时在隐私协议附录声明含版本）
+---
+
+# 商用开源依赖许可合规（强制）
+
+> 销售、SaaS、付费 App、对外交付的商业产品引入开源库时，
+> 许可不合规会带来版权/违约风险。本规则约束：选型禁区 + 强制署名时的声明义务。
+
+## 一、适用边界
+
+- **适用**：任何面向收费/销售/对外商用的应用（含内部先试用后商用的产品）
+- **不适用**：纯学习/练手/未商用的 builder 原型（一旦要上架/收费，必须补齐本规则）
+- **覆盖栈**：npm/pnpm、PyPI/uv、CocoaPods/SPM、Gradle/Maven、ohpm、pub、Docker 基础镜像、字体/图标/素材、模型权重与 SDK
+- **声明范围**：仅 **直接依赖**；不强制盘传递依赖
+
+## 二、核心原则（三条）
+
+1. **先查许可，再装依赖** — 未确认 license 的包禁止引入
+2. **明确不可商用 / 强 copyleft → 禁止直接使用** — 换可商用替代，或购买商业授权
+3. **仅当许可强制要求署名 / NOTICE 时**，才在隐私协议附录中声明（含版本）；**不强制署名的库不必写**
+
+## 三、禁止引入（不可商用 / 高法律风险）
+
+以下类型**默认禁止**写入依赖树（直接依赖必须查；已知会把禁区 license 顶进运行时链接的包也不得引）：
+
+| 类型 | 常见标识 | 原因 |
+|---|---|---|
+| 明确非商业 | `CC-BY-NC*`、`CC-NC`、`PolyForm-Noncommercial`、许可证写 Non-Commercial / No Commercial Use | 商用即侵权 |
+| 强传染 copyleft（闭源商用） | `GPL-2.0`、`GPL-3.0`、`AGPL-3.0`、`SSPL` | 可能强制整包开源或限制网络服务形态；**闭源商用一律禁止** |
+| 限制竞争/生产用途 | `BUSL`（未到 Change Date 且限制 Production）、Commons Clause、部分 Source-Available | 表面开源，实则禁商用或禁竞争 |
+| 仅免费个人/评估 | 字体/图标/SDK 写 "free for personal use only"、"evaluation only" | 商用需买授权 |
+| 无 license / 自定义模糊条款 | 仓库无 LICENSE、或 "all rights reserved" 却当开源用 | 默认不可用 |
+
+### 例外（必须显式记录）
+
+- 已购买**商业授权**且合同覆盖当前用途 → 可引入，记录授权方、合同编号、到期日
+- LGPL 等边界许可 → 不得默认通过，须单独评估后再定
+
+### 选型动作（强制）
+
+引入新依赖时在选型对比中增加一列 **License**，并标注：
+
+- `OK-商用`（可商用；若无强制署名义务则声明页可不写）
+- `OK-商用+强制署名`（MIT/BSD/Apache-2.0/ISC 等要求保留版权与许可声明 → 须进隐私协议附录）
+- `OK-商用+额外义务`（如 Apache NOTICE、MPL 文件级 copyleft 等 → 按义务处理，署名类进附录）
+- `禁-不可商用/高风险`（上表）→ **不得推荐为默认项**
+
+## 四、强制署名时的声明义务
+
+### 4.1 何时必须声明（仅此场景）
+
+直接依赖的 license **明确要求** attribution / copyright notice / NOTICE / 保留许可文本时，必须声明。
+
+**不强制署名则不写**：无保留声明义务的可商用库，不必塞进隐私协议或开源列表。
+
+### 4.2 声明落点
+
+- **唯一约定落点**：隐私协议 **附录**「第三方开源组件」
+- 不与个人信息处理条款正文混写；附录与正文分节
+- 若产品另有「关于 / 法律信息」页，可链到该附录，不替代附录本身
+
+### 4.3 每条声明最低字段（强制）
+
+| 字段 | 说明 | 示例 |
+|---|---|---|
+| 组件名 | 直接依赖包名 | `axios` |
+| 版本 | **实际锁定版本**（lockfile / 构建锁定） | `1.7.9` |
+| 许可证 | SPDX 标识 | `MIT` |
+| 版权声明 | 来自 LICENSE / 包元数据 | `Copyright (c) 2014-present Matt Zabriskie` |
+| 许可全文或链接 | 全文或稳定 URL | `https://opensource.org/licenses/MIT` |
+
+**版本必须写锁定版本**，禁止只写 `latest` 或不写版本。
+
+### 4.4 声明模板（可直接贴进隐私协议附录）
+
+```text
+附录：第三方开源组件
+
+本产品直接使用的、且许可证要求保留声明的开源组件如下：
+
+1. axios 1.7.9
+   License: MIT
+   Copyright (c) 2014-present Matt Zabriskie
+   https://github.com/axios/axios/blob/v1.7.9/LICENSE
+
+2. dayjs 1.11.13
+   License: MIT
+   Copyright (c) 2018-present, iamkun
+   https://github.com/iamkun/dayjs/blob/v1.11.13/LICENSE
+```
+
+仅列 **直接依赖 + 许可强制署名** 的项；无强制署名义务的直接依赖不列。
+
+### 4.5 何时更新声明
+
+- 新增/替换直接依赖，且其许可强制署名
+- 已声明组件的主版本或锁定版本变更
+- 发版前：附录中的版本 vs lockfile **必须一致**；已移除的组件从附录删掉
+
+## 五、执行检查清单（引入依赖 / 发版前）
+
+- [ ] 直接依赖均有明确 SPDX license（或等价官方许可文本）
+- [ ] 无 NC / 非商业 / GPL / AGPL / SSPL / 评估版字体图标等禁区
+- [ ] 无未评估的 LGPL / 商业授权到期风险
+- [ ] 仅对「许可强制署名」的直接依赖写入隐私协议附录（含版本号）
+- [ ] 不强制署名的库未滥写进附录
+- [ ] 附录版本与 lockfile 一致
+
+## 六、AI 行为约束
+
+- 推荐开源方案时：**必须带 license 与商用结论**（OK / OK+强制署名 / 禁 / 需商业授权）
+- 候选为 NC / GPL / AGPL / SSPL / 无 license：**不得作为推荐默认项**；列出可商用替代
+- 生成/修改隐私协议时：扫描直接依赖，**只把强制署名的项**写入附录「第三方开源组件」
+- 不得以「业界都在用」跳过 license 核查
+- 不得把无强制署名义务的库整表刷进隐私协议
+
+## 七、常见许可速查（非穷尽）
+
+| SPDX | 商用闭源 | 是否强制进隐私协议附录 |
+|---|---|---|
+| MIT / ISC / BSD-2/3 | 可 | **是**（要求保留版权与许可声明） |
+| Apache-2.0 | 可 | **是**（保留 NOTICE / 声明） |
+| MPL-2.0 | 通常可 | 按义务；修改过的 MPL 文件另有开源义务 |
+| LGPL-2.1/3.0 | 须单独评估 | 评估通过后再定声明 |
+| GPL / AGPL / SSPL | **禁** | —（不得引入） |
+| CC-BY-NC* | **禁** | —（不得引入） |
+| 无 license | **禁** | —（不得引入） |

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-ios-app-store-release/SKILL.md

@@ -0,0 +1,65 @@
+---
+name: dwy-ios-app-store-release
+description: "iOS/macOS App Store 上架编排。用户要求创建或填写 App Store Connect 应用资料、生成并上传 iOS/macOS 截图、配置全地区定价、创建内购/自动续期订阅、提交 TestFlight 或 App Review 时使用。使用 App Store Connect API 自动填充，使用已登录 Playwright 补齐网页专属步骤；首次运行在用户私有目录缓存 API 配置。"
+---
+
+# iOS/macOS App Store 上架
+
+将开发完成的 Apple 应用整理为可确认、可审计、可重复执行的发布包。API 优先；新建 App Record、App Privacy 等 API 外页面才使用已登录 Playwright。
+
+## 安全边界
+
+- Skill 模板目录禁止保存任何 API Key、`.p8` 私钥、Cookie、审核账号密码或税务材料。
+- 只从 `/Users/chances/.dwy/app-store-connect/` 读取用户私有配置。首次运行时询问 Issuer ID、Key ID、团队和私钥文件位置，再调用 `scripts/appstore_config.sh` 写入。
+- 不将秘密写入项目、Git、`appstore-submission.yaml` 或执行日志。审核账号在发布包中只能使用钥匙串或环境变量引用。
+- 提交审核、正式发布、价格上调前，必须显示变更并获得用户二次确认。
+
+## 首次配置
+
+1. 执行 `scripts/appstore_config.sh init`，创建权限 `0700` 的用户私有目录。
+2. 逐项询问用户，再执行 `set --issuer-id <id> --key-id <id> [--team-id <id>]`。
+3. 用户提供现有 `.p8` 文件路径后，执行 `import-key --path <absolute-path>`；禁止让用户在聊天中粘贴私钥内容。
+4. 使用 `get` 验证非秘密标识；不要打印私钥或会话文件。
+
+## 发布包与资料收集
+
+将 `assets/appstore-submission.yaml` 复制到用户私有目录下 `submissions/<bundle-id>/`，逐步收集并在每步确认：
+
+1. 应用身份：Bundle ID、SKU、名称、分类、版权、年龄分级和构建。
+2. 产品页：只维护 `zh-Hans`、`en-US` 的名称、副标题、描述、关键词、支持/营销/隐私 URL。
+3. 截图：按 [截图工作流](references/screenshot-workflow.md) 从真实应用采集 iOS 与 macOS 图，分别校验后上传。
+4. 合规：隐私、第三方 SDK、内容权利、加密、审核账号和测试路径。法律真实性由用户确认。
+5. 商业：应用价格、全地区可售、内购或订阅的权益、价格、地区和审核截图。
+
+## 地区、ICP 与本地化
+
+- 默认应用、内购和订阅均为 `all_territories`；产品页本地化仅 `zh-Hans`、`en-US`。
+- ICP/APP 备案号为非阻塞字段。缺失时继续配置其它全部地区，并在执行报告标记中国大陆待办。
+- 用户后续提供备案号后，单独写入并启用中国大陆；不得重新填写其它已确认资料。
+
+## 自动化顺序
+
+1. 读取发布包、项目构建信息和 API 配置，先输出完整 diff。
+2. 用 API 写入 App 信息、版本本地化、价格、地区、年龄分级、审核资料、截图、内购和订阅。
+3. 对 API 未覆盖项复用用户已登录 Playwright 会话：创建 App Record、填写 App Privacy 或处理网页专属确认。
+4. 关联构建与审核提交。仅在用户再次确认后调用提交审核或发布动作。
+5. 输出成功、失败、待补 ICP 和人工确认项，保存无秘密执行记录。
+
+## 内购与订阅
+
+- 校验 `product_id` 与 StoreKit 代码一致，再创建消耗型、非消耗型内购或自动续期订阅。
+- 每个内购必须提交一张用于审核的 `1280 × 800` 像素截图；按 [内购审核截图](references/in-app-purchase-review.md) 从真实购买流程采集并校验。
+- 默认全地区可售；以美国区目标价格查询 Apple 价格点，并由 Apple 自动等价换算其它地区价格。
+- 价格修改必须展示旧价、新价、生效时间和受影响地区；用户二次确认后才执行。
+
+## 网页自动化限制
+
+- 只使用用户已登录会话，不索取 Apple ID 密码或二次验证码。
+- 遇到验证码、实名核验、协议、税务、银行、证照上传或法律声明时暂停并交由用户完成。
+- App Review 拒审后整理证据、修复清单与回复草稿；回复或重新提交前确认。
+
+## 参考资料
+
+- API 与网页动作：见 [references/api-workflow.md](references/api-workflow.md)。
+- iOS/macOS 截图采集与规格：见 [references/screenshot-workflow.md](references/screenshot-workflow.md)。
+- 内购审核截图：见 [references/in-app-purchase-review.md](references/in-app-purchase-review.md)。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-ios-app-store-release/assets/appstore-submission.yaml

@@ -0,0 +1,43 @@
+# 已确认的发布包模板；秘密仅使用外部引用，不能填入此文件。
+schema_version: 1
+application:
+  bundle_id: ""
+  sku: ""
+  platforms: [ios, macos]
+  availability: all_territories
+  china_mainland:
+    icp_status: not_started
+    icp_filing_number: ""
+localizations:
+  zh-Hans:
+    name: ""
+    subtitle: ""
+    description: ""
+    keywords: ""
+    support_url: ""
+    privacy_policy_url: ""
+  en-US:
+    name: ""
+    subtitle: ""
+    description: ""
+    keywords: ""
+    support_url: ""
+    privacy_policy_url: ""
+screenshots:
+  ios: { zh-Hans: [], en-US: [] }
+  macos: { zh-Hans: [], en-US: [] }
+# 每个内购条目必须带 `review_screenshot`，尺寸固定为 1280x800 像素。
+in_app_purchases: []
+subscriptions: []
+review:
+  contact_name: ""
+  contact_email: ""
+  contact_phone: ""
+  demo_credentials_reference: ""
+  notes: ""
+confirmations:
+  metadata_confirmed: false
+  privacy_confirmed: false
+  pricing_confirmed: false
+  submit_for_review_confirmed: false
+  release_confirmed: false

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-ios-app-store-release/references/api-workflow.md

@@ -0,0 +1,17 @@
+# App Store Connect API 与网页补齐
+
+## API 优先动作
+
+使用 App Store Connect API 创建或更新版本本地化、App 信息、分类、年龄分级、地区可售性、应用价格、内购、订阅、审核资料、截图和审核提交。每次写入前读取当前资源并生成字段 diff。
+
+## 网页补齐动作
+
+只在 API 无法覆盖时，使用用户已登录的 Playwright 会话：创建 App Record、App Privacy 问卷和 Apple 要求的网页专属确认。不得自动绕过验证码或复用未授权会话。
+
+## 中国大陆
+
+默认请求全地区可售。若 Apple 返回 ICP 缺失或无效状态，保留其它地区配置并在执行记录中登记备案待办。用户提供有效备案号后，单独重试中国大陆。
+
+## 最终门禁
+
+下列动作必须再次询问用户：提交审核、正式发布、提高价格、启用中国大陆（当备案资料刚补齐时）。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-ios-app-store-release/references/in-app-purchase-review.md

@@ -0,0 +1,16 @@
+# 内购审核截图
+
+## 本项目固定规格
+
+每个内购项目提交一张 `1280 × 800` 像素、16:10 的审核截图。图片必须来自真实购买路径，清晰展示商品或服务、价格入口与购买后的可获得权益；禁止使用与应用不一致的概念图。
+
+## 采集与上传
+
+1. 使用审核账号或 StoreKit 测试环境进入目标商品购买页。
+2. 在 macOS 16:10 画布导出 `1280 × 800` PNG 或 JPG，移除用户身份、支付凭据和生产数据。
+3. 上传前校验精确像素、RGB、无透明通道和单张文件约束。
+4. 通过 `inAppPurchaseAppStoreReviewScreenshots` 的预留、上传、提交流程写入对应内购；上传后读取资源状态确认成功。
+
+## Apple 规格关系
+
+Apple 将内购审核截图用于审核而非商店展示，并要求它符合应用支持的平台截图规格。本项目将 `1280 × 800` 作为固定的 macOS 审核画布；如果 Apple 后续针对目标平台返回更严格的校验错误，停止上传并提示用户确认平台规格，不擅自缩放或裁剪。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-ios-app-store-release/references/screenshot-workflow.md

@@ -0,0 +1,16 @@
+# iOS/macOS 截图工作流
+
+## 采集
+
+从真实 iOS 模拟器和 macOS 应用构建采集截图。先向用户确认截图剧本：启动方式、测试账号引用、页面路径、测试数据、脱敏规则和中英文文案。禁止以与实际应用不一致的生成图替代功能展示。
+
+## 分平台输出
+
+- iOS 和 macOS 必须分别采集、设计、校验和上传，不能将同一图片简单缩放复用。
+- 每种平台、设备尺寸和语言输出 1 到 10 张 JPEG/JPG/PNG；不得包含 Alpha 通道。
+- macOS 使用 16:10：`1280x800`、`1440x900`、`2560x1600` 或 `2880x1800`。
+- iOS 根据目标 iPhone 展示尺寸选择 Apple 当前接受的规格；执行时先读取 Apple 官方截图规格，避免使用过期机型尺寸。
+
+## 上传前检查
+
+检查尺寸、方向、格式、无透明通道、语言目录、页面顺序、隐私脱敏和平台归属。先生成本地预览和上传清单，用户确认后才上传。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-ios-app-store-release/scripts/appstore_config.sh

@@ -0,0 +1,140 @@
+#!/usr/bin/env bash
+# App Store Connect 用户级配置管理：只保存非秘密标识与私钥文件，禁止向 Skill 或项目目录写入凭据。
+
+set -euo pipefail
+
+default_root="/Users/$(id -un)/.dwy/app-store-connect"
+
+# 输出用法，避免调用者猜测参数格式而误把私钥内容传入命令行。
+usage() {
+  cat <<'EOF'
+Usage:
+  appstore_config.sh init [--root <directory>]
+  appstore_config.sh get [--root <directory>]
+  appstore_config.sh set --issuer-id <id> --key-id <id> [--team-id <id>] [--root <directory>]
+  appstore_config.sh import-key --path <AuthKey.p8> [--root <directory>]
+  appstore_config.sh reset [--root <directory>]
+EOF
+}
+
+# 创建私有目录并收紧权限，防止同机其他用户读取配置或私钥。
+ensure_root() {
+  mkdir -p "$root/private_keys" "$root/sessions" "$root/submissions"
+  chmod 700 "$root" "$root/private_keys" "$root/sessions" "$root/submissions"
+}
+
+# 将非秘密配置初始化为 JSON；私钥单独存放，避免在 get 输出中泄漏。
+ensure_config() {
+  ensure_root
+  if [[ ! -f "$config_file" ]]; then
+    jq -n '{version: 1}' > "$config_file"
+    chmod 600 "$config_file"
+  fi
+  if ! jq empty "$config_file" >/dev/null 2>&1; then
+    echo "ERROR: configuration is not valid JSON: $config_file" >&2
+    exit 2
+  fi
+}
+
+# 校验受外部输入控制的标识长度，避免错误或过大的配置写入本地缓存。
+validate_id() {
+  local label="$1" value="$2" limit="$3"
+  if [[ -z "$value" || ${#value} -gt "$limit" ]]; then
+    echo "ERROR: $label must contain 1-$limit characters" >&2
+    exit 2
+  fi
+}
+
+# 解析共享根目录参数；其他参数由具体子命令处理。
+parse_root() {
+  while [[ $# -gt 0 ]]; do
+    case "$1" in
+      --root)
+        root="$2"
+        shift 2
+        ;;
+      *)
+        remaining+=("$1")
+        remaining_count=$((remaining_count + 1))
+        shift
+        ;;
+    esac
+  done
+}
+
+action="${1:-}"
+if [[ -z "$action" ]]; then
+  usage >&2
+  exit 2
+fi
+shift
+
+root="$default_root"
+remaining=()
+remaining_count=0
+parse_root "$@"
+# macOS 自带 Bash 在 `nounset` 下会将空数组视为未绑定，因此空参数必须避免展开数组。
+if [[ "$remaining_count" -eq 0 ]]; then
+  set --
+else
+  set -- "${remaining[@]}"
+fi
+config_file="$root/config.json"
+
+case "$action" in
+  init)
+    [[ $# -eq 0 ]] || { usage >&2; exit 2; }
+    ensure_config
+    echo "OK: initialized $root"
+    ;;
+  get)
+    [[ $# -eq 0 ]] || { usage >&2; exit 2; }
+    ensure_config
+    cat "$config_file"
+    ;;
+  set)
+    issuer_id=""
+    key_id=""
+    team_id=""
+    while [[ $# -gt 0 ]]; do
+      case "$1" in
+        --issuer-id) issuer_id="$2"; shift 2 ;;
+        --key-id) key_id="$2"; shift 2 ;;
+        --team-id) team_id="$2"; shift 2 ;;
+        *) usage >&2; exit 2 ;;
+      esac
+    done
+    validate_id "issuer id" "$issuer_id" 128
+    validate_id "key id" "$key_id" 64
+    if [[ -n "$team_id" ]]; then validate_id "team id" "$team_id" 64; fi
+    ensure_config
+    jq -n --arg issuer "$issuer_id" --arg key "$key_id" --arg team "$team_id" \
+      '{version: 1, issuer_id: $issuer, key_id: $key, team_id: $team}' > "$config_file"
+    chmod 600 "$config_file"
+    echo "OK: stored non-secret API identifiers in $config_file"
+    ;;
+  import-key)
+    [[ $# -eq 2 && "$1" == "--path" ]] || { usage >&2; exit 2; }
+    source_key="$2"
+    [[ -f "$source_key" && "${source_key##*.}" == "p8" ]] || {
+      echo "ERROR: --path must reference an existing .p8 file" >&2
+      exit 2
+    }
+    ensure_config
+    target_key="$root/private_keys/$(basename "$source_key")"
+    cp "$source_key" "$target_key"
+    chmod 600 "$target_key"
+    echo "OK: imported private key to $target_key"
+    ;;
+  reset)
+    [[ $# -eq 0 ]] || { usage >&2; exit 2; }
+    if [[ -f "$config_file" ]]; then
+      rm "$config_file"
+    fi
+    echo "OK: removed non-secret configuration; private keys and submissions were preserved"
+    ;;
+  *)
+    usage >&2
+    exit 2
+    ;;
+esac

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/SKILL.md

@@ -1,13 +1,13 @@
 ---
 name: dwy-publish
-description: "发版/部署编排器。触发条件：用户说\"发版\"\"部署\"\"发布上线\"\"release\"\"publish\"\"走发版流程\"时。按应用目录确认发布方式并缓存，串起定版本→changelog→安全检查→build/发布→监控→通知。版本号决策单独走 dwy-semver，GA 打包走 dwy-github-action-publish，发布前安全检查走 dwy-sdk-spec——本 skill 负责编排，按路径主动调它们。"
+description: "发版/部署编排器。触发条件：用户说\"发版\"\"部署\"\"发布上线\"\"release\"\"publish\"\"走发版流程\"时。按应用目录确认发布方式并缓存，串起定版本→changelog→安全检查→打 tag→build/发布→监控→通知。每次更新版本必须打 git tag，tag 版本串与 changelog 新版本标题完全一致。版本号决策单独走 dwy-semver，GA 打包走 dwy-github-action-publish，发布前安全检查走 dwy-sdk-spec——本 skill 负责编排，按路径主动调它们。"
 ---
 
 # 发版编排器
 
 一条发版链的编排执行。进入前测试已完成。
 
-**先**读仓库上下文，判目标平台（前端/后端/Android/iOS/鸿蒙/通用）+ 定位应用目录（相对项目根的相对路径）。**再**按下表执行 8 步。
+**先**读仓库上下文，判目标平台（前端/后端/Android/iOS/鸿蒙/通用）+ 定位应用目录（相对项目根的相对路径）。**再**按下表执行 9 步。
 
 | # | 步骤 | 类型 | 调用 |
 |---|------|------|------|
@@ -16,16 +16,19 @@ description: "发版/部署编排器。触发条件：用户说\"发版\"\"部
 | 3 | 定版本号 + 多文件同步 | 通用步 | `../dwy-semver` + `references/version-sync.md` |
 | 4 | 写 changelog（按平台子目录） | 通用步 | `references/changelog.md` |
 | 5 | 安全检查（闸门，未过不发） | 通用步 | `../dwy-sdk-spec` |
-| 6 | build + 触发发布 | 项目步 | `references/<平台>.md`；走 GA 引 `../dwy-github-action-publish` |
-| 7 | 监控发布进程 | 项目步 | `references/monitor-notify.md` |
-| 8 | 通知结果（输出结果文本） | — | `references/monitor-notify.md` |
+| 6 | commit 版本变更 + 打 tag 并推送 | 通用步 | `references/git-tag.md` |
+| 7 | build + 触发发布 | 项目步 | `references/<平台>.md`；走 GA 引 `../dwy-github-action-publish` |
+| 8 | 监控发布进程 | 项目步 | `references/monitor-notify.md` |
+| 9 | 通知结果（输出结果文本） | — | `references/monitor-notify.md` |
 
 平台流程文件：`frontend-deploy.md` / `backend-deploy.md` / `ios.md` / `android.md` / `harmony.md` / `generic-release.md`。
 
 ## 编排约束
 
-- **通用步固化**（定版本/changelog/安全检查跨项目一致，走子 skill/脚本）；**项目步读上下文+缓存**（build/deploy/监控命令因项目而异，**绝不写死**，探测不到问用户后缓存）。
-- 安全检查（第 5 步）是闸门，未过不进发布。
-- 全程 AI 自动判断、自动跑，仅搞不定时才问用户（版本级别拿不准、命令探测不到、配置缺失、构建/发布失败）。
+- **通用步固化**（定版本/changelog/安全检查/打 tag 跨项目一致，走子 skill/脚本）；**项目步读上下文+缓存**（build/deploy/监控命令因项目而异，**绝不写死**，探测不到问用户后缓存）。
+- 安全检查（第 5 步）是闸门，未过不进 tag / 发布。
+- **每次更新版本必须打 tag**（第 6 步）：tag 版本串与本次 changelog 新版本标题（`## x.y.z`）完全一致；细则见 `references/git-tag.md`。无 bump 的纯重发可不打新 tag。
+- 若 GA workflow 由 tag 触发，第 6 步 push tag 即触发第 7 步发布。
+- 全程 AI 自动判断、自动跑，仅搞不定时才问用户（版本级别拿不准、命令探测不到、配置缺失、构建/发布失败、需删远端 tag）。
 - 编排时按文件路径主动加载子 skill（`../dwy-semver`、`../dwy-sdk-spec`、`../dwy-github-action-publish`）；这些 skill 也可被用户独立触发。
 - `.dwy/` 缓存提醒用户加进 `.gitignore`。

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/android.md

@@ -24,8 +24,9 @@
 - `github-action` → 引 `../dwy-github-action-publish`（先过通用检查）
 - `local` → 缓存的本地构建/发布命令
 
-## changelog / 安全检查 / 监控
+## changelog / tag / 安全检查 / 监控
 
 - changelog → `changelog.md`（写 `android/CHANGELOG.md`）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致）
 - 安全检查 → `../dwy-sdk-spec`
 - 监控 + 结果 → `monitor-notify.md`

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/backend-deploy.md

@@ -17,7 +17,8 @@
 - `github-action` → 引 `../dwy-github-action-publish`（CI 推荐 OIDC，先过通用检查）
 - `local` → 缓存的本地构建/部署命令（打镜像 / 部署脚本）
 
-## changelog / 监控
+## changelog / tag / 监控
 
 - changelog → `changelog.md`（写 `backend/CHANGELOG.md`）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致）
 - 监控 + verify → `monitor-notify.md`（后端信号：健康检查 / 版本接口 / 运行日志 / 镜像 tag）

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/changelog.md

@@ -10,7 +10,26 @@ monorepo 下一个仓库可能同时含 android / ios / harmony / frontend / bac
 - `frontend/CHANGELOG.md`
 - `backend/CHANGELOG.md`
 
-子目录名按仓库实际结构定（先在第 0 步识别平台目录）。
+子目录名按仓库实际结构定（先在第 0 步识别平台目录）。单包仓库可在根目录一份；monorepo 按包目录（如 `dwy-cli/CHANGELOG.md`、`frontend/eui/CHANGELOG.md`）。
+
+## 版本标题格式（与 git tag 对齐）
+
+新版本必须用二级标题，版本串单独成标题，供第 6 步打 tag 原样取用：
+
+```markdown
+# <包标识>          ← monorepo 建议有 H1，作为 tag 的包前缀（如 create-dwy、@dwydev/eui）
+
+## 0.16.1           ← 新版本标题；tag 版本串必须与此完全一致
+
+### Patch Changes
+
+- ...
+```
+
+约束：
+
+- 标题里只写 SemVer 版本串（可含预发布，如 `1.0.0-rc.1`），不要写 `v0.16.1`、日期或其它后缀
+- 该版本串 = 版本来源文件里的 version = 即将打的 tag 中的版本部分（见 `git-tag.md`）
 
 ## 写法
 
@@ -22,9 +41,9 @@ git log <last-tag>..HEAD --oneline -- <平台子目录>/
 ```
 
 3. 按 `feat` / `fix` / `refactor` / `chore` 分组
-4. 写入该平台 `CHANGELOG.md`，标注新版本号
+4. 写入该平台 `CHANGELOG.md`，用 `## <新版本号>` 标注（格式见上）
 
-如果仓库已有自动生成命令（changelogen 等），优先使用，但仍按平台目录过滤范围。
+如果仓库已有自动生成命令（changelogen 等），优先使用，但仍按平台目录过滤范围，且产出的版本标题须满足上述格式。
 
 ## 自动执行
 
@@ -33,5 +52,6 @@ changelog 由 AI 自动生成并写入，不强制逐步确认。仅当 commit
 ## 禁止
 
 - 禁止写一份全局 CHANGELOG 混入多平台变更
-- 禁止 changelog 未写完就进入部署
+- 禁止 changelog 未写完就进入 tag / 部署
 - 禁止把其他平台的 commit 写进当前平台 CHANGELOG（必须按目录过滤）
+- 禁止版本标题写成与即将打的 tag 版本串不一致的形式

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/frontend-deploy.md

@@ -17,7 +17,8 @@
 - `github-action` → 引 `../dwy-github-action-publish`（CI 推荐 OIDC，先过通用检查）
 - `local` → 缓存的本地构建/部署命令（推镜像 / 传 CDN·OSS / 部署脚本）
 
-## changelog / 监控
+## changelog / tag / 监控
 
 - changelog → `changelog.md`（写 `frontend/CHANGELOG.md`）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致）
 - 监控 + verify → `monitor-notify.md`（前端信号：页面访问 / 版本接口 / 产物 hash / CDN 刷新）

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/generic-release.md

@@ -20,8 +20,9 @@
 
 **PyPI/npm 未配置 GA 时按 `publish-config.md` 主动推荐 OIDC。**
 
-## changelog / 安全检查 / 监控
+## changelog / tag / 安全检查 / 监控
 
 - changelog → `changelog.md`（单包仓库根目录一份；monorepo 按包目录过滤）
+- tag → `git-tag.md`（每次 bump 必打；版本串与 changelog `##` 标题一致；monorepo 例：`@dwydev/eui@2.2.3`、`create-dwy@0.16.1`）
 - 安全检查 → `../dwy-sdk-spec`（对外包必查泄露/产物）
 - 监控 + verify → `monitor-notify.md`（包仓库版本查询 / GitHub Release）

package/templates/ai-tools/skills//345/217/221/345/270/203/345/217/221/347/211/210/dwy-publish/references/git-tag.md

@@ -0,0 +1,82 @@
+# 发版 git tag（强制）
+
+**每次更新版本号都必须打 tag 并推远端。** 无版本 bump 的纯重发 / 仅重跑 workflow / 仅回滚，不打新 tag。
+
+## 时机
+
+在第 3 步版本同步 + 第 4 步 changelog 写完、第 5 步安全检查通过之后：
+
+1. 将版本来源文件 + CHANGELOG 一并 commit（若尚未提交）
+2. 按下方规则算出 tag 名
+3. 本地打 tag → push tag 到 origin
+4. 再进入 build / 发布（若 workflow 由 tag 触发，push tag 即触发发布）
+
+```bash
+# 版本与 changelog 已落盘并 commit 后
+git tag <tag>
+git push origin <tag>
+```
+
+## tag 与 changelog 版本对齐（硬规则）
+
+tag 中的**版本串**必须与本次 CHANGELOG **新版本标题**完全一致，禁止改写。
+
+| CHANGELOG 写法 | 取出的版本串 |
+|----------------|-------------|
+| `## 0.16.1` | `0.16.1` |
+| `## 2.2.3` | `2.2.3` |
+| `## 1.0.0-rc.1` | `1.0.0-rc.1` |
+
+禁止：
+
+- changelog 写 `## 0.16.1`，tag 打成 `v0.16.1` / `0.16.1.0` / `0.16`（格式不一致）
+- tag 版本与 `package.json` / `pyproject.toml` 等来源文件不一致
+- 未写 changelog 新版本标题就打 tag
+
+## tag 全名拼法
+
+先取 changelog 版本串 `VER`，再按仓库惯例拼全名：
+
+| 场景 | 规则 | 例 |
+|------|------|-----|
+| monorepo 多包 / 多平台 | `{包标识}@{VER}`；包标识优先取该 CHANGELOG 顶部 H1（去掉 `# `），否则取 `package.json` 的 `name` | CHANGELOG H1 `# create-dwy` + `## 0.16.1` → `create-dwy@0.16.1`；H1 `# @dwydev/eui` + `## 2.2.3` → `@dwydev/eui@2.2.3` |
+| 单包仓库且历史 tag 已有固定前缀 | 沿用历史前缀 + `VER`（仅当前缀不篡改 VER 本身时） | 历史 `v1.2.0` 且 changelog 为 `## 1.3.0` 时，若项目约定 `v` 前缀且 VER 仍完整出现 → 须在本仓库已有 tag 惯例中确认；**优先保证 VER 与 changelog 一致** |
+| 单包仓库无历史惯例 | 直接用 `VER` | changelog `## 1.0.0` → tag `1.0.0` |
+
+**冲突裁决**：若「历史 `v` 前缀」与「changelog 无 `v`」冲突，以 **changelog 标题里的版本串** 为准拼 tag（monorepo 用 `包@VER`，单包用 `VER`），不要为了凑 `v` 前缀改掉 VER。仓库若已有 workflow 写死 `v*` 触发，同步改 workflow 或 changelog 标题约定，二者必须一致。
+
+打 tag 前自检：
+
+```bash
+# VER 必须等于 changelog 最新 ## 标题
+# 包来源文件 version 字段必须等于 VER
+git tag -l | head   # 对照历史命名是否 monorepo 包前缀
+```
+
+## 推送与触发
+
+- 必须 `git push origin <tag>`，只打本地 tag 不算完成
+- method 为 `github-action` / `github-action-oidc` 且 workflow `on.push.tags` 时：push tag 即触发 CI，不必再另起发布命令
+- method 为 local / testflight / maven 等：先 push tag，再跑缓存的 `publish_cmd`（或按项目既有顺序，但 tag 不可省）
+
+## 重发 / 删 tag
+
+远端已有错误 tag 需要覆盖时：
+
+1. **先确认用户允许**删除远端 tag / release
+2. 再删远端 + 本地，重打同名 tag 推送
+
+```bash
+git push origin :refs/tags/<tag>
+git tag -d <tag>
+git tag <tag>
+git push origin <tag>
+```
+
+## 禁止
+
+- 禁止版本号已 bump 却不打 tag
+- 禁止 tag 版本串与 changelog 新版本标题不一致
+- 禁止 tag 与版本来源文件不一致
+- 禁止未 push 远端就当发版完成
+- 禁止未确认用户就删除远端已有 tag / release