create-dwy 0.19.0 → 0.20.0

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/references/checks-runtime.md

@@ -2,7 +2,7 @@
 
 > **何时读这份：** 当 AI 即将运行 4.6 / 4.8 / 4.9 / 4.10 类检查或解读其输出时读取本文件。
 
-本文件聚焦"运行时与韧性"维度的检查规则、严重度判定与输出格式。涵盖 Docker 安全、自愈与资源耗尽防护、日志大小与防爆、硬件识别与资源推荐。
+本文件聚焦"运行时与韧性"维度的检查规则、严重度判定与输出格式。涵盖 Docker 安全、自愈与资源耗尽防护、日志大小与防爆、硬件与容器资源。内存和日志的具体数字是冷启动先验，有实测就不用表。
 
 脚本目录简称 `{scripts}` = `../scripts/`。
 
@@ -11,8 +11,8 @@
 ## 4.6 Docker 安全 — `{scripts}/check_docker.sh`
 
 > **跨 skill 联动**:本节发现的镜像版本/镜像源问题,只**报告**不修复。具体修复路径:
-> - 镜像 tag 不固定 / `:latest` / 浮动 tag → 引导用户跑 `/dwy-docker`(走 query_dockerhub.py 选 N-1 minor)
-> - daemon 未配 registry-mirrors / 容器用境外 registry → 引导用户跑 `/dwy-mirror-source`(写阿里云/中科大/daocloud)
+> - 镜像 tag 不固定 / `:latest` / 浮动 tag → 引导用户跑 `/dwy-docker`（当次列出 tag 再固定，N-1 只是偏好）
+> - daemon 未配 registry-mirrors / 容器用境外 registry → 引导用户跑 `/dwy-mirror-source`（当次探测后取延迟最低的源）
 
 | 检查项 | 期望值 | 严重级 |
 |--------|--------|--------|
@@ -30,9 +30,9 @@
 | 容器 `RestartPolicy` | `always` 或 `unless-stopped`（**服务器重启后自动起来**） | **critical** |
 | 容器 `RestartPolicy=no` 但正在 running | 不允许（重启会丢） | **critical** |
 | 容器 `RestartPolicy=on-failure` | 不推荐（手动 stop / OOM 后不会重启） | high |
-| daemon 日志驱动 `log-opts.max-size` | 已配置（≤ 100m，防容器日志写满磁盘） | high |
-| **daemon `registry-mirrors`**(时区在 PRC 时) | 至少 1 个国内源(daocloud / aliyun / ustc / tsinghua) | high(PRC 无配置)/ info(境外) |
-| **运行容器使用境外 registry**(`gcr.io` `ghcr.io` `k8s.gcr.io` `quay.io` `mcr.microsoft.com` `nvcr.io` `docker.elastic.co`)且时区在 PRC | 改用 `<registry>.m.daocloud.io` 前缀(`registry-mirrors` **不**对它们生效) | high |
+| daemon 日志驱动 `log-opts.max-size` | 已配置上限。数字按实测日志增速，不要求 ≤ 100m | high（未配置） |
+| **daemon `registry-mirrors`** | 名单里有 daocloud / aliyun / ustc 不算通过。合格看当次对 Registry API 的延迟和内容。未配置时提示去探测，不因为没写某个国内源判失败。私有库或用户指定源不参加公网竞速 | info |
+| **运行容器使用境外 registry**(`gcr.io` `ghcr.io` `k8s.gcr.io` `quay.io` `mcr.microsoft.com` `nvcr.io` `docker.elastic.co`)且时区在 PRC | 改用当次探测选出的国内前缀（`registry-mirrors` **不**对它们生效）。DaoCloud 前缀只是当前候选。私有库不改前缀 | high |
 
 **Docker 版本与暴露面判定补充：**
 
@@ -93,23 +93,40 @@
 |--------|--------|--------|
 | Docker 单容器 `*-json.log` 大小 | < 500 MB（daemon 配 log-opts max-size 时自动控） | high(>500 MB) / critical(>1 GB 且 daemon 无 log-opts) |
 | 容器自身 `LogConfig.Config` 覆盖 | 至少有 `max-size`，否则继承 daemon | high（容器 + daemon 都没配） |
-| Docker daemon `log-opts.max-size` | 已配置 ≤ 100m | high（同 check_docker.sh，本节关联展开） |
+| Docker daemon `log-opts.max-size` | 已配置上限。数字按本节实测增速，不要求 ≤ 100m | high（未配置） |
 | Nginx access.log / error.log 单文件 | < 500 MB | high |
 | `/etc/logrotate.d/nginx` | 存在 | high |
 | `journalctl --disk-usage` | < 2 GB | medium / high(≥ 2 GB 且 SystemMaxUse 未配) |
 | `/etc/systemd/journald.conf` `SystemMaxUse` | 已显式配置 | low |
 | 应用日志目录（`/var/log/<svc>` / `/opt/*/logs` / `/home/*/logs` / `/srv/*/logs`） | 列出 Top 10 供人工核对 | info |
-| 日志按当前 docker 容器存活时长粗估的撑天数 | > 90 天 | high(<90) / critical(<30) |
+| 日志按当前 docker 容器存活时长粗估的撑天数 | 按实测增速，写满根盘前有人处理。30 / 90 天是告警线，不是要配成的保留天数 | high(<90) / critical(<30) |
 
 **输出规约：** 脚本会汇总 `Docker json-log + Nginx + journal + 应用日志` 总占用，对照根盘可用空间，给出"按 docker 当前增速预计可撑 N 天"的粗估。粗估只算 docker json-log 增量，不含数据库/应用日志业务增量，因此**结论偏乐观**，作为下限警示使用。
 
 ---
 
-## 4.10 硬件识别与资源推荐 — `{scripts}/check_capacity.sh`
+## 4.10 硬件识别与资源 — `{scripts}/check_capacity.sh`
 
-> 脚本只输出 raw（硬件规格 + 当前容器 mem_limit + Postgres/Redis 启动参数 + compose 资源声明）；主 Claude 用下表生成 "推荐 vs 当前" 对比报告。详细推荐规则与配比公式参考 `dwy-docker` skill 第二部分。
+脚本输出宿主规格、容器硬限、`docker stats` 单帧占用、Postgres/Redis 参数、compose 声明、日志日增量能对上的根盘剩余。报告写「本次实测 vs 当前硬限」。**禁止**把下面的数字写成应改成的配额。
 
-**容器资源推荐分级表（按宿主总内存）**
+必须成立的只有这些：
+
+- 每个容器有内存硬限。关键服务（redis / postgres / mysql / mongo / clickhouse / elasticsearch）没有就是 high
+- Redis 设了 `maxmemory`，且容器 `mem_limit` 大于它。未设或为 0 是 **critical**
+- Postgres `shared_buffers` 不超过宿主总内存的 50%。这是 OOM 天花板，不是目标比例
+- 容器硬限合计不超过宿主总内存的 75%。超过则 OS 没有余量，是 high。不要求贴近 65%
+- 日志有 `max-size` 和 `max-file`。两边都没有是 **critical**
+- 按 `check_logs.sh` 的实测日增量，根盘会在短时间内写满，才收紧轮转。30 天 critical，90 天 high。这是告警线
+
+有 `docker stats` 或日志日增量时，用实测：
+
+- 内存硬限低于这一帧占用（或已有的监控峰值）才要加。单帧不是峰值，报告里写明
+- 硬限远高于占用，不是问题，不要为了贴近下表去改小
+- 日志配额按日增量和根盘剩余算。`max-size × max-file × 容器数` 本身就能占掉根盘约 5% 以上，说明天花板太高，是 high。5% 是安全天花板，不是目标占用
+
+没有占用、也没有日志增量（服务刚起）时，才用下面的冷启动先验。服务跑起来之后以实测替换，不把先验写回本文件。
+
+**冷启动先验：内存（没有实测时才用）**
 
 | 宿主总内存 | Backend mem_limit | Postgres mem_limit / shm_size / shared_buffers / effective_cache_size | Redis mem_limit / maxmemory |
 |-----------|-------------------|--------------------------------------------------------------------|----------------------------|
@@ -118,83 +135,70 @@
 | 8 GB | 2g | 2g / 512m / 512MB / 1536MB | 768m / 512mb |
 | 16 GB | 4g | 4g / 1g / 1GB / 3GB | 1g / 700mb |
 
-**配比原则**
+比例只解释这张先验怎么来的：硬限合计大约留出 OS 余量；Postgres `shared_buffers` 约容器硬限的 25%，`effective_cache_size` 约 75%；Redis `maxmemory` 约容器硬限的 70%，其余给 fork 时的写时复制。实测对不上就丢掉整行。
 
-- 容器 `mem_limit` 合计 ≤ 宿主总内存的 **65%**（预留 OS / 全局 nginx / 监控 agent / frpc 等）
-- Postgres `shared_buffers` = 容器 `mem_limit` 的 **25%**
-- Postgres `effective_cache_size` = 容器 `mem_limit` 的 **75%**
-- Redis `maxmemory` = 容器 `mem_limit` 的 **70%**（剩 30% 给 RDB/AOF fork 时 COW 留 buffer）
-- Redis `mem_limit` = `maxmemory ÷ 0.7` 向上取整
-
-**对比报告格式（主 Claude 在报告里生成）**
+**对比报告格式**
 
 ```
-| 服务 | 配置项 | 推荐(基于 X GB 宿主) | 当前 | 状态 |
-|------|--------|--------------------|------|------|
-| backend | mem_limit | 1g | 无 | ❌ 缺失 |
-| db | mem_limit | 1g | 1g | ✅ |
-| db | shared_buffers | 256MB | 128MB(默认) | ⚠️ 偏低 |
-| db | shm_size | 256m | 64m(默认) | ⚠️ 偏低 |
-| redis | maxmemory | 256mb | 256mb | ✅ |
-| redis | mem_limit | 384m | 384m | ✅ |
-| redis | appendonly | yes | no | ⚠️ 重启丢数据 |
+| 服务 | 配置项 | 本次实测 | 当前硬限 | 状态 |
+|------|--------|----------|----------|------|
+| backend | mem | stats 420MiB（单帧） | 无 | 缺上限 |
+| db | mem | stats 300MiB（单帧） | 1g | 硬限高于实测 |
+| db | shared_buffers | — | 超过宿主 50% | 撞上天花板 |
+| redis | maxmemory | 当前占用 | 0 | 未设 |
 ```
 
-**严重等级标记规则**
+没有实测的新机器，在「本次实测」列写「无，用冷启动先验 &lt;数字&gt;」，并注明服务跑起来后要重测。
+
+**严重等级**
 
 | 检查项 | 期望值 | 严重级 |
 |--------|--------|--------|
-| 关键服务（redis / postgres / mysql / mongo / clickhouse / elasticsearch）容器无 `mem_limit` | 已设置 | high |
-| Redis `--maxmemory` 未设置或 `0` | 已设置 | **critical** |
-| Postgres `shared_buffers` > 宿主总内存 50% | ≤ 宿主总内存 50% | high |
-| Postgres `shm_size` < 128m | ≥ 256m | medium |
-| Redis 未启用 AOF（`--appendonly yes`） | yes | medium |
-| 容器 `mem_limit` 合计 > 宿主总内存 75% | ≤ 65% | high |
-| `mem_limit` 偏离推荐表 ±50% 以上（主 Claude 判定） | 在分级表区间内 | medium |
+| 关键服务容器无 `mem_limit` | 已设置 | high |
+| 硬限低于本次 `docker stats` 占用 | 硬限高于实测 | high |
+| Redis `--maxmemory` 未设置或 `0` | 已设置，且小于容器 `mem_limit` | **critical** |
+| Postgres `shared_buffers` > 宿主总内存 50% | 不超过 | high |
+| Redis 未启用 AOF（`--appendonly yes`） | 按持久化需求，不是配额 | medium |
+| 容器 `mem_limit` 合计 > 宿主总内存 75% | 不超过。低于 75% 不要求再贴近某个比例 | high |
+
+偏离冷启动先验表 **不是** 违规。
 
 ---
 
-### 日志大小推荐分级表（防容器日志无限增长撑爆磁盘）
+### 日志轮转
 
-依据是 `<根盘容量>` × `<容器规模>`,**单容器最大日志占用 = `max-size` × `max-file`**;所有容器日志合计应 ≤ 根盘可用空间的 **5%**(留磁盘给数据/swap/OS)。
+有日增量时用增速和根盘剩余决定 `max-size` / `max-file`。没有增量时才看冷启动先验。
 
-**daemon 兜底配置(`/etc/docker/daemon.json` `log-opts`)**
+**冷启动先验：daemon `log-opts`（没有日志增量时才用）**
 
 | 宿主规格 | 根盘 | 容器数(估) | `max-size` | `max-file` | 单容器 quota | 备注 |
 |---------|------|-----------|------------|-----------|-------------|------|
-| 入门 | < 50 GB | 任意 | `10m` | `3` | ~30 MB | 2-4 GB VM 入门款,日志少留磁盘 |
-| 标准 | 50-150 GB | ≤ 5 | `50m` | `5` | ~250 MB | 4-8 GB VM 通用 |
-| 标准 | 50-150 GB | > 5 | `20m` | `5` | ~100 MB | 容器多则降单容器 quota |
-| 大型 | > 150 GB | 任意 | `100m` | `5` | ~500 MB | 16+ GB 服务器,空间充裕 |
-
-**容器级覆盖(compose `logging.options`,优先于 daemon)**
+| 入门 | < 50 GB | 任意 | `10m` | `3` | ~30 MB | 盘小，先验从紧 |
+| 标准 | 50-150 GB | ≤ 5 | `50m` | `5` | ~250 MB | 无增速时的起点 |
+| 标准 | 50-150 GB | > 5 | `20m` | `5` | ~100 MB | 容器多，先验收紧 |
+| 大型 | > 150 GB | 任意 | `100m` | `5` | ~500 MB | 无增速时的起点 |
 
-| 容器类型 | `max-size` | `max-file` | 理由 |
-|---------|-----------|-----------|------|
-| 数据库 (postgres / mysql / mongo) | `20m` | `10` | 慢查询日志价值高,保留更多滚动 |
-| Web 反代 (nginx access log 走 stdout) | `50m` | `5` | 写入量大,单文件可放宽 |
-| 应用后端 (FastAPI / Node 等) | `10m` | `5` | 通用 |
-| Redis / 缓存类 | `10m` | `3` | 写入少,保留少 |
+容器级 `logging.options` 盖过 daemon。库、反代、应用的保留条数不一样，同样只在没有该容器增速时参考，不作为合格线。
 
-**daemon.json 模板**
+字段写法示例（数字不是目标配额）：
 
 ```json
 {
   "log-driver": "json-file",
   "log-opts": {
-    "max-size": "50m",
-    "max-file": "5",
+    "max-size": "<当次算出的大小>",
+    "max-file": "<当次算出的个数>",
     "compress": "true"
   }
 }
 ```
 
-**严重等级标记(脚本侧 + 主 Claude 对照表)**
+**严重等级**
 
 | 判定 | 严重级 |
 |------|--------|
 | daemon 无 `log-opts.max-size` 且容器也无 `LogConfig.Config` | **critical** |
-| daemon `max-size` > 推荐档 50% 以上(如根盘 < 50 GB 用 100m) | high |
-| 容器无 `LogConfig.Config` 但 daemon 有兜底 | OK(走 daemon) |
-| 容器 `LogConfig.Config` 设了但 max-size 偏离推荐档 ±50% | medium |
-| 估算所有容器日志合计 > 根盘可用 5% | high |
+| 容器无单独 `LogConfig.Config`，daemon 已有上限 | 通过（走 daemon） |
+| `max-size × max-file × 容器数` > 根盘约 5% | high（配额天花板太高） |
+| 按实测日增量，不足 90 天写满根盘 | high；不足 30 天为 **critical** |
+| 当前 `max-size` 与冷启动先验不同 | 不是问题 |

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/scripts/check_base.sh

@@ -30,7 +30,16 @@ for cmd in nginx postgres psql redis-cli docker openssl ufw firewall-cmd iptable
 done
 
 echo "--- PUBLIC IP (best effort) ---"
-curl -fsS --max-time 5 https://api.ipify.org 2>/dev/null || hostname -I | awk '{print $1}'
+# 回显地址是先验。一个失败换下一个。全部失败印 unknown。禁止用 hostname -I 的内网地址冒充公网 IP。
+PUB_IP=""
+for url in https://api.ipify.org https://ifconfig.me/ip https://icanhazip.com; do
+  PUB_IP=$(curl -fsS --max-time 5 "$url" 2>/dev/null | tr -d '[:space:]')
+  if printf '%s' "$PUB_IP" | grep -Eq '^[0-9]{1,3}(\.[0-9]{1,3}){3}$'; then
+    break
+  fi
+  PUB_IP=""
+done
+echo "${PUB_IP:-unknown}"
 echo
 
 echo "--- USER & SUDO ---"

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/scripts/check_capacity.sh

@@ -1,8 +1,9 @@
 #!/usr/bin/env bash
 # 硬件规格识别 + 当前服务资源配置盘点 (只读)
 #
-# 输出 raw data, 由主 Claude 对照 SKILL.md 4.10 的推荐分级表生成
-# "推荐 vs 当前" 对比报告。
+# 输出实测：硬件、硬限、docker stats 单帧、日志配额。
+# 分级数字只是没有实测时的冷启动先验，见 checks-runtime.md 4.10。
+# 不要因为当前值没贴近先验就判失败。
 #
 # 检查范围:
 #   - 宿主硬件: CPU 核数 / 总内存 / 根盘容量 / swap
@@ -26,7 +27,7 @@ MEM_TOTAL_MB=$(( ${MEM_TOTAL_KB:-0} / 1024 ))
 MEM_AVAIL_MB=$(( ${MEM_AVAIL_KB:-0} / 1024 ))
 SWAP_TOTAL_MB=$(( ${SWAP_TOTAL_KB:-0} / 1024 ))
 
-# 推荐分档(对齐 SKILL.md 4.10 的 2/4/8/16 GB 表)
+# 冷启动分档。有 docker stats 时不用这档决定 mem_limit。
 if   [[ $MEM_TOTAL_MB -ge 14000 ]]; then TIER="16GB"
 elif [[ $MEM_TOTAL_MB -ge 7000  ]]; then TIER="8GB"
 elif [[ $MEM_TOTAL_MB -ge 3500  ]]; then TIER="4GB"
@@ -39,7 +40,7 @@ echo "CPU 型号: ${CPU_MODEL:-unknown}"
 echo "总内存:   ${MEM_TOTAL_MB} MB"
 echo "可用内存: ${MEM_AVAIL_MB} MB"
 echo "Swap:     ${SWAP_TOTAL_MB} MB"
-echo "推荐分档: ${TIER} (主 Claude 据此查推荐表)"
+echo "冷启动分档: ${TIER} (没有占用数据时才参考先验表)"
 
 echo ""
 echo "--- 根盘容量 ---"
@@ -90,6 +91,8 @@ echo "--- 容器实际内存占用 (docker stats 单帧) ---"
 timeout 8 docker stats --no-stream --format \
   'table {{.Name}}\t{{.MemUsage}}\t{{.MemPerc}}\t{{.CPUPerc}}' 2>/dev/null \
   || echo "[i] docker stats 超时或不可用"
+# 单帧不是峰值。硬限低于这一帧才算不够；远高于这一帧不必改到先验表。
+echo "[i] 单帧采样不是峰值。有监控历史用峰值。没有数据时才用冷启动先验，不要为贴近先验表改硬限。"
 
 echo ""
 echo "--- Postgres 启动参数 (从 docker inspect Args 提取) ---"
@@ -116,10 +119,10 @@ for c in $(docker ps -q 2>/dev/null); do
     # 从 docker inspect 取 shm_size (Postgres 关键)
     shm=$(docker inspect -f '{{.HostConfig.ShmSize}}' "$c" 2>/dev/null)
     shm_mb=$(( shm / 1024 / 1024 ))
-    if [[ "$shm_mb" -lt 128 ]]; then
-      echo "  [!] MEDIUM: shm_size=${shm_mb}m 偏低 (大查询可能 'no space left on /dev/shm', 推荐 >=256m)"
-    else
-      echo "  [OK] shm_size=${shm_mb}m"
+    # 64m 是 Docker 默认。没有 /dev/shm 写满的证据时，不把 256m 当合格线。
+    echo "  shm_size=${shm_mb}m"
+    if [[ "$shm_mb" -lt 64 ]]; then
+      echo "  [i] shm_size 低于 Docker 默认 64m。仅当日志出现 no space left on /dev/shm 时再加大，不预设 256m"
     fi
 
     # 校验 shared_buffers 是否过大
@@ -200,14 +203,14 @@ for f in $COMPOSE_FILES; do
 done
 
 echo ""
-echo "--- 日志兜底推荐档 (基于根盘 + 容器规模, 对照 SKILL.md 4.10) ---"
+echo "--- 日志上限 (冷启动先验，不是目标配额) ---"
 ROOT_TOTAL_MB=$(df -BM --output=size / 2>/dev/null | tail -1 | tr -d ' M')
 ROOT_TOTAL_GB=$(( ${ROOT_TOTAL_MB:-0} / 1024 ))
 RUNNING_COUNT=$(docker ps -q 2>/dev/null | wc -l | tr -d ' ')
 echo "根盘容量: ${ROOT_TOTAL_GB} GB"
 echo "运行容器数: ${RUNNING_COUNT}"
 
-# 推荐档分级
+# 没有日志日增量时的起点。有 check_logs 的增速就用增速，不要改成跟这里一致。
 if   [[ $ROOT_TOTAL_GB -lt 50 ]];   then REC_TIER="入门"; REC_SIZE="10m"; REC_FILE="3"
 elif [[ $ROOT_TOTAL_GB -lt 150 ]]; then
   REC_TIER="标准"
@@ -215,8 +218,7 @@ elif [[ $ROOT_TOTAL_GB -lt 150 ]]; then
   else                                REC_SIZE="50m"; REC_FILE="5"; fi
 else REC_TIER="大型"; REC_SIZE="100m"; REC_FILE="5"
 fi
-echo "推荐档: ${REC_TIER}"
-echo "推荐 daemon log-opts: max-size=${REC_SIZE}, max-file=${REC_FILE}, compress=true"
+echo "冷启动先验档: ${REC_TIER} (无日志增量时才参考 max-size=${REC_SIZE}, max-file=${REC_FILE})"
 
 # 拿当前 daemon.json log-opts (复用 check_docker.sh 的逻辑)
 DAEMON_JSON=$(sudo -n cat /etc/docker/daemon.json 2>/dev/null \
@@ -227,13 +229,11 @@ CUR_FILE=$(echo "$DAEMON_JSON" | grep -oE '"max-file"[[:space:]]*:[[:space:]]*"[
             | head -1 | grep -oE '"[^"]+"$' | tr -d '"')
 echo "当前 daemon.json: max-size=${CUR_SIZE:-(未配置)}, max-file=${CUR_FILE:-(未配置)}"
 
-# 简单对比标记
+# 缺上限才是问题。和先验档相同或不同都不表示配额正确。
 if [[ -z "$CUR_SIZE" ]]; then
   echo "[!!!] CRITICAL: daemon 无 log-opts.max-size, 长跑容器日志会无限增长"
-elif [[ "$CUR_SIZE" == "$REC_SIZE" ]]; then
-  echo "[OK] max-size 与推荐档一致"
 else
-  echo "[i] 当前 max-size=${CUR_SIZE} 与推荐档 ${REC_SIZE} 不同 (主 Claude 据 SKILL.md 4.10 判定是否偏离 50%)"
+  echo "[i] 已有 max-size=${CUR_SIZE} max-file=${CUR_FILE:-(未配置)}。与冷启动先验不同不是问题，按日志增速判断。"
 fi
 
 # 估算所有容器日志合计 quota = max-size × max-file × 容器数, 看占根盘比
@@ -250,15 +250,15 @@ if [[ -n "$CUR_SIZE" ]]; then
   total_quota_mb=$(( ${size_mb:-0} * file_n * RUNNING_COUNT ))
   if [[ "$ROOT_TOTAL_MB" -gt 0 ]]; then
     pct=$(( total_quota_mb * 100 / ROOT_TOTAL_MB ))
-    echo "所有容器最大日志 quota 合计: ${total_quota_mb} MB (占根盘 ${pct}%, 期望 < 5%)"
+    echo "所有容器最大日志 quota 合计: ${total_quota_mb} MB (占根盘 ${pct}%)"
     if [[ "$pct" -gt 5 ]]; then
-      echo "[!!] HIGH: 日志 quota 合计 ${pct}% 已超根盘 5% 上限"
+      echo "[!!] HIGH: 配额天花板占根盘 ${pct}%。5% 是安全上限，超过说明 max-size/max-file 过大，不是叫你改成先验档的 10m/50m"
     fi
   fi
 fi
 
 echo ""
-echo "--- 资源占比汇总 (供 Claude 校验 65% 上限规则) ---"
+echo "--- 内存硬限占宿主比 (75% 是安全天花板，不是目标利用率) ---"
 echo "宿主总内存: ${MEM_TOTAL_MB} MB"
 TOTAL_LIMIT_MB=$(docker ps -q 2>/dev/null \
   | xargs -I{} docker inspect -f '{{.HostConfig.Memory}}' {} 2>/dev/null \
@@ -268,11 +268,9 @@ if [[ "$MEM_TOTAL_MB" -gt 0 ]]; then
   pct=$(( TOTAL_LIMIT_MB * 100 / MEM_TOTAL_MB ))
   echo "占宿主总内存: ${pct}%"
   if [[ "$pct" -gt 75 ]]; then
-    echo "[!!] HIGH: 容器硬限合计 > 75% 宿主内存, OS/nginx/监控 留 buffer 不足"
-  elif [[ "$pct" -lt 30 ]]; then
-    echo "[i] INFO: 容器硬限合计 < 30%, 可能资源利用不足"
+    echo "[!!] HIGH: 容器硬限合计 > 75% 宿主内存, OS 没有余量"
   else
-    echo "[OK] 容器硬限合计在 30%-75% 区间"
+    echo "[i] 硬限合计 ${pct}%。不要求贴近 65%。硬限低于上面的 docker stats 才要加"
   fi
 fi
 REMOTE

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/scripts/check_db.sh

@@ -139,7 +139,15 @@ fi
 
 echo ""
 echo "########## 公网可达性自测 ##########"
-PUB_IP=$(curl -fsS --max-time 5 https://api.ipify.org 2>/dev/null)
+# 与 check_base.sh 同一原则：回显地址是先验，失败换下一个，禁止用内网地址顶上。
+PUB_IP=""
+for url in https://api.ipify.org https://ifconfig.me/ip https://icanhazip.com; do
+  PUB_IP=$(curl -fsS --max-time 5 "$url" 2>/dev/null | tr -d '[:space:]')
+  if printf '%s' "$PUB_IP" | grep -Eq '^[0-9]{1,3}(\.[0-9]{1,3}){3}$'; then
+    break
+  fi
+  PUB_IP=""
+done
 echo "公网 IP (best effort): ${PUB_IP:-unknown}"
 if [[ -n "$PUB_IP" ]]; then
   echo "[i] 注意: 真实公网可达性需从外网测试,此处仅本机视角"

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/scripts/check_docker.sh

@@ -43,7 +43,7 @@ docker ps --format "{{.Names}}|{{.Ports}}" 2>/dev/null | while IFS='|' read -r n
 done
 
 echo ""
-echo "--- 镜像 tag 分级检查 (生产期望: 固定到具体 patch, 跑 /dwy-docker 选 N-1 minor) ---"
+echo "--- 镜像 tag 分级检查 (生产期望: 固定到具体 patch, 跑 /dwy-docker 按当次 tag 列表选) ---"
 # 浮动 tag 黑名单 (无版本号或仅描述类的)
 FLOATING_TAGS='^(latest|stable|mainline|edge|current|alpine|slim|bookworm|bullseye|buster|jammy|focal|noble|nightly)$'
 docker ps --format "{{.Names}}|{{.Image}}" 2>/dev/null | while IFS='|' read -r name image; do
@@ -87,7 +87,7 @@ docker ps --format "{{.Names}}|{{.Image}}" 2>/dev/null | while IFS='|' read -r n
   fi
 done
 echo ""
-echo "[i] 修复:对每条 [!!!] / [!!] / [!] 的镜像,跑 /dwy-docker 用 query_dockerhub.py 拿 N-1 minor 推荐版本"
+echo "[i] 修复:对每条 [!!!] / [!!] / [!] 的镜像,跑 /dwy-docker 按当次 tag 列表固定版本。query_dockerhub.py 只是 Hub 先验"
 
 echo ""
 echo "--- 容器是否以 root 运行 ---"
@@ -169,7 +169,7 @@ echo "max-size:   ${LOG_MAX_SIZE:-(未配置, 单容器日志可无限增长)}"
 echo "max-file:   ${LOG_MAX_FILE:-(未配置)}"
 if [[ -z "$LOG_MAX_SIZE" ]]; then
   echo "[!!] HIGH: 未限制单容器日志大小,长跑容器可能写满磁盘"
-  echo "      建议: daemon.json 加 \"log-opts\": {\"max-size\": \"100m\", \"max-file\": \"3\"}"
+  echo "      建议: daemon.json 的 log-opts 写上 max-size 和 max-file。数字按 check_logs 的日增量和根盘剩余，没有增速才用冷启动先验，不要写死 100m"
 fi
 
 echo ""
@@ -177,39 +177,36 @@ echo "--- docker compose 文件位置 (用于人工核查) ---"
 sudo -n find /home /opt /srv /root -maxdepth 5 \( -name "docker-compose*.yml" -o -name "compose.yml" \) 2>/dev/null | head -10
 
 echo ""
-echo "--- 镜像源加速检查 (国内服务器拉境外镜像必装) ---"
-# a. 时区判定 (粗判境内)
+echo "--- 镜像源 (候选名单不是合格线) ---"
+# a. 时区只说明要不要考虑公网加速，不决定哪个源合格
 TZ_VAL=$(timedatectl show -p Timezone --value 2>/dev/null || readlink -f /etc/localtime 2>/dev/null | sed 's|.*/zoneinfo/||')
 echo "服务器时区: ${TZ_VAL:-unknown}"
 LIKELY_CN=0
 case "$TZ_VAL" in
   Asia/Shanghai|Asia/Chongqing|Asia/Urumqi|Asia/Harbin|Asia/Hong_Kong|PRC) LIKELY_CN=1 ;;
 esac
-[[ "$LIKELY_CN" == "1" ]] && echo "→ 时区在 PRC, 拉境外 registry 不加速会非常慢" \
-                          || echo "→ 时区非 PRC, 加速可选"
+[[ "$LIKELY_CN" == "1" ]] && echo "→ 时区在 PRC。拉 docker.io 前先探测，私有库不参加公网竞速" \
+                          || echo "→ 时区非 PRC。加速可选"
 
 # b. daemon.json registry-mirrors
+# 主机名在候选名单里不等于通过。合格要看当次 Registry 请求的内容和延迟。
 echo ""
 MIRRORS=$(echo "$DAEMON_JSON" | grep -oE '"registry-mirrors"[[:space:]]*:[[:space:]]*\[[^]]*\]' | head -1)
 if [[ -n "$MIRRORS" ]]; then
   echo "daemon registry-mirrors:"
   echo "  $MIRRORS"
-  # 简单识别推荐源
   echo "$MIRRORS" | grep -oE 'https?://[a-zA-Z0-9.-]+' | while read u; do
     case "$u" in
       *daocloud*|*aliyun*|*aliyuncs*|*ustc*|*tsinghua*|*163*|*tencent*|*huaweicloud*)
-        echo "    [OK] $u (国内加速源)" ;;
+        echo "    [i]  $u (在候选名单里，未测延迟和内容)" ;;
       *)
-        echo "    [i]  $u (非已知国内主流源, 确认是否仍可用)" ;;
+        echo "    [i]  $u (名单外。私有库或用户指定源保持不动；公网源要当次探测)" ;;
     esac
   done
 else
-  if [[ "$LIKELY_CN" == "1" ]]; then
-    echo "[!!] HIGH: daemon.json 未配 registry-mirrors, 国内服务器拉 docker.io 镜像会非常慢"
-  else
-    echo "[i] daemon.json 未配 registry-mirrors (境外服务器一般不需要)"
-  fi
-  echo "      修复: 跑 /dwy-mirror-source 自动写入阿里云/中科大/daocloud 镜像源"
+  echo "[i] daemon.json 未配 registry-mirrors"
+  echo "    拉的是 docker.io 公网时，跑 /dwy-mirror-source，当次探测后按延迟从低到高写入"
+  echo "    不要因为没写 daocloud 判失败。私有库或用户指定源不参加公网竞速"
 fi
 
 # c. 当前运行中容器使用的境外 registry (registry-mirrors 仅对 docker.io 生效)
@@ -231,21 +228,20 @@ docker ps --format "{{.Names}}|{{.Image}}" 2>/dev/null | while IFS='|' read -r n
 
   case "$registry" in
     docker.io)
-      tag="OK 走 daemon registry-mirrors 加速"
-      [[ -z "$MIRRORS" && "$LIKELY_CN" == "1" ]] && tag="[!!] 未配 mirror 国内拉取慢"
+      tag="[i] docker.io。加速是否最快看当次探测，不看名单里有没有源"
       ;;
     gcr.io|ghcr.io|k8s.gcr.io|registry.k8s.io|quay.io|mcr.microsoft.com|nvcr.io|docker.elastic.co)
       if [[ "$LIKELY_CN" == "1" ]]; then
-        tag="[!!] HIGH 境外 registry, registry-mirrors 不生效, 必须把 image 名改 *.m.daocloud.io 前缀"
+        tag="[!!] HIGH 境外 registry, registry-mirrors 不生效, 跑 /dwy-mirror-source 选当次延迟最低且内容正确的前缀"
       else
         tag="[i] 境外 registry"
       fi
       ;;
     *daocloud*|*aliyun*|*aliyuncs*|*ustc*)
-      tag="[OK] 已用国内镜像前缀"
+      tag="[i] 用了候选前缀，未测是否本次最快"
       ;;
     *)
-      tag="[i] 自建/私有 registry"
+      tag="[i] 自建/私有 registry，不参加公网竞速"
       ;;
   esac
   printf "  %-32s registry=%-32s %s\n" "$name" "$registry" "$tag"
@@ -253,7 +249,7 @@ done
 
 echo ""
 echo "[i] 修复路径:"
-echo "      1. docker.io 加速  → /dwy-mirror-source 自动配 daemon registry-mirrors"
-echo "      2. gcr/ghcr/k8s    → 把 image 改 <registry>.m.daocloud.io 前缀, 见 dwy-mirror-source 镜像替换表"
-echo "      3. 镜像版本不固定  → /dwy-docker 选 N-1 minor 重新固定"
+echo "      1. docker.io 加速  → /dwy-mirror-source 当次探测后按延迟排序写入 registry-mirrors"
+echo "      2. gcr/ghcr/k8s    → 把 image 改成当次延迟最低的前缀, 候选见 dwy-mirror-source"
+echo "      3. 镜像版本不固定  → /dwy-docker 按当次 tag 列表固定，N-1 只是偏好"
 REMOTE

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/scripts/check_logs.sh

@@ -190,9 +190,9 @@ echo "估算 Docker 日志日均增量: ${GROWTH_MB} MB/day (基于容器存活
 if [[ "$GROWTH_MB" -gt 0 && "$ROOT_FREE_MB" -gt 0 ]]; then
   DAYS=$(( ROOT_FREE_MB / GROWTH_MB ))
   echo "按当前增速预计可撑: ${DAYS} 天 (粗估, 仅算 docker json-log)"
-  if   [[ "$DAYS" -lt 30 ]]; then echo "[!!!] CRITICAL: 不足 30 天, 必须立即配 log-opts 或扩盘"
-  elif [[ "$DAYS" -lt 90 ]]; then echo "[!!] HIGH: 不足 90 天, 建议尽快补 log-opts max-size"
-  else echo "[OK] 撑天数 >= 90 天"
+  if   [[ "$DAYS" -lt 30 ]]; then echo "[!!!] CRITICAL: 按当前增速不足 30 天写满根盘。先确认已有 max-size；配额按这条增速收紧或扩盘，不要套用固定的 10m/50m/100m"
+  elif [[ "$DAYS" -lt 90 ]]; then echo "[!!] HIGH: 按当前增速不足 90 天写满根盘。30/90 天是告警线，不是要配成的保留天数"
+  else echo "[i] 按当前增速撑过 90 天。90 天是告警线，不是目标配额"
   fi
 else
   echo "[i] 无法估算日均增量 (容器刚起或无日志)"

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/dwy-doubao-tts/SKILL.md

@@ -18,8 +18,10 @@ description: >
 1. **私人配置唯一位置**：`~/.dwy/config.yaml`（权限 `600`），豆包段为顶层 key `doubao_tts`
 2. **禁止**把 `api_key`、音色 ID 写入 skill、项目、commit；禁止回显完整 Key
 3. 输出音频默认 `doubao_tts.output_dir`（默认 `~/Movies/doubao-tts`），不落到仓库内
-4. 模型资源：`X-Api-Resource-Id: seed-icl-2.0`
-5. 接口：`POST https://openspeech.bytedance.com/api/v3/tts/unidirectional`
+
+## 当前接口先验
+
+写作时可用的资源是 `seed-icl-2.0`，地址是 `POST https://openspeech.bytedance.com/api/v3/tts/unidirectional`。真正调用以 `~/.dwy/config.yaml` 的 `resource_id` 和 `endpoint` 为准。返回 4xx、模型下线或连不上时，查火山引擎控制台当前文档和账号已开通资源，换可用地址和资源 ID。不要把查到的新地址写回本 skill。结束码 `20000000`、`speech_rate` / `loudness_rate` 的 `[-50,100]` 只属于这条先验接口，换接口后以新文档为准。
 
 ## 全局配置约定（`~/.dwy/config.yaml`）
 

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/dwy-doubao-tts/references/api.md

@@ -1,6 +1,6 @@
 # 豆包单向流式 TTS（HTTP Chunked）摘要
 
-权威字段以火山引擎控制台文档为准。实现以 `scripts/synthesize.py` 为准。
+权威字段以火山引擎控制台文档为准。实现以 `scripts/synthesize.py` 为准。下面的地址、`seed-icl-2.0`、结束码和取值范围是当前先验。调用失败或模型下线就换控制台当前文档，不要把新地址写回本文件。
 
 ## 配置
 

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/dwy-doubao-tts/scripts/synthesize.py

@@ -206,6 +206,7 @@ def synthesize(
     timeout: int,
 ) -> dict[str, Any]:
     """发单向流式请求，拼接 base64 音频并落盘。"""
+    # 配置缺字段时才用当前先验。4xx 或模型下线不要死磕这两条，改查火山控制台文档。
     endpoint = cfg.get("endpoint") or "https://openspeech.bytedance.com/api/v3/tts/unidirectional"
     resource_id = cfg.get("resource_id") or "seed-icl-2.0"
     speaker = speaker_id(cfg, voice_key)

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/media-platform-packaging/SKILL.md

@@ -35,13 +35,15 @@ description: |
 
 ## 平台文案规则
 
+字数上限和标签分隔符是各平台当前发布页的先验。交付前以该平台此刻的输入限制为准。页面改了上限或分隔符，按页面改文案。不要用 20、16 或英文逗号把一份文案判失败，也不要把新上限写回本文件。
+
 | 平台 | 标题策略 | 简介与标签 |
 |---|---|---|
 | B站 | 主题 + 明确收益；长度不强行压缩 | 用开场问题、内容范围、一个边界或收获；4–7 个 `#标签` |
-| YouTube | 主题 + 明确收益；长度不强行压缩 | 用开场问题、内容范围、一个边界或收获；标签字段使用多个关键词，并以**英文逗号**分隔，例如 `AI education, large language models, Transformer` |
+| YouTube | 主题 + 明确收益；长度不强行压缩 | 用开场问题、内容范围、一个边界或收获；标签字段当前先验是不用 `#`、多个关键词用英文逗号分隔，例如 `AI education, large language models, Transformer` |
 | 抖音 | 问题或反常识钩子优先 | 1–2 句，强调观看收益；3–6 个标签 |
-| 小红书 | **必须不超过 20 个汉字（标点计入）**；先写“小白也能懂”或直接收益 | 2–4 句，口语、可保存；5–8 个标签 |
-| 微信视频号 | **必须不超过 16 个字符（中文、英文、数字与标点均计入）**；优先“人群 + 主题/收益” | 1–2 句，直接说明看完能获得什么；3–5 个标签 |
+| 小红书 | 当前上限先验：20 个汉字（标点计入）。先写“小白也能懂”或直接收益 | 2–4 句，口语、可保存；5–8 个标签 |
+| 微信视频号 | 当前上限先验：16 个字符（中文、英文、数字与标点均计入）。优先“人群 + 主题/收益” | 1–2 句，直接说明看完能获得什么；3–5 个标签 |
 
 避免“保姆级”“秒变专家”“全网最全”等空泛承诺。标题、封面主字和简介可以分工，不能机械重复。
 
@@ -118,8 +120,8 @@ description: |
 
 ## 交付前检查
 
-- [ ] 小红书标题 ≤20 字。
-- [ ] 微信视频号标题 ≤16 字（标点计入）。
+- [ ] 小红书标题不超过该平台当前标题上限。页面上读不到限制时，用先验 20 字（标点计入）。
+- [ ] 微信视频号标题不超过该平台当前标题上限。页面上读不到限制时，用先验 16 字（标点计入）。
 - [ ] 每个封面只含一个主标题，且与缩略图尺寸匹配。
 - [ ] 16:9、4:3、3:4 是独立构图，不是同图硬裁。
 - [ ] 已核对并报告每张图片的像素比例与保存路径。

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/media-platform-packaging/references/platform-copy-examples.md

@@ -1,8 +1,10 @@
 # 平台文案示例
 
+字数和标签分隔符跟 `SKILL.md` 一样，是当前发布页的先验。页面限制变了，以页面为准。
+
 ## 小红书标题长度
 
-计算 Unicode 字符数，标点也计入。上限 20。
+计算 Unicode 字符数，标点也计入。当前上限先验 20。
 
 | 合格示例 | 字符数 |
 |---|---:|
@@ -11,7 +13,7 @@
 
 ## 微信视频号标题长度
 
-计算 Unicode 字符数，中文、英文、数字和标点均计入；上限 16。
+计算 Unicode 字符数，中文、英文、数字和标点均计入。当前上限先验 16。
 
 | 合格示例 | 字符数 |
 |---|---:|
@@ -20,7 +22,7 @@
 
 ## YouTube 标签格式
 
-YouTube 的标签字段不使用 `#`，多个标签必须用英文逗号分隔：
+YouTube 标签字段的当前先验：不用 `#`，多个标签用英文逗号分隔。发布页改了分隔符就跟页面走：
 
 ```text
 AI education, large language models, Transformer, generative AI