create-dwy 0.19.0 → 0.20.0

package/templates/ai-tools/rules/Vue/dwy-vue-layering.md

@@ -0,0 +1,153 @@
+---
+description: Vue 四层分包与依赖方向（Assembly / Features / BizFoundation / Foundation）；pnpm catalog 根锁定第三方版本
+paths:
+  - "**/*.vue"
+  - "**/*.ts"
+  - "**/package.json"
+  - "**/pnpm-workspace.yaml"
+---
+
+# Vue 四层架构与依赖
+
+适用于 pnpm workspace 的 Vue 3 应用。组件 / 路由 / Pinia 写法见 `dwy-vue-core` / `dwy-vue-pinia`。本文件只管**层、引用边、版本写在哪**。
+
+单壳项目**不建** PlatformFoundation。
+
+---
+
+## 一、层名（冻结）
+
+正式层名只有下表四个。目录 / 包可以叫 `apps/web`、`packages/biz-foundation`，文档可写「本仓包名 X = Foundation」。**禁止**把 `Domain` / `infra` / `core` 当层名。
+
+| 层 | 判定（只用这一条） | 禁止 |
+|---|---|---|
+| **Foundation** | 换一个完全不同的产品仍原样拿走 | 出现本业务名词 |
+| **BizFoundation** | 本产品才有，但跨多个 Feature 都要用 | 页面、导航、某一端壳状态 |
+| **Features** | 可整包删/裁剪的业务域 | 被其他 Feature 直接引用 |
+| **Assembly** | 生命周期、DI、路由挂载、把实现插进 Protocol | 业务规则、业务计算 |
+
+升层：第二个 Feature 或第二个产品**真在用**，才升到 BizFoundation / Foundation。禁止「可能复用」提前抽。
+
+业务内聚：一个业务域 = `packages/features/` 下的一个包。域内 `api.ts` / `store.ts` / `types.ts` / `route.ts` / `views/` 聚在一起。禁止全局 `views/` `stores/` `api/`。
+
+项目专用、绝不跨项目的页面可放 `apps/web/src/features/`，**依赖边与 `packages/features/*` 相同**：禁止互引、禁止 import `packages/foundation`。
+
+---
+
+## 二、依赖边（强制）
+
+```
+apps/web → packages/features/* → packages/biz-foundation → packages/foundation
+                  ✕ 互引
+```
+
+| 谁 | 允许依赖 | 禁止 |
+|---|---|---|
+| `apps/web` | `features/*`、`biz-foundation`、`foundation`（仅装配 http 单例） | 业务计算写在壳里 |
+| `@acme/orders` | 仅 `@acme/biz-foundation` + catalog 第三方 | `@acme/inventory`、`@/` 宿主路径、`@acme/foundation` |
+| `@acme/biz-foundation` | 仅 `@acme/foundation` | `apps/web`、任何 Feature |
+| `@acme/foundation` | catalog 第三方 | 任何业务包、Vue Router 业务路由 |
+
+**Feature 互引为零。** 跨域只许三种：升到 `biz-foundation`；Feature 导出工厂 / Options，由 `apps/web` 注入回调；壳编排两个页面。
+
+可复用 Feature **禁止** `import { useXxxStore } from '@/stores/...'`。宿主 store 由 `apps/web` 经 Options 传入。
+
+```ts
+// 合法：packages/features/orders 只认端口，不 import inventory
+export interface StockPort {
+  /** 扣库存。实现由 apps/web 注入。 */
+  deduct(sku: string, qty: number): Promise<void>
+}
+```
+
+```ts
+// 禁止
+import { useInventoryStore } from '@acme/inventory'  // Feature → Feature
+import { useAuthStore } from '@/stores/auth'         // 可复用 Feature → 宿主
+import { http } from '@acme/foundation'              // 越层；经 biz-foundation 门面
+```
+
+---
+
+## 三、分包树
+
+打开仓库必须能数出四层。业务词只出现在 `packages/features/`（或壳内 `apps/web/src/features/`）。
+
+```
+apps/
+  web/                            # Assembly
+    src/
+      main.ts
+      router.ts
+      stores/                     # 宿主 session，不放业务规则
+packages/
+  features/                       # Features
+    orders/
+      package.json
+      src/
+        api.ts
+        store.ts
+        types.ts
+        route.ts
+        views/
+    inventory/
+  biz-foundation/                 # BizFoundation
+    src/
+      auth/                       # 内容：跨 Feature 鉴权，不是一层
+      protocols.ts
+  foundation/                     # Foundation
+    src/
+      http.ts
+      format.ts
+pnpm-workspace.yaml               # catalog 只在这
+pnpm-lock.yaml
+```
+
+禁止把 `orders`、鉴权、http 工厂平铺在 `packages/` 根上，否则层不可见。
+
+```yaml
+# pnpm-workspace.yaml
+packages:
+  - apps/*
+  - packages/features/*
+  - packages/biz-foundation
+  - packages/foundation
+```
+
+---
+
+## 四、Monorepo 版本（强制）
+
+第三方版本号**只**出现在 `pnpm-workspace.yaml` 的 `catalog`。子包用 `"catalog:"`。内部包 `"workspace:*"`。选哪个版本走 skill `dwy-dependency-choice`。
+
+```yaml
+# pnpm-workspace.yaml
+catalog:
+  vue: 3.5.13
+  axios: 1.7.9
+```
+
+```json
+{
+  "name": "@acme/orders",
+  "dependencies": {
+    "vue": "catalog:",
+    "@acme/biz-foundation": "workspace:*"
+  }
+}
+```
+
+禁止子包 `"vue": "^3.5.13"`。禁止每个 Feature 各自锁 axios 版本。
+
+---
+
+## 五、检查清单
+
+| 检查项 | 严重 |
+|---|---|
+| `packages/` 根平铺业务包，看不出 `features` / `biz-foundation` / `foundation` | 高 |
+| Feature `package.json` 依赖另一 Feature | 高 |
+| 可复用 Feature import `@/stores/*` | 高 |
+| Feature 直接依赖 `@acme/foundation` | 高 |
+| 子包写死第三方版本（不用 `catalog:`） | 高 |
+| `Domain` / `infra` / `core` 当层名 | 中 |

package/templates/ai-tools/rules/iOS/dwy-apple-layering.md

@@ -0,0 +1,133 @@
+---
+description: iOS / macOS 四层分包与依赖方向（双壳 Assembly + Features / BizFoundation / Foundation）；根 Package.swift 锁定第三方版本
+paths:
+  - "**/*.swift"
+  - "**/Package.swift"
+  - "**/project.yml"
+---
+
+# Apple 四层架构与依赖
+
+适用于 iOS 17+ / macOS 14+ 的 SwiftUI 双端或单端应用。风格 / 安全区 / 国际化见 `dwy-swift-core`。本文件只管**层、引用边、版本写在哪**。
+
+单壳（只有 iPhone 或只有 Mac）**不建** PlatformFoundation。双壳且某端领域字节级不同时才加 `DesktopKit`。
+
+系统框架就叫 `Foundation`。SPM **target 禁止叫 `Foundation`**，层目录可以用这个名字。
+
+---
+
+## 一、层名（冻结）
+
+正式层名只有下表四个。目录 / target 可以叫 `AppPhone`、`BizFoundation`，文档可写「本仓 LogKit = Foundation 层的日志」。**禁止**把 `Domain` / `infra` / `core` 当层名。
+
+| 层 | 判定（只用这一条） | 禁止 |
+|---|---|---|
+| **Foundation** | 换一个完全不同的产品仍原样拿走 | 出现本业务名词 |
+| **BizFoundation** | 本产品才有，但跨多个 Feature 都要用 | 页面、导航、某一端壳状态 |
+| **Features** | 可整包删/裁剪的业务域 | 被其他 Feature 直接引用 |
+| **Assembly** | 生命周期、DI、路由挂载、把实现插进 Protocol | 业务规则、业务计算 |
+
+可选第五盒，**仅多壳**时出现：
+
+| **PlatformFoundation** | 同一业务多个壳，且某端领域字节级不同 | 被其他壳 import；塞回 BizFoundation |
+
+升层：第二个 Feature 或第二个产品**真在用**，才升到 BizFoundation / Foundation。禁止「可能复用」提前抽。禁止为了共用而抽 `AppShared` 把壳状态（Store / Session）塞进 BizFoundation。
+
+业务内聚：一个业务域 = 壳内 `Features/<Name>/`。禁止按 `Views/` `ViewModels/` 横切。目录不等于层：Features 若与壳同一 target，仍遵守互不 import 的源码边界。
+
+---
+
+## 二、依赖边（强制）
+
+```
+AppPhone  ──► Features/* ──► BizFoundation ──► Foundation 层目录（LogKit / DesignKit）
+AppDesktop ─┬► Features/*
+            ├► DesktopKit ──► BizFoundation ──► Foundation 层目录
+            └► BizFoundation
+```
+
+| 谁 | 允许 | 禁止 |
+|---|---|---|
+| `AppPhone` | `BizFoundation`、Foundation 层 target、本壳 Features | `DesktopKit`、另一壳源码 |
+| `AppDesktop` | `BizFoundation`、`DesktopKit`、Foundation 层 target、本壳 Features | `AppPhone/**/*.swift` |
+| 本壳 `Features/Orders` | `BizFoundation`、本壳 App 装配类型 | `Features/Inventory`、另一壳 |
+| `BizFoundation` | Foundation 层 target（日志 / 工具，**禁止** DesignKit） | 任一壳、DesktopKit |
+| Foundation 层 target | 系统框架、风格无关工具 | 业务类型、壳 |
+| `DesktopKit` | `BizFoundation`、Foundation 层 target | `AppPhone`、DesignKit（几何数字用测试锁同值，或升到壳） |
+
+**Feature 互引为零。** 跨域走 BizFoundation Protocol，或壳编排。
+
+`AppPhone` 禁止 `import DesktopKit`。不要抽 `AppShared`。
+
+```swift
+// Package.swift：BizFoundation 不依赖壳
+.target(
+    name: "BizFoundation",
+    dependencies: ["LogKit"]  // Foundation 层 target，不是系统 Foundation
+)
+```
+
+```swift
+// 禁止
+import DesktopKit    // 写在 AppPhone
+import AppPhone      // 写在 BizFoundation
+```
+
+---
+
+## 三、分包树
+
+打开工程必须能数出：两个壳（或一个壳）+ `Features` + `BizFoundation` + Foundation 层目录。
+
+```
+AppPhone/                         # Assembly 壳
+  App/                            # 装配：路由、DI、生命周期
+  Features/
+    Orders/
+    Inventory/
+AppDesktop/                       # 另一个 Assembly 壳（单壳则省略）
+  App/
+  Features/
+    Orders/
+    Inventory/
+Sources/
+  BizFoundation/                  # target: BizFoundation
+  Foundation/                     # 层目录；target 用 LogKit / DesignKit
+  DesktopKit/                     # PlatformFoundation，仅 AppDesktop 依赖
+Package.swift                     # from: 只在这
+project.yml                       # 壳引用这一份 package，不重复 from:
+```
+
+---
+
+## 四、Monorepo 版本（强制）
+
+第三方版本号**只**出现在根 `Package.swift` 的 `.package(..., from:)`。target 只写 product / 本地 target 名。`project.yml` 引用这一份 package，不重复版本。选哪个版本走 skill `dwy-dependency-choice`。
+
+```swift
+dependencies: [
+    .package(url: "https://github.com/apple/swift-log.git", from: "1.5.0"),
+]
+targets: [
+    .target(name: "LogKit", dependencies: [
+        .product(name: "Logging", package: "swift-log"),
+    ]),
+    .target(name: "BizFoundation", dependencies: ["LogKit"]),
+]
+```
+
+禁止第二个 `Package.swift` 再写同一依赖的 `from:`。禁止 target 注释里另写版本。
+
+---
+
+## 五、检查清单
+
+| 检查项 | 严重 |
+|---|---|
+| `AppPhone` import `DesktopKit` 或编译另一壳 `.swift` | 高 |
+| `BizFoundation` import 壳类型 / DesignKit | 高 |
+| 壳内 Features 互相 import | 高 |
+| SPM target 名为 `Foundation`（与系统框架撞名） | 高 |
+| 第二个 Package.swift / project.yml 重复 `from:` | 高 |
+| 抽 `AppShared` 把 Store / Session 塞进 BizFoundation | 高 |
+| `Domain` / `infra` / `core` 当层名 | 中 |

package/templates/ai-tools/rules/iOS/dwy-swift-core.md

@@ -4,6 +4,8 @@ paths:
   - "**/*.swift"
 ---
 
+分层、双壳依赖、Package.swift 版本锁定见 `dwy-apple-layering`。本文件只管写法与体验基线。
+
 ## iOS 目标与写法
 
 - iOS 最低版本 17.0+，不为 16 及以下做兼容分支。

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-code-craft.md

@@ -0,0 +1,83 @@
+---
+description: 编码大局观与行文准则（动笔前四问、第二次才抽、扩展靠加文件、反屎山、行为变更先写失败测试）。编辑源码时注入。
+paths:
+  - "**/*.{py,ts,tsx,vue,js,jsx,kt,kts,swift,ets,dart}"
+---
+
+# 编码大局观
+
+写代码不是完成这个函数，是让这个 Feature 六个月后还能改。
+可维护 = 改一处全处对，不是提前设计未来。可扩展 = 新需求落成新文件，不是到处留钩子。
+
+分层规则管包边界；本文件管「这一份代码怎么长」。
+
+## 一、动笔前四问
+
+写之前在思考里过完，不必问用户。答不出 → 先搜再写。
+
+1. 这段代码属于哪一层、哪个 Feature？
+2. 同 Feature 里有没有同类页 / 同类接口？
+3. 这次需求会让哪几处**一起变**？
+4. 同类需求再来一次：是**加新文件**，还是给这堆 `if` 加分支？
+
+## 二、五条行文
+
+| 原则 | 判定 | 禁止的误读 |
+|---|---|---|
+| **第二次才抽** | 同一 UI 骨架 / 同一业务规则出现 ≥2 次才抽；1 次保持原地 | 第一份就抽 `BaseXxx`、`useCommon` |
+| **扩展 = 加新文件，不改旧文件** | 新页面、新字段、新状态应能新增，不必改已有页面 | 预留 `options` / plugin / `if type ===` 大开关 |
+| **先找同类，再写这一份** | 写前同 Feature 内搜列表/表单/详情，对齐结构；80% 相同抽组件或 composable，20% 用参数/slot | 每页从零写一套表格+筛选+分页 |
+| **按「为什么会改」拆** | 筛选条件变了不该动列定义；权限变了不该动请求封装 | 一个文件里塞请求、表格、弹窗、权限、格式化 |
+| **复制允许，分叉必须收口** | 第一份可以照着抄；第二份会出现且会一起改 → 本轮就抽 | 「先复制五份以后再整理」 |
+
+## 三、屎山预警
+
+出现任一条：**停手拆，不准继续往上堆。**
+
+- 第三份复制
+- 一个文件混了 ≥3 种变化原因（请求 / 表格 / 弹窗 / 权限搅在一起）
+- 用 `type` / `flag` 区分本该是新文件的行为
+- 在已经难读的文件末尾再追加大段逻辑
+- 跨 Feature 直接 import「图省事」（升层 / Protocol / 壳编排，见对应 `dwy-*-layering`）
+
+## 四、自进化
+
+两环，**不改本文件**。项目私货写 `project-rules`，不往全局准则里追加。
+
+| 环 | 何时 | 做什么 | 不做什么 |
+|---|---|---|---|
+| **任务内收口** | 本轮会变成第 2 份重复，或正在改的文件因本次变更更乱 | 本轮抽/拆完才能说做完 | 不顺手重构无关文件 |
+| **仓库自成长** | 同类屎山/坑 ≥2 次 | 写入 `project-rules`（现象 / 根因 / 怎么避免） | 一次性问题不立条 |
+
+发现本 Feature 已有更好结构：新代码跟那个结构；抽出时把旧的那份一并收口。禁止发明第三套风格。
+
+## 五、和「简单优先 / 精准改动」共存
+
+| 借口 | 现实 |
+|---|---|
+| 「先写完以后再抽」 | 第 2 份出现就是抽的时机，本轮做完 |
+| 「用户只要这个页面」 | 要的是可维护的页，不是又一座孤岛 |
+| 「和精准改动冲突」 | 为消灭重复而改第一份，算本需求，不算「改进相邻代码」 |
+| 「先留 options 方便扩展」 | 扩展靠加文件，不靠预留钩子 |
+| 「这是简单优先」 | 简单 = 少概念、短路径；不是复制五份 |
+
+红线仍在：大重构、换架构、清理无关死代码，仍须用户明确要求。
+
+## 六、行为变更与测试位置
+
+行为变更（新功能、修 bug、会改变可观察行为的重构）先写失败测试，再写实现。文案、注释、Markdown、CI 配置直接改。
+
+- 测试放独立目录并镜像源码：`src/foo/bar.ts` → `tests/foo/bar.test.ts`；Python 用 `tests/test_*.py`。禁止把测试和 fixture 写进业务 `src/`。
+- Android 用 Gradle 测试源集 `src/test/`、`src/androidTest/`，与 `src/main` 分开，这是合规写法。
+- 上面没覆盖的栈：独立测试目录 + 镜像源码 + 该生态主流 runner。栈内目录细则见对应 `dwy-*-testing`。
+- 改完只跑受影响的测试。改了公共 fixture 或 `conftest.py` 就全量。提交前不要求全量，全量留给 CI。
+- 基础库的 `TEST_CASES.md` 跟测试目录走（`tests/TEST_CASES.md`），和测试文件一起改。
+
+## 七、提交前检查
+
+- [ ] 四问过完，同类已搜过
+- [ ] 没有新增第 2 份未抽取的重复
+- [ ] 没有用 flag/type 把本该新文件的行为塞进旧文件
+- [ ] 正在改的文件没有因本次变更更难拆
+- [ ] 踩同类坑 ≥2 次已写入 `project-rules`
+- [ ] 行为变更先有失败测试，测试不在业务 `src/` 里

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-dependency-freshness.md

@@ -1,71 +1,32 @@
 ---
-description: 依赖版本选择通用规则（首次技术选型只选正式版、禁止 beta/rc 等预发布；发布 <7 天的版本不采用；跨 npm/uv/Docker/Android/iOS/鸿蒙/Flutter 等所有栈）
+description: 新装依赖只选发布满 7 天的正式版。查各栈发布时间和命令见 skill dwy-dependency-choice。只在改依赖清单时注入。
+paths:
+  - "**/package.json"
+  - "**/pnpm-lock.yaml"
+  - "**/yarn.lock"
+  - "**/package-lock.json"
+  - "**/pyproject.toml"
+  - "**/uv.lock"
+  - "**/requirements*.txt"
+  - "**/Podfile"
+  - "**/Package.swift"
+  - "**/Package.resolved"
+  - "**/build.gradle"
+  - "**/build.gradle.kts"
+  - "**/libs.versions.toml"
+  - "**/oh-package.json5"
+  - "**/pubspec.yaml"
+  - "**/go.mod"
+  - "**/Cargo.toml"
+  - "**/Dockerfile"
+  - "**/Dockerfile.*"
 ---
 
-# 依赖版本新鲜度规则
+# 依赖版本（硬约束）
 
-> 首次技术选型下载依赖（引新包、选 base 镜像 / SDK 版本）时，预发布版（beta / rc / alpha）未冻结 API，刚发布的正式版也常带回归 bug。本规则约束 AI 在装新依赖前：先丢掉预发布，再查正式版「首次发布时间」，避开 <7 天的版本。
->
-> 适用**所有技术栈**：npm/pnpm、uv/pip、Docker、Android(Gradle/Maven)、iOS(CocoaPods/SPM)、鸿蒙(ohpm)、Flutter(pub) 以及未来出现的任何包管理器。下面给出总约束 + 各栈示例，未列出的栈按「查官方 registry 发布时间」通用流程自行判断。
+只在新装或新选依赖、base 镜像、SDK 时遵守。已安装的旧版本不用为此升级。各栈怎么查发布时间见 skill `dwy-dependency-choice`。和本文件冲突时以该 skill 为准。
 
-## 一、适用边界
-
-- **仅约束首次技术选型下载依赖**：新项目引入新包、新搭脚手架选 base 镜像 / SDK 版本、原项目引入此前没用过的依赖。
-- **已安装的旧版本无需为此升级**。本规则只管「新装 / 新选」，不管「存量升级」。
-- 7 天是**下限排除条件**，不是「必须选最近一个 ≥7 天的版本」。最终选哪个稳定正式版由 AI 综合判断（成熟度、维护活跃度、依赖体积、与项目栈兼容性）。
-
-## 二、核心约束
-
-候选版本必须**同时**满足下面两条，缺一不可。给用户的 AskUserQuestion 选项同样只列合格版本，禁止把预发布号摆上去让用户选。
-
-- **必须只选正式版**
-  - **禁止**采用预发布：版本号或 tag 含 `beta` / `rc` / `alpha` / `preview` / `nightly` / `snapshot` / `canary` / `dev` / `experimental`，或 registry 标为 pre-release（npm dist-tag `next`/`beta`/`rc`、GitHub `prerelease: true`、PyPI 版本号带 `a`/`b`/`rc`）
-  - 先滤掉预发布，再进入 7 天判断；预发布即使发布超过 7 天也不用
-- **必须**在首次安装 / 选定版本前，查候选**正式版**的「首次发布时间」
-  - 用官方 registry 的发布时间，**不是**上传时间、**不是** `latest` / `stable` tag 时间
-- **禁止**采用发布时间距今 **<7 天**的版本
-- **禁止**无脑用 `@latest` / `latest` / `stable` / 浮动 tag / 不带版本号安装——这些随时可能落到刚发布的新版本或预发布通道上
-- 已安装版本**无需**为此规则升级
-
-## 三、各栈查发布时间示例
-
-未列出的栈，按「查官方 registry 元数据 → 取发布时间」自行处理。查的对象必须是正式版，预发布条目直接跳过。
-
-| 栈 | 查发布时间方法 |
-|---|---|
-| npm / pnpm | `npm view <pkg> time --json`（取目标版本对应的时间字段） |
-| uv / pip | PyPI JSON API：`https://pypi.org/pypi/<pkg>/json` 的 `releases[<version>][0].upload_time` |
-| Docker | Docker Hub 镜像页 / API 的 `last_updated`；优先看具体 tag 的 push 时间 |
-| Android (Gradle/Maven) | Maven Central `maven-metadata.xml` 的 `<lastUpdated>`（格式 yyyyMMddHHmmss） |
-| iOS (CocoaPods) | `https://github.com/CocoaPods/Specs` 或仓库 release / tag 时间 |
-| iOS (SPM) | 源仓库 release / tag 时间 |
-| 鸿蒙 (ohpm) | ohpm registry 包元数据 publishTime |
-| Flutter (pub) | `https://pub.dev/packages/<pkg>/versions` 页 published 时间 |
-
-## 四、正反例
-
-```bash
-# 反例：预发布，即使发布超过 7 天也不用
-pnpm add some-pkg@1.3.0-beta.2
-uv add some-pkg==2.0.0rc1
-FROM node:23.0.0-rc
-implementation 'com.example:lib:1.0.0-alpha'
-
-# 反例：直接装 latest，可能落到昨天才发的正式版或预发布通道
-pnpm add some-pkg@latest
-uv add some-pkg          # 不锁版本
-FROM node:latest         # 随时被新镜像覆盖
-implementation 'com.example:lib:latest'
-
-# 正例：正式版，且发布 ≥7 天
-npm view some-pkg time --json      # 看候选正式版发布时间
-pnpm add some-pkg@1.2.3            # 1.2.3 是正式版，发布已满 7 天
-FROM node:20.18.1-slim             # 该 tag 是正式版，push 已满 7 天
-```
-
-## 五、AI 自判提示
-
-- 栈未列全时，先找该栈的**官方 registry**（包管理器背后的中央仓库），丢掉预发布条目，再查正式版发布时间字段。
-- 拿不到精确发布时间时，保守处理：选发布更早、更稳定的正式版，不要选「最新」，更不要选 beta。
-- 7 天窗口内的新正式版，**等待**而非采用，**无任何例外**（含安全补丁）。等满 7 天再用。
-- 用户口头点名某个 beta / rc：**不要直接装**。说明本规则只选正式版，改给最近一个合格正式版让用户确认。
+- 只选正式版。禁止 `beta` / `rc` / `alpha` / `preview` / `nightly` / `snapshot` / `canary` / `dev` / `experimental`，以及 registry 标成 pre-release 的号。预发布超过 7 天也不用。
+- 正式版的首次发布须满 7 天，含安全补丁。7 天是排除线，不是必须选刚满 7 天的那个。
+- 禁止 `@latest` / `latest` / `stable` / 浮动 tag / 不锁版本。
+- 用户点名 beta 或 rc：不直接装，改给最近一个合格正式版确认。