create-dwy 0.19.0 → 0.20.0

package/templates/ai-tools/skills/Docker/dwy-docker/SKILL.md

@@ -11,7 +11,7 @@ description: "Docker 工程规范检查与镜像版本管理。触发场景：
 
 **参考文件：** `./references/`
 - `templates.md` — compose / Dockerfile / dev.sh 模板（用户问"怎么写"时读）
-- `version-rules.md` — N-1 minor 选法 + 各类镜像表（选具体版本号时读）
+- `version-rules.md` — N-1 是偏好算法。文中版本表只是格式示例，禁止当推荐版本
 - `ask-templates.md` — AskUserQuestion 模板（违规需要询问用户时读）
 
 ---
@@ -24,7 +24,7 @@ description: "Docker 工程规范检查与镜像版本管理。触发场景：
 |---|---|
 | 已合规（tag 固定 / Dockerfile 多阶段 / compose 分离） | **静默放行**，不打扰 |
 | 违规（latest / 浮动 tag / 单一 compose / 缺 healthcheck 等） | 自动 `AskUserQuestion`，让用户决策 |
-| AI 即将新写入（用户让我加 redis 服务） | 先 query_dockerhub.py + AskUserQuestion 选 tag，再写入 |
+| AI 即将新写入（用户让我加 redis 服务） | 先按「版本探测」拿到本次 tag 列表，再 AskUserQuestion，再写入 |
 
 **为什么这样设计**：用户写 docker 一半被中断 N 次问"要选哪个版本"会很烦；已经写了 `nginx:1.26.2` 这种合规字段也不该 AI 啰嗦"建议你改成…"。只在违规时才介入。
 
@@ -111,15 +111,26 @@ AI 看到下列情况之一，立即进入「检查清单」：
 
 ---
 
+## 版本探测
+
+目标写死：写入的 tag 是本次列表里的具体版本，不是 `latest`、单段 major、代号。偏好 N-1；算出来的 tag 不在列表里、已 EOL、或发布不满 7 天（依赖新鲜度规则）时，丢掉这条偏好，从本次列表重选。
+
+`query_dockerhub.py` 只是当前先验，只查 Docker Hub。
+
+1. 镜像在 Hub：跑 `python3 {scripts}/query_dockerhub.py <image>`。选项只能来自这次输出的 tag
+2. 脚本非 0、404、超时，或镜像不在 Hub（GHCR、Quay、私有仓库）：换该镜像真实所在的 registry 或厂商 release 再列 tag。文档里的版本表不能顶上
+3. 新入口也不成立：继续找还能列出 tag 的来源。都失败才问用户，并说明查不到，禁止用旧数字编选项
+4. AskUserQuestion 的选项必须是这次看到的 tag（模板见 `references/ask-templates.md`）
+
 ## 交互流程（三种场景）
 
 ### 1. 写入前（AI 即将新增 image / Dockerfile / compose）
 
 例：用户说"帮我加个 redis"。
 
-1. `python3 {scripts}/query_dockerhub.py redis` 查推荐版本
-2. AskUserQuestion 让用户选 tag（模板见 `references/ask-templates.md` 模板 1）
-3. 用户选完后用 Edit / Write 写入，按 `references/templates.md` 填补 healthcheck / restart 等字段
+1. 按「版本探测」拿到本次 tag 列表
+2. AskUserQuestion 让用户选 tag
+3. 用户选完后用 Edit / Write 写入，按 `references/templates.md` 填补 healthcheck / restart 等字段。模板里的版本号换成用户选的 tag
 4. 写入完成后**不再二次询问已写入的合规字段**
 
 ### 2. 检查现有文件（用户编辑或粘贴文件后）
@@ -135,7 +146,7 @@ AI 看到下列情况之一，立即进入「检查清单」：
 
 1. `bash {scripts}/scan_images.sh <project-path>`
 2. 收集违规清单
-3. 对每个 `critical` / `high` 违规：query_dockerhub.py 拿推荐 + AskUserQuestion
+3. 对每个 `critical` / `high` 违规：按「版本探测」拿本次 tag 列表 + AskUserQuestion
 4. 用户选完批量 Edit
 5. `low` / `medium` 在最后汇总告诉用户但不强制改
 
@@ -145,7 +156,7 @@ AI 看到下列情况之一，立即进入「检查清单」：
 
 1. **禁止 `latest`** — 任何位置不允许，省略 tag 等同于 `latest`。**为什么**：镜像漂移会让"昨天能跑今天炸"，CI 和 prod 跑不一样的内容
 2. **必须固定 tag** — 必须是具体版本号，禁止浮动 tag（`stable` / `alpine` / `bookworm` 等）
-3. **优先选 N-1 minor** — 当前最新稳定 minor 的前一个 minor 系列最新 patch。**为什么**：避开新版刚发布时未暴露的回归 bug，行业惯例
+3. **偏好 N-1 minor** — 当前最新稳定 minor 的前一个 minor 系列最新 patch。**为什么**：避开新版刚发布时未暴露的回归 bug。这是偏好，不是写死的版本号；探测结果对不上就重选
 4. **生产关键服务用 digest** — 数据库、消息队列、网关钉 `@sha256:...`，让 image 100% 不可篡改
 
 **完整选法（含 4 类镜像表 + LTS 例外 + 具体例子）**：见 `references/version-rules.md`。
@@ -160,7 +171,7 @@ AI 看到下列情况之一，立即进入「检查清单」：
 python3 {scripts}/query_dockerhub.py <image> [--namespace library] [--top 20]
 ```
 
-输出最近的稳定 tag 列表 + 推荐 N-1 minor。私有命名空间用 `org/image`。
+输出 Docker Hub 上最近的稳定 tag，并标出 N-1 偏好。私有命名空间用 `org/image`。退出非 0 表示这条先验失效，不是「镜像不存在」。
 
 ### `scan_images.sh`
 
@@ -170,12 +181,9 @@ bash {scripts}/scan_images.sh [project-path]
 
 扫描项目所有 Dockerfile / docker-compose / k8s yaml / CI 配置中的镜像引用，输出违规清单。**只读，不改文件**。
 
-### 降级流程（脚本不可用时）
-
-`query_dockerhub.py` 失败（私有仓库 / 网络不通）：
+### 先验失效之后
 
-1. 用 WebFetch 查 DockerHub `https://hub.docker.com/_/<image>/tags` 或官方 release page
-2. 如果仍无法拿到版本列表，**仍然走 AskUserQuestion**，措辞改为"无法自动查询版本，请手动确认"，options 提供常见稳定版本号 + "Other (我手动输入)"
+脚本失败或镜像不在 Hub 时，按「版本探测」换入口。禁止把 `references/version-rules.md` 里的旧版本号放进 AskUserQuestion。查不到列表时让用户手动输入，不提供文档里的「常见稳定版本」。
 
 ---
 

package/templates/ai-tools/skills/Docker/dwy-docker/references/ask-templates.md

@@ -6,8 +6,9 @@
 
 - `question` 必须**指出当前问题**（"latest 不符合规范" / "redis:7 只有 major"），而不是泛泛"选个版本"
 - `header` ≤12 字符，用 `<image> tag` / `多阶段` / `compose 分离` 这类
-- 第一个 option 永远是推荐项，标 `(推荐)` / `(N-1 推荐)`
-- `description` 必须含**理由**（为什么这个选项），含日期更好
+- 第一个 option 是本次列表里的偏好项，标 `(推荐)` / `(N-1 推荐)`。偏好 tag 不成立时，第一个 option 改为本次列表中的下一个合格 tag
+- `description` 必须含**理由**（为什么这个选项），日期用这次查到的发布日期
+- **禁止**照抄本文件里的 `1.26.2` / `1.27.3`。那些数字只示范选项结构
 - `preview` 用实际写入文件的那一行（`FROM xxx:tag` / `image: xxx:tag`）
 - 选项 2-4 个；非生产关键服务不给 digest 选项
 
@@ -25,19 +26,19 @@ AskUserQuestion({
     multiSelect: false,
     options: [
       {
-        label: "1.26.2 (N-1 推荐)",
-        description: "N-1 minor 系列最新 patch，发布 2024-08-28，已过早期回归窗口",
-        preview: "image: nginx:1.26.2"
+        label: "<本次 N-1 tag> (N-1 推荐)",
+        description: "本次列表中的 N-1 minor 最新 patch，发布 <本次日期>",
+        preview: "image: nginx:<本次 N-1 tag>"
       },
       {
-        label: "1.27.3 (最新稳定)",
-        description: "最新稳定版，2024-11-26 发布，新功能尝鲜场景再选",
-        preview: "image: nginx:1.27.3"
+        label: "<本次最新稳定 tag> (最新稳定)",
+        description: "本次列表中的最新稳定版，发布 <本次日期>，新功能尝鲜场景再选",
+        preview: "image: nginx:<本次最新稳定 tag>"
       },
       {
-        label: "1.26.2 + digest (生产关键)",
-        description: "钉到 digest，image 100% 不可篡改，生产网关推荐",
-        preview: "image: nginx:1.26.2@sha256:..."
+        label: "<本次 N-1 tag> + digest (生产关键)",
+        description: "钉到本次查到的 digest，image 不可篡改，生产网关再用",
+        preview: "image: nginx:<本次 N-1 tag>@sha256:<本次 digest>"
       }
     ]
   }]
@@ -137,6 +138,6 @@ AskUserQuestion({
 
 ## 用户选了 "Other" 自定义版本时
 
-按用户输入的值写入，但口头提醒一句："你选的 `xxx:Y.Y.Y` 不在 N-1 推荐范围内（当前推荐 N-1 是 `xxx:Z.Z.Z`），确认是出于具体原因吗？"
+按用户输入的值写入。若该值不在本次 tag 列表里，先核对它是否真实存在，再提醒一句："你选的 `xxx:Y.Y.Y` 不是本次列表里的 N-1 偏好（本次偏好是 `xxx:Z.Z.Z`）。" `Z.Z.Z` 必须来自这次探测。
 
 不要拒绝写入，但要让用户知道这是非常规选择。

package/templates/ai-tools/skills/Docker/dwy-docker/references/templates.md

@@ -2,6 +2,8 @@
 
 新建 docker 工程或用户问"compose / Dockerfile / dev.sh 怎么写"时读这份文件。
 
+文中 `postgres:17.1`、`redis:7.2.6`、`nginx:1.26.2`、`node:20.18.0` 只示范 tag 长什么样。写入项目前换成「版本探测」选出的 tag。
+
 ## docker-compose.dev.yml（开发环境）
 
 **核心原则**：快速启动、热更新、方便调试。基础设施容器化，应用代码在宿主机跑（这样 `uvicorn --reload` / `vite dev` 的文件监听才能生效，不用每次改代码都 rebuild 镜像）。
@@ -10,7 +12,7 @@
 # docker-compose.dev.yml — 只跑基础设施，应用在宿主机跑
 services:
   postgres:
-    image: postgres:17.1                  # 固定具体版本，按 query_dockerhub.py 推荐
+    image: postgres:17.1                  # 格式示例。写入前换成当次探测选出的具体版本
     ports:
       - "${PG_PORT:-15432}:5432"          # 映射到宿主机非标准端口，避免与其他项目冲突
     environment:

package/templates/ai-tools/skills/Docker/dwy-docker/references/version-rules.md

@@ -1,6 +1,8 @@
-# 镜像版本选择规则（N-1 minor）
+# 镜像版本选择（N-1 是偏好）
 
-选具体版本号时读这份。先用 `scripts/query_dockerhub.py` 查实时数据，再按下面规则推算 N-1。
+选具体版本号时读这份。版本必须来自当次列出的 tag。`scripts/query_dockerhub.py` 只查 Docker Hub，失败或镜像不在 Hub 时换入口，步骤见 `SKILL.md`「版本探测」。
+
+下面的版本表是格式示例，数字写文档时就过期了。**禁止**把表里的 tag 写进 Dockerfile、compose 或 AskUserQuestion。
 
 ## 为什么是 N-1 minor 而不是最新
 
@@ -12,13 +14,15 @@
 
 1. **禁止 `latest`** — FROM / image / containers.image / services.image 任何位置都不允许，省略 tag 等同于 `latest`
 2. **必须固定 tag** — 必须是具体版本号（如 `17.1`、`1.26.2`、`3.20`），禁止浮动 tag
-3. **优先选 N-1 minor** — 当前最新稳定 minor 的前一个 minor 系列最新 patch
+3. **偏好 N-1 minor** — 当前最新稳定 minor 的前一个 minor 系列最新 patch。该 tag 不在本次列表、已 EOL、或发布不满 7 天时，从本次列表重选
 4. **生产关键服务用 digest** — 数据库、消息队列、网关在 tag 后再钉 `@sha256:...`，让 image 100% 不可篡改
 
 ---
 
 ## 选法分类（按版本号格式）
 
+表内数字只说明算法长什么样，不是推荐版本。
+
 ### 1. semver 三段镜像（绝大多数）
 
 格式 `MAJOR.MINOR.PATCH`，例如 `nginx:1.27.3`、`redis:7.4.1`。
@@ -28,7 +32,7 @@
 2. minor 减 1，得到目标 minor 系列
 3. 取该 minor 系列的最新 patch
 
-| 镜像 | 当前最新稳定 | N-1 minor 选择 | 说明 |
+| 镜像 | 当时的最新稳定（示例） | 当时的 N-1（示例，禁止照抄） | 说明 |
 |------|-------------|---------------|------|
 | `nginx` | `1.27.3` | `nginx:1.26.2` | 1.26 系列最新 patch |
 | `redis` | `7.4.1` | `redis:7.2.6` | 7.4 上一个稳定 minor 是 7.2，跳过仅维护版 |
@@ -40,7 +44,7 @@
 
 选法：minor 减 1，取该系列最新 tag。
 
-| 镜像 | 当前最新稳定 | N-1 minor 选择 |
+| 镜像 | 当时的最新稳定（示例） | 当时的 N-1（示例，禁止照抄） |
 |------|-------------|---------------|
 | `postgres` | `17.2` | `postgres:17.1` |
 | `mysql` | `8.4` | `mysql:8.3` |
@@ -52,7 +56,7 @@
 
 选法：选**上一个 LTS / stable release**，**不要**用 codename（codename 是浮动 tag，会随 release 漂移），只用版本号。
 
-| 镜像 | 当前最新 LTS | N-1 选择 |
+| 镜像 | 当时的最新 LTS（示例） | 当时的上一个 LTS（示例，禁止照抄） |
 |------|-------------|---------|
 | `ubuntu` | `24.04` | `ubuntu:22.04` |
 | `debian` | `12`（bookworm）| `debian:11`（bullseye）|

package/templates/ai-tools/skills/Docker/dwy-docker/scripts/query_dockerhub.py

@@ -48,11 +48,21 @@ def fetch_tags(namespace: str, image: str, page_size: int = 100, max_pages: int
                 data = json.loads(resp.read().decode("utf-8"))
         except HTTPError as e:
             if e.code == 404:
-                print(f"错误：DockerHub 上找不到 {namespace}/{image}", file=sys.stderr)
+                # Hub 404 只说明这条先验失效，镜像可能在 GHCR / Quay / 私有仓库。
+                print(
+                    f"Docker Hub 先验失效：hub.docker.com 上没有 {namespace}/{image}。"
+                    "不代表镜像不存在。换它所在的 registry 或厂商 release 再列 tag，"
+                    "禁止用文档里的旧版本号。",
+                    file=sys.stderr,
+                )
                 sys.exit(2)
             raise
         except URLError as e:
-            print(f"错误：访问 DockerHub 失败：{e}", file=sys.stderr)
+            print(
+                f"Docker Hub 先验失效：访问失败：{e}。"
+                "换入口再查，禁止用文档里的旧版本号。",
+                file=sys.stderr,
+            )
             sys.exit(3)
 
         tags.extend(data.get("results", []))
@@ -130,7 +140,10 @@ def main():
         })
 
     if not pure_version_tags:
-        print("未找到符合规范的稳定版本 tag。请手动确认。", file=sys.stderr)
+        print(
+            "Docker Hub 这次没有符合规范的稳定 tag。换入口再列，禁止用文档里的旧版本号。",
+            file=sys.stderr,
+        )
         sys.exit(1)
 
     # 按 (major, minor) 分组，每组取最大 patch
@@ -172,8 +185,10 @@ def main():
 
     if n_minus_1_item:
         n_major, n_minor, n_patch, _ = n_minus_1_item["version"]
-        print(f"✅ 推荐 (N-1 minor): {args.image}:{n_minus_1_item['name']}")
-        print(f"   {n_major}.{n_minor} 系列最新 patch，发布于 {format_date(n_minus_1_item['last_updated'])}")
+        # 偏好不是落盘结论：tag 须仍在本次列表，且未 EOL、发布满 7 天。
+        print(f"偏好 (N-1，须核对仍在本次列表且未 EOL): {args.image}:{n_minus_1_item['name']}")
+        print(f"   {n_major}.{n_minor} 系列最新 patch，Hub 记录日期 {format_date(n_minus_1_item['last_updated'])}")
+        print("   落盘只用本次输出里的 tag。文档版本表不能代替这次结果。")
     else:
         print("⚠️  仅找到一个 minor 系列，无法推荐 N-1，请手动确认是否可降级 major")
     print()
@@ -186,7 +201,7 @@ def main():
         if key == latest_minor:
             marker = "  ← 最新"
         elif key == n_minus_1_key:
-            marker = "  ← 推荐 (N-1)"
+            marker = "  ← 偏好 (N-1)"
         print(f"  {item['name']:20s}  {format_date(item['last_updated'])}{marker}")
 
 

package/templates/ai-tools/skills/Docker/dwy-docker/scripts/scan_images.sh

@@ -73,7 +73,7 @@ analyze_image() {
 
     # 2. 显式 latest
     if [ "$tag_part" = "latest" ]; then
-        record "critical" "$file" "$line" "$raw_line" "禁止使用 latest，改为固定版本如 $image_part:<N-1-minor>（用 query_dockerhub.py 查推荐版本）"
+        record "critical" "$file" "$line" "$raw_line" "禁止使用 latest，改为具体版本。版本从当次 tag 列表里选，query_dockerhub.py 只是 Docker Hub 先验"
         return
     fi
 
@@ -175,7 +175,7 @@ echo "  high:     $count_high      (浮动 tag / 单段版本号)"
 echo "  low:      $count_low       (建议补 digest)"
 echo ""
 echo "下一步："
-echo "  1. 用 query_dockerhub.py <image> 查每个违规镜像的推荐版本"
+echo "  1. 按 dwy-docker「版本探测」列每个违规镜像的当次 tag。query_dockerhub.py 失败就换 registry"
 echo "  2. 用 Edit 工具逐项修复，不要批量替换（不同环境可能用不同 tag 变体）"
 
 # 有 critical 或 high 时返回非零，方便 CI 集成

package/templates/ai-tools/skills/Docker/dwy-mirror-source/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: dwy-mirror-source
-description: "国内镜像源加速配置检查与修复：扫描 pip/uv/poetry/npm/pnpm/yarn/Docker/Go/Cargo/Maven/Gradle/Homebrew/Flutter 等 13 类工具的用户级和项目级配置，识别使用境外默认源或缺失配置的项，提供阿里云/清华/中科大镜像源切换。触发条件：用户说'检查镜像源'、'配置加速'、'换镜像源'、'mirror 检查'、'安装慢'、'下载慢' 时。"
+description: "国内镜像源加速配置检查与修复：扫描 pip/uv/poetry/npm/pnpm/yarn/Docker/Go/Cargo/Maven/Gradle/Homebrew/Flutter 等 13 类工具的用户级和项目级配置，识别使用境外默认源或缺失配置的项。候选 URL 只是当前先验；写入前当次探测，在内容正确的源里选延迟最低的，连通不算通过。触发条件：用户说'检查镜像源'、'配置加速'、'换镜像源'、'mirror 检查'、'安装慢'、'下载慢' 时。"
 ---
 
 # 镜像源加速配置（mirror-source）
@@ -21,19 +21,31 @@ description: "国内镜像源加速配置检查与修复：扫描 pip/uv/poetry/
 
 ---
 
-## 默认首选镜像源
+## 候选先验，不是赢家
 
-**阿里云**（覆盖最全，BGP 多线，全国质量稳定）。
+`references/mirror-providers.md` 和脚本里的 `MIRRORS` 是当前已知候选。阿里云、清华、中科大、DaoCloud 谁快，随机器和时段变。`preference.json` 的 `preferred_provider` 只表示上次人工指定，不能代替当次测速。
 
-可通过 `./preference.json` 修改：
+用户明确指定某一家，或已经是企业私服：跳过公网竞速，沿用指定源。
 
-```json
-{
-  "preferred_provider": "aliyun"
-}
-```
+### 当次探测
+
+对同一工具的每个候选，发即将真正使用的那一种请求，记从发出到首字节的时间：
+
+| 工具 | 探测什么 |
+|------|----------|
+| pip / uv | 索引上的 `/simple/pip/` |
+| apt / apk | 该发行版的 `Release` 或仓库索引 |
+| Docker `registry-mirrors` | `{mirror}/v2/` |
+| gcr / ghcr / quay 等前缀 | `https://{前缀}/v2/` |
+| npm / Go / Cargo / Maven | 该工具实际拉取用的索引 URL |
+
+超时、证书错误、非成功状态、正文里没有目标包或 tag：淘汰。剩下的取本次延迟最低。两者差距在测量噪声内（约 20ms）且已有配置可用时，保持现有配置，避免来回改。
+
+Docker daemon 按 `registry-mirrors` 顺序用第一个成功的，所以最快的放第一位，其余只作失败回退。Dockerfile 里的 registry 前缀只能写一个域名，写赢家。
+
+测速结果（URL、毫秒、时间）写在当次说明里，不写回本 skill。候选全部不成立：另找可用源，对新候选重复上述探测。找不到再问用户。
 
-可选值：`aliyun` / `tsinghua` / `ustc`。详细 URL 表见 `references/mirror-providers.md`。
+`apply_mirrors.py --provider` 只能写三家已知源。赢家属于这三家才把对应 provider 传进去。Docker 顺序用 `--docker-mirrors`，按延迟从低到高逗号分隔，否则脚本会把内置列表排到前面。赢家不在这三家里：按该 URL 改配置，先 diff，用户确认后再写。不要为了迁就脚本改选更慢的已知源。
 
 ---
 
@@ -76,7 +88,7 @@ python3 {scripts}/check_mirrors.py [--scope user|project|both] [--project-path .
 
 | 状态 | 含义 | 处理 |
 |------|------|------|
-| ✅ ok | 已用国内推荐源 | 无需操作 |
+| ✅ ok | 已用已知国内源 | 不代表当前最快。用户抱怨慢时重新测速 |
 | ⚠️ warn | 用了官方默认源（境外） | 提示可切换 |
 | ⚠️ private | 用了企业私服 | 跳过，不动 |
 | ❌ missing | 工具已安装但无配置 | 提示创建 |
@@ -121,7 +133,8 @@ python3 {scripts}/apply_mirrors.py [--tools pip,npm,docker] [--scope user]
 **参数：**
 - `--tools` — 逗号分隔的工具列表（`pip,uv,npm,pnpm,docker,go,cargo,maven,gradle,brew,flutter`），默认全部
 - `--scope` — `user` / `project` / `both`，默认 `both`
-- `--provider` — `aliyun` / `tsinghua` / `ustc`，默认读 preference.json
+- `--provider` — `aliyun` / `tsinghua` / `ustc`，只在赢家属于这三家时传入。默认读 preference.json，那个值是先验
+- `--docker-mirrors` — 逗号分隔的 https URL，按当次延迟从低到高。只在改 Docker 时传
 - `--dry-run` — 只输出 diff，不写文件
 - `--project-path` — 项目级配置的根目录，默认当前目录
 
@@ -145,13 +158,14 @@ python3 {scripts}/check_mirrors.py --only npm --verbose
 
 用户说「检查镜像源」/「配置加速」时：
 
-1. 跑 `check_mirrors.py` 输出报告
+1. 跑 `check_mirrors.py` 输出报告。报告里的 provider 是先验，不是赢家
 2. 把报告里 `warn` / `missing` 项列出来给用户看
 3. 询问要修复哪些（默认全部 `warn` + `missing`，私服项不动）
-4. 跑 `apply_mirrors.py --dry-run --tools <user-selected>` 输出 diff
-5. 等用户确认 → 跑去掉 `--dry-run` 的版本写入
-6. 修改了 Docker daemon.json → 提示用户**重启 Docker**，本 skill 不自动重启
-7. 修改了 shell rc 文件（Flutter / Homebrew）→ 提示用户 `source ~/.zshrc` 或重开终端
+4. 对要改的工具按「当次探测」选出延迟最低且内容正确的源
+5. 跑 `apply_mirrors.py --dry-run --tools <user-selected> --provider <赢家所属的已知源>`。一次命令只有一个 `--provider`，不同工具赢家不同就分开跑。Docker 额外加 `--docker-mirrors <按延迟从低到高的 https URL>`
+6. 等用户确认 → 加 `--apply` 写入。赢家不在三家已知源里时，不调用脚本硬套，按探测到的 URL 改
+7. 修改了 Docker daemon.json → 提示用户**重启 Docker**，本 skill 不自动重启
+8. 修改了 shell rc 文件（Flutter / Homebrew）→ 提示用户 `source ~/.zshrc` 或重开终端
 
 **禁止行为：**
 - ❌ 不询问就修改用户全局配置
@@ -165,7 +179,7 @@ python3 {scripts}/check_mirrors.py --only npm --verbose
 
 uv 实际有 **3 个独立的镜像源**，缺一个都会拖慢：
 
-| 层 | 配置项 | 作用 | 国内推荐源 |
+| 层 | 配置项 | 作用 | 当前候选（写入前探测） |
 |----|--------|------|-----------|
 | 1. 包索引 | `[[index]]` 或 `UV_DEFAULT_INDEX` | 装 PyPI 包 | `https://mirrors.aliyun.com/pypi/simple/` |
 | 2. **Python 解释器下载** ⭐ | `python-install-mirror` 或 `UV_PYTHON_INSTALL_MIRROR` | `uv python install 3.12` 时下载解释器 | `https://registry.npmmirror.com/-/binary/python-build-standalone` |
@@ -204,7 +218,7 @@ Docker 镜像加速分**两类，互不替代**：
 }
 ```
 
-`apply_mirrors.py --tools docker` 自动配置这一层。
+这一层用 `--docker-mirrors` 按当次延迟排序后写入。脚本内置的 DaoCloud、中科大顺序只是候选先验。
 
 ### 类型 2：gcr / ghcr / quay / k8s 等加速 — 改 image 引用
 
@@ -242,7 +256,7 @@ FROM ghcr.m.daocloud.io/astral-sh/uv:0.5.0 AS uv
 FROM gcr.m.daocloud.io/distroless/python3:nonroot
 ```
 
-**为什么不能自动配置？** 这层加速无法在 daemon.json 实现透明代理，必须显式改 image 字符串。Claude 在用户写 Dockerfile / k8s yaml 时，如发现使用了 gcr/ghcr/quay 等域名，**应主动提示**改前缀（可与 dwy-docker-image skill 协同：固定 tag 时一并替换 registry 域名）。
+**为什么不能自动配置？** 这层加速无法在 daemon.json 实现透明代理，必须显式改 image 字符串。写 Dockerfile / k8s yaml 时若看到 gcr / ghcr / quay 等域名，提示改前缀。前缀从当前候选里当次探测，选延迟最低且 `/v2/` 可用的那一个，不固定写成 DaoCloud。tag 仍按 `dwy-docker` 固定。
 
 > 提示：containerd（不是 Docker）支持 `[plugins."io.containerd.grpc.v1.cri".registry.mirrors]` 全局映射；Kubernetes 节点用 containerd 时可写到 `/etc/containerd/config.toml` 实现透明代理。Docker 引擎本身不支持。
 
@@ -262,14 +276,14 @@ FROM gcr.m.daocloud.io/distroless/python3:nonroot
 
 | 检测项 | 严重程度 | 说明 |
 |--------|---------|------|
-| Python pip 用 `pypi.org/simple` 默认源 | warn | 改 `mirrors.aliyun.com/pypi/simple/` |
-| uv 缺 `python-install-mirror` | warn | `uv python install` 卡顿，添加 npmmirror 二进制源 |
-| uv 用了不稳定 GitHub 代理（如 ghfast/gh-proxy） | warn | 改用更稳定的 npmmirror.com/-/binary |
-| npm/pnpm 用 `registry.npmjs.org` | warn | 改 `registry.npmmirror.com` |
-| Docker 无 `registry-mirrors` | warn | 添加 `docker.m.daocloud.io` |
-| Dockerfile / k8s 用 `gcr.io/...`、`ghcr.io/...`、`registry.k8s.io/...` | warn | 改前缀为 `gcr.m.daocloud.io/...` 等（改 image 字符串） |
-| Go 未设 GOPROXY 或为 `direct` | warn | 改 `https://goproxy.cn,direct` |
-| Maven 默认 Central | warn | 添加 aliyun mirror |
-| Cargo 默认 crates.io | warn | 改 `rsproxy.cn` |
+| Python pip 用 `pypi.org/simple` 默认源 | warn | 当次探测后改到延迟最低的 PyPI 镜像 |
+| uv 缺 `python-install-mirror` | warn | `uv python install` 会去拉解释器，补一个探测通过的二进制源 |
+| uv 用了不稳定 GitHub 代理（如 ghfast/gh-proxy） | warn | 换成探测通过且延迟更低的二进制源 |
+| npm/pnpm 用 `registry.npmjs.org` | warn | 当次探测后改到延迟最低的 npm 镜像 |
+| Docker 无 `registry-mirrors` | warn | 写入当次延迟从低到高的 registry-mirrors |
+| Dockerfile / k8s 用 `gcr.io/...`、`ghcr.io/...`、`registry.k8s.io/...` | warn | 改成探测通过且延迟最低的前缀（改 image 字符串） |
+| Go 未设 GOPROXY 或为 `direct` | warn | 当次探测后改到延迟最低的 GOPROXY |
+| Maven 默认 Central | warn | 当次探测后改到延迟最低的 Maven 镜像 |
+| Cargo 默认 crates.io | warn | 当次探测后改到延迟最低的 crates 镜像 |
 | 用 npm registry 但没用 https | high | 安全问题，强制换 https |
-| 镜像源 URL 已弃用（如 `npm.taobao.org`） | high | 已 EOL，必须迁移到 npmmirror.com |
+| 镜像源 URL 已弃用（如 `npm.taobao.org`） | high | 已 EOL，不能再用。替代地址当次探测后选择 |

package/templates/ai-tools/skills/Docker/dwy-mirror-source/references/dockerfile-snippets.md

@@ -4,6 +4,8 @@ Linux 包管理（apt/apk/yum/dnf）和 Python pip 在 Dockerfile 内的换源
 
 ## 通用原则
 
+片段里的域名是当前候选示例。写入 Dockerfile 前，按 `SKILL.md`「当次探测」把域名换成延迟最低且内容正确的源。
+
 1. **基础镜像确定后再换源** — 不同 base image 用不同包管理（Ubuntu/Debian 用 apt，Alpine 用 apk，CentOS/RockyLinux 用 yum/dnf）
 2. **多阶段构建只在需要安装包的阶段换** — 最终运行阶段如果不装包，不必加这些
 3. **CI/CD 镜像构建可能不需要换源** — 部分 CI 已在境内或自建 mirror，按团队约定

package/templates/ai-tools/skills/Docker/dwy-mirror-source/references/mirror-providers.md

@@ -1,12 +1,12 @@
 # 镜像源 URL 对照表
 
-各加速服务的 URL 由 `check_mirrors.py` / `apply_mirrors.py` 中的 `MIRRORS` 字典维护。本文件作为**人类可读的索引**，便于审阅、迁移、扩展新工具。
+各加速服务的 URL 由 `check_mirrors.py` / `apply_mirrors.py` 中的 `MIRRORS` 字典维护。本文件是**当前候选**，不是指定赢家。写入前按 `SKILL.md`「当次探测」测延迟，在内容正确的源里选最低的。连通不算通过。
 
-如需更新 URL，请同时改脚本里的 `MIRRORS` 字典和本文档，保持一致。
+如需更新候选 URL，请同时改脚本里的 `MIRRORS` 字典和本文档，保持一致。候选全部探测失败时，另找可用源，不要从本表挑一个「看起来还行」的。
 
-## 默认推荐：阿里云
+## 当前候选：阿里云
 
-阿里云覆盖最全、BGP 多线、对外网无依赖、稳定性高，故作默认。
+覆盖面广，常作为先验之一。快慢以当次探测为准。
 
 | 工具 | URL | 说明 |
 |------|-----|------|
@@ -27,7 +27,7 @@
 | Flutter PUB | `https://pub.flutter-io.cn` | flutter pub |
 | Flutter STORAGE | `https://storage.flutter-io.cn` | flutter SDK |
 
-## 备选：清华 TUNA
+## 当前候选：清华 TUNA
 
 教育网友好，混合源最完整。Homebrew 上清华源比阿里维护更新更勤。
 
@@ -44,7 +44,7 @@
 | Homebrew bottles | `https://mirrors.tuna.tsinghua.edu.cn/homebrew-bottles` |
 | Flutter PUB | `https://pub.flutter-io.cn`（沿用） |
 
-## 备选：中科大 USTC
+## 当前候选：中科大 USTC
 
 | 工具 | URL |
 |------|-----|
@@ -89,7 +89,7 @@ Docker 镜像加速分**两类**，互不替代：
 
 | 加速器 | URL | 备注 |
 |--------|-----|------|
-| DaoCloud | `https://docker.m.daocloud.io` | **首选**，免登录、稳定 |
+| DaoCloud | `https://docker.m.daocloud.io` | 当前候选，免登录。是否放第一位由当次延迟决定 |
 | 中科大 | `https://docker.mirrors.ustc.edu.cn` | 高校镜像 |
 | 网易 | `https://hub-mirror.c.163.com` | 偶尔波动 |
 | 阿里云专属 | `https://<your-id>.mirror.aliyuncs.com` | 阿里云用户专属，需登录获取 |
@@ -99,7 +99,7 @@ Docker 镜像加速分**两类**，互不替代：
 
 **`registry-mirrors` 字段对 gcr/ghcr/quay/k8s/mcr/nvcr 等其他 registry 完全无效**。要加速这类 image，必须**改 image 引用本身**。
 
-DaoCloud 维护的 11 个 registry 镜像（实测全部可达）：
+DaoCloud 维护的 registry 前缀是当前候选。下表是写文档时的对照，用之前对目标前缀探测 `/v2/`，延迟最低且内容正确的才写入：
 
 | 源 registry | 镜像域名 | 用途 |
 |-------------|---------|------|

package/templates/ai-tools/skills/Docker/dwy-mirror-source/scripts/apply_mirrors.py

@@ -13,7 +13,8 @@
 选项：
     --tools T1,T2,...      逗号分隔的工具列表（默认全部）
     --scope {user,project,both}  默认 user（项目级请显式指定）
-    --provider {aliyun,tsinghua,ustc}  推荐源，默认读 preference.json
+    --provider {aliyun,tsinghua,ustc}  已知源之一，默认读 preference.json（先验，不是测速结果）
+    --docker-mirrors URL,URL  按当次延迟从低到高覆盖 Docker registry-mirrors 顺序
     --project-path PATH    默认 cwd
     --dry-run              只输出 diff，不写文件（默认开启，必须 --apply 才落盘）
     --apply                显式确认落盘（与 --dry-run 互斥）
@@ -576,6 +577,11 @@ def main():
                         help="逗号分隔的工具列表，默认全部")
     parser.add_argument("--scope", choices=["user", "project", "both"], default="user")
     parser.add_argument("--provider", choices=["aliyun", "tsinghua", "ustc"], default=None)
+    parser.add_argument(
+        "--docker-mirrors",
+        default=None,
+        help="逗号分隔的 https registry-mirrors，按当次延迟从低到高。传入后覆盖内置 Docker 顺序",
+    )
     parser.add_argument("--project-path", type=Path, default=Path("."))
     parser.add_argument("--apply", action="store_true",
                         help="实际写入（默认只 dry-run 输出 diff）")
@@ -586,6 +592,13 @@ def main():
     args = parser.parse_args()
 
     provider = args.provider or load_preference()
+    if args.docker_mirrors:
+        # 内置列表是先验。探测已经给出顺序时，不能再把 DaoCloud 排回第一位。
+        ordered = [u.strip() for u in args.docker_mirrors.split(",") if u.strip()]
+        if not ordered or any(not u.startswith("https://") for u in ordered):
+            print("错误：--docker-mirrors 必须是逗号分隔的 https URL，按延迟从低到高", file=sys.stderr)
+            sys.exit(2)
+        MIRRORS[provider]["docker"] = ordered
     project = args.project_path.resolve()
     only = [t.strip() for t in args.tools.split(",") if t.strip()] if args.tools else []
 

package/templates/ai-tools/skills/Docker/dwy-mirror-source/scripts/check_mirrors.py

@@ -853,6 +853,10 @@ def main():
     else:
         text, by_status = render_text(results)
         print(text)
+        # provider 来自 preference 或参数，只是候选先验，不能当成测速赢家。
+        print()
+        print(f"候选先验: {provider}。这不是赢家。")
+        print("写入前对同一工具的候选做当次探测：内容正确者中取延迟最低。连通或域名匹配不算通过。")
 
     # 退出码：有 warn / missing / deprecated → 1；error → 2；否则 0
     has_error = any(r.status == "error" for r in results)

package/templates/ai-tools/skills/DolphinDB/dwy-dolphindb/SKILL.md

@@ -1,13 +1,15 @@
 ---
 name: dwy-dolphindb
-description: "DolphinDB 3.0 社区版（2核8G / 1控2节点）开发与审查 skill：写 DolphinDB Script (.dos)、用 Python SDK (dolphindb 3.0.4)、设计 DFS 分区表（TSDB/OLAP/PKEY/IMOLTP/VECTORDB 引擎选型）、导入 tick/snapshot/kline 金融数据、优化慢查询、排查 OOM / 卡死作业、Docker 部署、查询日期/字符串/聚合等内置函数、流计算、回测、集群运维。可基于项目级 .claude/dolphindb/schemas/ 真实 DDL 做查询性能评估。也用于代码审查：检查分区裁剪、链式比较、批量写入上限、SYMBOL 字节限制、STRING/BLOB 静默截断、输入校验防脚本注入、连接池配置、pool.run async/sync 用法。关键字触发：dolphindb, DDB, .dos, loadTable, loadTextEx, createPartitionedTable, append!, dropPartition, DBConnectionPool, tableAppender, PartitionedTableAppender, MultithreadedTableWriter, TSDB, OLAP, PKEY, IMOLTP, VECTORDB, getClusterPerf, getConsoleJobs, level2, tick 数据, 时序数据库, 8848 端口, 交易日历, 函数参考, K线合成, 流引擎, 回测引擎."
+description: "DolphinDB 开发与审查 skill：写 DolphinDB Script (.dos)、用与当前 server 配套的 Python SDK（一次常见配套是 dolphindb 3.0.4）、设计 DFS 分区表（TSDB/OLAP/PKEY/IMOLTP/VECTORDB 引擎选型）、导入 tick/snapshot/kline 金融数据、优化慢查询、排查 OOM / 卡死作业、Docker 部署、查询日期/字符串/聚合等内置函数、流计算、回测、集群运维。可基于项目级 .claude/dolphindb/schemas/ 真实 DDL 做查询性能评估。也用于代码审查：检查分区裁剪、链式比较、批量写入上限、SYMBOL 字节限制、STRING/BLOB 静默截断、输入校验防脚本注入、连接池配置、pool.run async/sync 用法。关键字触发：dolphindb, DDB, .dos, loadTable, loadTextEx, createPartitionedTable, append!, dropPartition, DBConnectionPool, tableAppender, PartitionedTableAppender, MultithreadedTableWriter, TSDB, OLAP, PKEY, IMOLTP, VECTORDB, getClusterPerf, getConsoleJobs, level2, tick 数据, 时序数据库, 8848 端口, 交易日历, 函数参考, K线合成, 流引擎, 回测引擎."
 source_url_base: https://docs.dolphindb.cn/zh
 fetched_at: 2026-05-19
 ---
 
 # DolphinDB 3.0 Skill
 
-## 当前环境
+## 某次实测环境（先验，不是所有任务的机器）
+
+连哪台、内存、磁盘、端口、连接数以本次 `getClusterPerf()` 和 license 为准。下表是一次社区版小集群的记录。IP、已分配内存、磁盘和当前连接数不要套到别的机器。社区版许可常见 2 核 8G，许可变了以本次 license 为准。SDK 版本跟当前 server 的配套说明走，`3.0.4` 只是这次配套。
 
 | 项 | 值 |
 |---|---|
@@ -17,7 +19,7 @@ fetched_at: 2026-05-19
 | 端口 | Web/控制 `http://localhost:8848`，集群另含 `192.168.0.107:8848` / `172.17.0.1:8848` 等 |
 | Worker | 4 线程，连接上限 512（当前 15） |
 | Python SDK | `dolphindb==3.0.4` |
-| 场景 | 个人/小团队 + 教学，**单查询内存上限按 2GB 控制** |
+| 场景 | 个人/小团队 + 教学，这次把单查询按 2GB 控制 |
 
 ## 文档分层（按访问顺序）
 
@@ -103,12 +105,12 @@ s.run("cancelJob(`xxxx)")                       // 异步作业
 s.run("cancelConsoleJob(`xxxx)")                // 同步作业
 ```
 
-## 核心原则（社区版 2 核 8G 死守）
+## 核心原则
 
-1. **单查询不超 2GB**：详见 [[review-rules/perf-baselines]]
+1. **单查询内存按这次机器的预算**：2 核 8G 上的先验是 2GB，详见 [[review-rules/perf-baselines]]。机器或许可不同就按本次内存重算，不要把 2GB 当所有集群的死刑线
 2. **任何 WHERE 必带分区列**且不被函数包裹 / 不写链式比较
 3. **TSDB sortColumns 不要选唯一/高基数列**（索引膨胀）
-4. **写入用 PartitionedTableAppender + DBConnectionPool**（pool size 3）
+4. **写入用 PartitionedTableAppender + DBConnectionPool**。pool size 按本次 worker，2 核 8G 的先验是 3
 5. **删数据按分区 `dropPartition`**，不用 `delete from`
 
 完整规则 → [[review-rules/lethal-violations]] + [[review-rules/anti-patterns]]

package/templates/ai-tools/skills/DolphinDB/dwy-dolphindb/references/digest/python-sdk.md

@@ -16,9 +16,9 @@ Python 应用接入 DolphinDB：建连、连接池、批量写入、流订阅、
 
 ## 安装与版本
 
-- 包名 `dolphindb`，建议固定 `3.0.4`（与 server 主线 2.00.10+ 配套）。
-- `pip install dolphindb==3.0.4`，Python 3.8–3.11；arm64 mac 走 conda 或源码。
-- API 版本须匹配 server：1.30.x / 2.00.9 之前订阅需指定本地端口；2.00.9+ 反向推送，端口参数忽略。
+- 包名 `dolphindb`。版本跟当前 server 的发行说明走。`3.0.4`、Python 3.8–3.11 是一次配套先验，不是唯一合法安装。
+- pip 失败或 server 拒绝客户端：查当前配套 wheel。该版本没有对应平台 wheel 时再走 conda 或源码。不要把新选定的版本写回本文件。
+- API 版本须匹配 server：1.30.x / 2.00.9 之前订阅需指定本地端口；2.00.9+ 反向推送，端口参数忽略。先看这次 server 版本，再决定 `enableStreaming` 要不要端口。
 
 ## session.connect 关键参数
 

package/templates/ai-tools/skills/DolphinDB/dwy-dolphindb/references/digest/stream-engine.md

@@ -63,7 +63,7 @@ Python API：
 import dolphindb as ddb
 s = ddb.session()
 s.connect("127.0.0.1", 8848, "admin", "123456")
-s.enableStreaming(9999)  # 本机监听端口
+s.enableStreaming(9999)  # 2.00.9 之前要本机端口。2.00.9+ 反向推送，端口可省略。9999 只是示例
 
 def handler(msg):
     print(msg)  # msg 为 list 或 DataFrame，取决于 msgAsTable
@@ -121,7 +121,7 @@ subscribeTable(
 - **流计算函数限制**：响应式状态引擎只支持「状态函数」（内置滑窗/累积/topN 或 `@state` 修饰的自定义函数）；普通自定义函数若有状态依赖必须显式声明 `@state`。
 - **不支持聚合嵌套**：时序引擎 `metrics` 中禁止 `sum(spread(ask,bid))` 这种聚合套聚合。
 - **窗口边界规整**：第一个窗口起点按数据时间向 step 取整（不是数据到达时间）；窗口结束需要后续数据触发，最后一个不完整窗口不会被计算（除非用 `forceTriggerTime` / `closed=\`left` 等参数）。
-- **Python 订阅端口**：`enableStreaming(port)` 监听的是**客户端**端口，需保证防火墙放行 server → client 方向；否则订阅创建成功但 handler 收不到数据。
+- **Python 订阅端口**：2.00.9 之前 `enableStreaming(port)` 监听的是**客户端**端口，需保证防火墙放行 server → client 方向；否则订阅创建成功但 handler 收不到数据。2.00.9+ 反向推送，不要再把示例端口 9999 当成必填。先看这次 server 版本。
 - **offset 含义**：`-1` = 从订阅当下最新位置开始；`0` = 从流表第一条开始；正整数 = 从该位置开始。回测/补数据用 `0`，实盘用 `-1`。
 - **outputTable 类型**：普通 table → 终点；share streamTable → 可被下游引擎再订阅串接。