create-dwy 0.19.1 → 0.20.0

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/scripts/check_docker.sh

@@ -43,7 +43,7 @@ docker ps --format "{{.Names}}|{{.Ports}}" 2>/dev/null | while IFS='|' read -r n
 done
 
 echo ""
-echo "--- 镜像 tag 分级检查 (生产期望: 固定到具体 patch, 跑 /dwy-docker 选 N-1 minor) ---"
+echo "--- 镜像 tag 分级检查 (生产期望: 固定到具体 patch, 跑 /dwy-docker 按当次 tag 列表选) ---"
 # 浮动 tag 黑名单 (无版本号或仅描述类的)
 FLOATING_TAGS='^(latest|stable|mainline|edge|current|alpine|slim|bookworm|bullseye|buster|jammy|focal|noble|nightly)$'
 docker ps --format "{{.Names}}|{{.Image}}" 2>/dev/null | while IFS='|' read -r name image; do
@@ -87,7 +87,7 @@ docker ps --format "{{.Names}}|{{.Image}}" 2>/dev/null | while IFS='|' read -r n
   fi
 done
 echo ""
-echo "[i] 修复:对每条 [!!!] / [!!] / [!] 的镜像,跑 /dwy-docker 用 query_dockerhub.py 拿 N-1 minor 推荐版本"
+echo "[i] 修复:对每条 [!!!] / [!!] / [!] 的镜像,跑 /dwy-docker 按当次 tag 列表固定版本。query_dockerhub.py 只是 Hub 先验"
 
 echo ""
 echo "--- 容器是否以 root 运行 ---"
@@ -169,7 +169,7 @@ echo "max-size:   ${LOG_MAX_SIZE:-(未配置, 单容器日志可无限增长)}"
 echo "max-file:   ${LOG_MAX_FILE:-(未配置)}"
 if [[ -z "$LOG_MAX_SIZE" ]]; then
   echo "[!!] HIGH: 未限制单容器日志大小,长跑容器可能写满磁盘"
-  echo "      建议: daemon.json 加 \"log-opts\": {\"max-size\": \"100m\", \"max-file\": \"3\"}"
+  echo "      建议: daemon.json 的 log-opts 写上 max-size 和 max-file。数字按 check_logs 的日增量和根盘剩余，没有增速才用冷启动先验，不要写死 100m"
 fi
 
 echo ""
@@ -177,39 +177,36 @@ echo "--- docker compose 文件位置 (用于人工核查) ---"
 sudo -n find /home /opt /srv /root -maxdepth 5 \( -name "docker-compose*.yml" -o -name "compose.yml" \) 2>/dev/null | head -10
 
 echo ""
-echo "--- 镜像源加速检查 (国内服务器拉境外镜像必装) ---"
-# a. 时区判定 (粗判境内)
+echo "--- 镜像源 (候选名单不是合格线) ---"
+# a. 时区只说明要不要考虑公网加速，不决定哪个源合格
 TZ_VAL=$(timedatectl show -p Timezone --value 2>/dev/null || readlink -f /etc/localtime 2>/dev/null | sed 's|.*/zoneinfo/||')
 echo "服务器时区: ${TZ_VAL:-unknown}"
 LIKELY_CN=0
 case "$TZ_VAL" in
   Asia/Shanghai|Asia/Chongqing|Asia/Urumqi|Asia/Harbin|Asia/Hong_Kong|PRC) LIKELY_CN=1 ;;
 esac
-[[ "$LIKELY_CN" == "1" ]] && echo "→ 时区在 PRC, 拉境外 registry 不加速会非常慢" \
-                          || echo "→ 时区非 PRC, 加速可选"
+[[ "$LIKELY_CN" == "1" ]] && echo "→ 时区在 PRC。拉 docker.io 前先探测，私有库不参加公网竞速" \
+                          || echo "→ 时区非 PRC。加速可选"
 
 # b. daemon.json registry-mirrors
+# 主机名在候选名单里不等于通过。合格要看当次 Registry 请求的内容和延迟。
 echo ""
 MIRRORS=$(echo "$DAEMON_JSON" | grep -oE '"registry-mirrors"[[:space:]]*:[[:space:]]*\[[^]]*\]' | head -1)
 if [[ -n "$MIRRORS" ]]; then
   echo "daemon registry-mirrors:"
   echo "  $MIRRORS"
-  # 简单识别推荐源
   echo "$MIRRORS" | grep -oE 'https?://[a-zA-Z0-9.-]+' | while read u; do
     case "$u" in
       *daocloud*|*aliyun*|*aliyuncs*|*ustc*|*tsinghua*|*163*|*tencent*|*huaweicloud*)
-        echo "    [OK] $u (国内加速源)" ;;
+        echo "    [i]  $u (在候选名单里，未测延迟和内容)" ;;
       *)
-        echo "    [i]  $u (非已知国内主流源, 确认是否仍可用)" ;;
+        echo "    [i]  $u (名单外。私有库或用户指定源保持不动；公网源要当次探测)" ;;
     esac
   done
 else
-  if [[ "$LIKELY_CN" == "1" ]]; then
-    echo "[!!] HIGH: daemon.json 未配 registry-mirrors, 国内服务器拉 docker.io 镜像会非常慢"
-  else
-    echo "[i] daemon.json 未配 registry-mirrors (境外服务器一般不需要)"
-  fi
-  echo "      修复: 跑 /dwy-mirror-source 自动写入阿里云/中科大/daocloud 镜像源"
+  echo "[i] daemon.json 未配 registry-mirrors"
+  echo "    拉的是 docker.io 公网时，跑 /dwy-mirror-source，当次探测后按延迟从低到高写入"
+  echo "    不要因为没写 daocloud 判失败。私有库或用户指定源不参加公网竞速"
 fi
 
 # c. 当前运行中容器使用的境外 registry (registry-mirrors 仅对 docker.io 生效)
@@ -231,21 +228,20 @@ docker ps --format "{{.Names}}|{{.Image}}" 2>/dev/null | while IFS='|' read -r n
 
   case "$registry" in
     docker.io)
-      tag="OK 走 daemon registry-mirrors 加速"
-      [[ -z "$MIRRORS" && "$LIKELY_CN" == "1" ]] && tag="[!!] 未配 mirror 国内拉取慢"
+      tag="[i] docker.io。加速是否最快看当次探测，不看名单里有没有源"
       ;;
     gcr.io|ghcr.io|k8s.gcr.io|registry.k8s.io|quay.io|mcr.microsoft.com|nvcr.io|docker.elastic.co)
       if [[ "$LIKELY_CN" == "1" ]]; then
-        tag="[!!] HIGH 境外 registry, registry-mirrors 不生效, 必须把 image 名改 *.m.daocloud.io 前缀"
+        tag="[!!] HIGH 境外 registry, registry-mirrors 不生效, 跑 /dwy-mirror-source 选当次延迟最低且内容正确的前缀"
       else
         tag="[i] 境外 registry"
       fi
       ;;
     *daocloud*|*aliyun*|*aliyuncs*|*ustc*)
-      tag="[OK] 已用国内镜像前缀"
+      tag="[i] 用了候选前缀，未测是否本次最快"
       ;;
     *)
-      tag="[i] 自建/私有 registry"
+      tag="[i] 自建/私有 registry，不参加公网竞速"
       ;;
   esac
   printf "  %-32s registry=%-32s %s\n" "$name" "$registry" "$tag"
@@ -253,7 +249,7 @@ done
 
 echo ""
 echo "[i] 修复路径:"
-echo "      1. docker.io 加速  → /dwy-mirror-source 自动配 daemon registry-mirrors"
-echo "      2. gcr/ghcr/k8s    → 把 image 改 <registry>.m.daocloud.io 前缀, 见 dwy-mirror-source 镜像替换表"
-echo "      3. 镜像版本不固定  → /dwy-docker 选 N-1 minor 重新固定"
+echo "      1. docker.io 加速  → /dwy-mirror-source 当次探测后按延迟排序写入 registry-mirrors"
+echo "      2. gcr/ghcr/k8s    → 把 image 改成当次延迟最低的前缀, 候选见 dwy-mirror-source"
+echo "      3. 镜像版本不固定  → /dwy-docker 按当次 tag 列表固定，N-1 只是偏好"
 REMOTE

package/templates/ai-tools/skills//345/256/211/345/205/250/dwy-deploy-audit/scripts/check_logs.sh

@@ -190,9 +190,9 @@ echo "估算 Docker 日志日均增量: ${GROWTH_MB} MB/day (基于容器存活
 if [[ "$GROWTH_MB" -gt 0 && "$ROOT_FREE_MB" -gt 0 ]]; then
   DAYS=$(( ROOT_FREE_MB / GROWTH_MB ))
   echo "按当前增速预计可撑: ${DAYS} 天 (粗估, 仅算 docker json-log)"
-  if   [[ "$DAYS" -lt 30 ]]; then echo "[!!!] CRITICAL: 不足 30 天, 必须立即配 log-opts 或扩盘"
-  elif [[ "$DAYS" -lt 90 ]]; then echo "[!!] HIGH: 不足 90 天, 建议尽快补 log-opts max-size"
-  else echo "[OK] 撑天数 >= 90 天"
+  if   [[ "$DAYS" -lt 30 ]]; then echo "[!!!] CRITICAL: 按当前增速不足 30 天写满根盘。先确认已有 max-size；配额按这条增速收紧或扩盘，不要套用固定的 10m/50m/100m"
+  elif [[ "$DAYS" -lt 90 ]]; then echo "[!!] HIGH: 按当前增速不足 90 天写满根盘。30/90 天是告警线，不是要配成的保留天数"
+  else echo "[i] 按当前增速撑过 90 天。90 天是告警线，不是目标配额"
   fi
 else
   echo "[i] 无法估算日均增量 (容器刚起或无日志)"

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/dwy-doubao-tts/SKILL.md

@@ -18,8 +18,10 @@ description: >
 1. **私人配置唯一位置**：`~/.dwy/config.yaml`（权限 `600`），豆包段为顶层 key `doubao_tts`
 2. **禁止**把 `api_key`、音色 ID 写入 skill、项目、commit；禁止回显完整 Key
 3. 输出音频默认 `doubao_tts.output_dir`（默认 `~/Movies/doubao-tts`），不落到仓库内
-4. 模型资源：`X-Api-Resource-Id: seed-icl-2.0`
-5. 接口：`POST https://openspeech.bytedance.com/api/v3/tts/unidirectional`
+
+## 当前接口先验
+
+写作时可用的资源是 `seed-icl-2.0`，地址是 `POST https://openspeech.bytedance.com/api/v3/tts/unidirectional`。真正调用以 `~/.dwy/config.yaml` 的 `resource_id` 和 `endpoint` 为准。返回 4xx、模型下线或连不上时，查火山引擎控制台当前文档和账号已开通资源，换可用地址和资源 ID。不要把查到的新地址写回本 skill。结束码 `20000000`、`speech_rate` / `loudness_rate` 的 `[-50,100]` 只属于这条先验接口，换接口后以新文档为准。
 
 ## 全局配置约定（`~/.dwy/config.yaml`）
 

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/dwy-doubao-tts/references/api.md

@@ -1,6 +1,6 @@
 # 豆包单向流式 TTS（HTTP Chunked）摘要
 
-权威字段以火山引擎控制台文档为准。实现以 `scripts/synthesize.py` 为准。
+权威字段以火山引擎控制台文档为准。实现以 `scripts/synthesize.py` 为准。下面的地址、`seed-icl-2.0`、结束码和取值范围是当前先验。调用失败或模型下线就换控制台当前文档，不要把新地址写回本文件。
 
 ## 配置
 

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/dwy-doubao-tts/scripts/synthesize.py

@@ -206,6 +206,7 @@ def synthesize(
     timeout: int,
 ) -> dict[str, Any]:
     """发单向流式请求，拼接 base64 音频并落盘。"""
+    # 配置缺字段时才用当前先验。4xx 或模型下线不要死磕这两条，改查火山控制台文档。
     endpoint = cfg.get("endpoint") or "https://openspeech.bytedance.com/api/v3/tts/unidirectional"
     resource_id = cfg.get("resource_id") or "seed-icl-2.0"
     speaker = speaker_id(cfg, voice_key)

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/media-platform-packaging/SKILL.md

@@ -35,13 +35,15 @@ description: |
 
 ## 平台文案规则
 
+字数上限和标签分隔符是各平台当前发布页的先验。交付前以该平台此刻的输入限制为准。页面改了上限或分隔符，按页面改文案。不要用 20、16 或英文逗号把一份文案判失败，也不要把新上限写回本文件。
+
 | 平台 | 标题策略 | 简介与标签 |
 |---|---|---|
 | B站 | 主题 + 明确收益；长度不强行压缩 | 用开场问题、内容范围、一个边界或收获；4–7 个 `#标签` |
-| YouTube | 主题 + 明确收益；长度不强行压缩 | 用开场问题、内容范围、一个边界或收获；标签字段使用多个关键词，并以**英文逗号**分隔，例如 `AI education, large language models, Transformer` |
+| YouTube | 主题 + 明确收益；长度不强行压缩 | 用开场问题、内容范围、一个边界或收获；标签字段当前先验是不用 `#`、多个关键词用英文逗号分隔，例如 `AI education, large language models, Transformer` |
 | 抖音 | 问题或反常识钩子优先 | 1–2 句，强调观看收益；3–6 个标签 |
-| 小红书 | **必须不超过 20 个汉字（标点计入）**；先写“小白也能懂”或直接收益 | 2–4 句，口语、可保存；5–8 个标签 |
-| 微信视频号 | **必须不超过 16 个字符（中文、英文、数字与标点均计入）**；优先“人群 + 主题/收益” | 1–2 句，直接说明看完能获得什么；3–5 个标签 |
+| 小红书 | 当前上限先验：20 个汉字（标点计入）。先写“小白也能懂”或直接收益 | 2–4 句，口语、可保存；5–8 个标签 |
+| 微信视频号 | 当前上限先验：16 个字符（中文、英文、数字与标点均计入）。优先“人群 + 主题/收益” | 1–2 句，直接说明看完能获得什么；3–5 个标签 |
 
 避免“保姆级”“秒变专家”“全网最全”等空泛承诺。标题、封面主字和简介可以分工，不能机械重复。
 
@@ -118,8 +120,8 @@ description: |
 
 ## 交付前检查
 
-- [ ] 小红书标题 ≤20 字。
-- [ ] 微信视频号标题 ≤16 字（标点计入）。
+- [ ] 小红书标题不超过该平台当前标题上限。页面上读不到限制时，用先验 20 字（标点计入）。
+- [ ] 微信视频号标题不超过该平台当前标题上限。页面上读不到限制时，用先验 16 字（标点计入）。
 - [ ] 每个封面只含一个主标题，且与缩略图尺寸匹配。
 - [ ] 16:9、4:3、3:4 是独立构图，不是同图硬裁。
 - [ ] 已核对并报告每张图片的像素比例与保存路径。

package/templates/ai-tools/skills//350/207/252/345/252/222/344/275/223/media-platform-packaging/references/platform-copy-examples.md

@@ -1,8 +1,10 @@
 # 平台文案示例
 
+字数和标签分隔符跟 `SKILL.md` 一样，是当前发布页的先验。页面限制变了，以页面为准。
+
 ## 小红书标题长度
 
-计算 Unicode 字符数，标点也计入。上限 20。
+计算 Unicode 字符数，标点也计入。当前上限先验 20。
 
 | 合格示例 | 字符数 |
 |---|---:|
@@ -11,7 +13,7 @@
 
 ## 微信视频号标题长度
 
-计算 Unicode 字符数，中文、英文、数字和标点均计入；上限 16。
+计算 Unicode 字符数，中文、英文、数字和标点均计入。当前上限先验 16。
 
 | 合格示例 | 字符数 |
 |---|---:|
@@ -20,7 +22,7 @@
 
 ## YouTube 标签格式
 
-YouTube 的标签字段不使用 `#`，多个标签必须用英文逗号分隔：
+YouTube 标签字段的当前先验：不用 `#`，多个标签用英文逗号分隔。发布页改了分隔符就跟页面走：
 
 ```text
 AI education, large language models, Transformer, generative AI

package/templates/ai-tools/skills//351/200/232/347/224/250/dwy-dependency-choice/SKILL.md

@@ -0,0 +1,140 @@
+---
+name: dwy-dependency-choice
+description: "新增或升级运行时依赖、选版本、选基础镜像 / SDK、检查开源许可证时必须使用（即使用户没说 skill 名）。只选发布满 7 天的正式版；闭源商用禁止 GPL / AGPL / SSPL / 非商业许可。各栈查发布时间和隐私协议附录模板在本 skill。不负责本包自己的 SemVer（那是 dwy-semver）。已安装的旧版本不用为此升级。"
+---
+
+# 依赖选型（版本 + 许可）
+
+新装或新选依赖、base 镜像、SDK、字体、图标、素材、模型权重时读本 skill。已安装的旧版本不用为此升级。本包自己的版本号走 `dwy-semver`。
+
+没有 skill 的工具只看这两份短 rule，和本 skill 冲突时以本 skill 为准：`rules/开发流程/dwy-dependency-freshness.md`、`rules/开发流程/dwy-oss-commercial-license.md`。
+
+## 一、版本
+
+预发布（beta / rc / alpha）未冻结 API。刚发布的正式版也常带回归。先丢掉预发布，再查正式版的首次发布时间，避开不满 7 天的版本。
+
+适用所有包管理器。下面没列出的栈，查该包实际所在的 registry。
+
+### 适用边界
+
+- 只约束首次选型：新项目引入新包、新搭脚手架选 base 镜像 / SDK、原项目引入此前没用过的依赖。
+- 已安装的旧版本无需为此升级。
+- 7 天是下限排除条件，不是「必须选最近一个满 7 天的版本」。最终选哪个稳定正式版，看成熟度、维护、体积、和当前栈是否兼容。
+
+### 硬约束
+
+候选必须同时满足下面两条。给用户的选项同样只列合格版本。
+
+- 只选正式版。禁止版本号或 tag 含 `beta` / `rc` / `alpha` / `preview` / `nightly` / `snapshot` / `canary` / `dev` / `experimental`，或 registry 标为 pre-release（npm dist-tag `next` / `beta` / `rc`、GitHub `prerelease: true`、PyPI 版本号带 `a` / `b` / `rc`）。预发布即使超过 7 天也不用。
+- 选定前查该正式版的首次发布时间。用官方 registry 的发布时间，不是上传时间，不是 `latest` / `stable` tag 时间。
+- 禁止采用发布时间距今不满 7 天的版本。含安全补丁，无例外。等满 7 天再用。
+- 禁止 `@latest` / `latest` / `stable` / 浮动 tag / 不带版本号。这些会落到刚发布的版本或预发布通道。
+- 用户口头点名某个 beta / rc：不直接装。说明只选正式版，改给最近一个合格正式版让用户确认。
+
+### 各栈查发布时间
+
+表里的 URL 和字段是当前先验。包不在这个宿主、字段不是首次发布，或请求失败，就换它实际所在的 registry 或发行说明。不要用示例版本号顶上。查到的新入口不要写回本表。
+
+| 栈 | 查发布时间 |
+| --- | --- |
+| npm / pnpm | 先验：`npm view <pkg> time --json`。官方 registry 连不上，或包不在 npmjs，改查实际所在的 registry。刚发布的传播延迟不是换源的理由 |
+| uv / pip | 先验：`https://pypi.org/pypi/<pkg>/json`。取该版本各文件里最早的 `upload_time`，不要默认 `[0]` 就是首次。包不在 pypi.org 就查它实际所在的 index |
+| Docker | 查该 tag 的首次发布时间。Hub tags API 的 `last_updated` 会因重复推送变动，不能当成首次发布。Hub 不通或镜像不在 Hub 时改查它所在 registry |
+| Android（Gradle / Maven） | 先验：包所在仓库的 `maven-metadata.xml`。`<lastUpdated>` 会随元数据重写，不能单独当成首次发布。对不上就看该版本的发行说明或 tag。包不在 Maven Central 就查它实际的仓库 |
+| iOS（CocoaPods） | 先验：`https://github.com/CocoaPods/Specs` 或该 pod 源仓库的 release / tag。不在 Specs 里就查实际 spec 源 |
+| iOS（SPM） | 源仓库 release / tag 时间 |
+| 鸿蒙（ohpm） | 先验：ohpm registry 包元数据 publishTime。这个 host 没有该包就查项目实际使用的 ohpm 源 |
+| Flutter（pub） | 先验：`https://pub.dev/packages/<pkg>` 的 published，或 pub API。私有 pub 用那个 host |
+
+拿不到精确发布时间：选更早的正式版，不选「最新」，不选 beta。
+
+```bash
+# 反例：预发布，即使发布超过 7 天也不用
+pnpm add some-pkg@1.3.0-beta.2
+uv add some-pkg==2.0.0rc1
+FROM node:23.0.0-rc
+
+# 反例：直接装 latest
+pnpm add some-pkg@latest
+FROM node:latest
+
+# 正例：先查正式版发布时间，再锁一个已满 7 天的正式版
+npm view some-pkg time --json
+pnpm add some-pkg@1.2.3
+```
+
+## 二、许可
+
+闭源商用（收费、SaaS、付费 App、对外交付）引入开源库时查许可。纯学习原型先不挡；一旦上架或收费，补齐本节。
+
+当前仓库本身是对外发布的开源库时，依赖许可按该库自己的许可证评估。GPL 不因为本节自动禁止。
+
+只查直接依赖，不强制盘传递依赖。覆盖 npm/pnpm、PyPI/uv、CocoaPods/SPM、Gradle/Maven、ohpm、pub、Docker 基础镜像、字体、图标、素材、模型权重与 SDK。
+
+### 三条
+
+1. 未确认 license 的包禁止引入。
+2. 明确不可商用或强 copyleft：换可商用替代，或购买商业授权。不要直接使用。
+3. 只有许可强制要求署名 / NOTICE 时，才在隐私协议附录声明（含锁定版本）。不强制署名的库不写。
+
+### 禁止引入
+
+| 类型 | 常见标识 | 原因 |
+| --- | --- | --- |
+| 明确非商业 | `CC-BY-NC*`、`CC-NC`、`PolyForm-Noncommercial`、许可证写 Non-Commercial / No Commercial Use | 商用即侵权 |
+| 强传染 copyleft（闭源商用） | `GPL-2.0`、`GPL-3.0`、`AGPL-3.0`、`SSPL` | 可能强制整包开源或限制网络服务形态 |
+| 限制竞争 / 生产用途 | `BUSL`（未到 Change Date 且限制 Production）、Commons Clause、部分 Source-Available | 表面开源，实则禁商用或禁竞争 |
+| 仅免费个人 / 评估 | 字体、图标、SDK 写 free for personal use only、evaluation only | 商用需买授权 |
+| 无 license | 仓库无 LICENSE，或 all rights reserved 却当开源用 | 默认不可用 |
+
+已知会把上表许可顶进运行时链接的包也不得引。
+
+例外必须记下来：已购买商业授权且合同覆盖当前用途（授权方、合同编号、到期日）；LGPL 不得默认通过，单独评估后再定。
+
+选型对比加一列 License：
+
+- `OK-商用`：可商用，无强制署名则声明页可不写
+- `OK-商用+强制署名`：MIT / BSD / Apache-2.0 / ISC 等要求保留版权与许可声明，进隐私协议附录
+- `OK-商用+额外义务`：Apache NOTICE、MPL 文件级 copyleft，按义务处理
+- `禁-不可商用/高风险`：不得作为推荐默认项
+
+### 强制署名时的声明
+
+许可明确要求 attribution / copyright notice / NOTICE / 保留许可文本时才声明。
+
+落点只有隐私协议附录「第三方开源组件」。不写进个人信息处理条款正文。关于页可以链到附录，不替代附录。
+
+| 字段 | 说明 |
+| --- | --- |
+| 组件名 | 直接依赖包名 |
+| 版本 | lockfile 里的锁定版本，禁止只写 `latest` |
+| 许可证 | SPDX 标识 |
+| 版权声明 | 来自 LICENSE 或包元数据 |
+| 许可全文或链接 | 全文或稳定 URL |
+
+```text
+附录：第三方开源组件
+
+本产品直接使用的、且许可证要求保留声明的开源组件如下：
+
+1. axios 1.7.9
+   License: MIT
+   Copyright (c) 2014-present Matt Zabriskie
+   https://github.com/axios/axios/blob/v1.7.9/LICENSE
+```
+
+只列直接依赖里许可强制署名的项。新增、替换、锁定版本变更时更新附录。发版前附录版本与 lockfile 一致，已移除的组件从附录删掉。
+
+### 常见许可
+
+| SPDX | 商用闭源 | 是否强制进附录 |
+| --- | --- | --- |
+| MIT / ISC / BSD-2/3 | 可 | 是 |
+| Apache-2.0 | 可 | 是（保留 NOTICE） |
+| MPL-2.0 | 通常可 | 按义务；改过的 MPL 文件另有开源义务 |
+| LGPL-2.1/3.0 | 须单独评估 | 评估通过后再定 |
+| GPL / AGPL / SSPL | 禁 | — |
+| CC-BY-NC* | 禁 | — |
+| 无 license | 禁 | — |
+
+推荐开源方案时带上 license 和商用结论（OK / OK+强制署名 / 禁 / 需商业授权）。禁区许可不作为默认推荐，改列可商用替代。不得以「业界都在用」跳过核查。

package/templates/ai-tools/skills//351/200/232/347/224/250/dwy-git-commit/SKILL.md

@@ -0,0 +1,113 @@
+---
+name: dwy-git-commit
+description: "准备 git commit、写 commit message、处理 git pull / rebase 冲突、做提交前检查时必须使用（即使用户没说 skill 名）。先 fetch 再 rebase，冲突未清零不提交；暂存区不进密钥；message 用约定 type；删掉 AI 署名。只改代码、不提交时不要用。"
+---
+
+# Git 提交
+
+本次任务包含提交、commit message、`git pull` / rebase 冲突、提交前检查时读本 skill。只改代码、不提交时不用。
+
+没有 skill 的工具只看 `rules/开发流程/dwy-git-commit.md`。和那份短 rule 冲突时以本 skill 为准。
+
+任一步不通过：中止提交。项目按多人协作处理，本地未基于最新远程提交前，禁止产生新 commit。
+
+## 1. 顺序
+
+1. 拉取远程并处理完全部冲突
+2. 安全写法检查
+3. 暂存区敏感扫描
+4. 变更范围确认
+5. Scope 与 message 格式
+6. 删掉 AI 署名
+
+## 2. 先同步远程
+
+未完成同步、冲突未清零：禁止 `git commit`。
+
+先 fetch，再 rebase。工作区有未提交改动时带 `--autostash`，禁止为了拉代码丢弃本地改动。
+
+```bash
+git fetch origin
+git pull --rebase --autostash
+```
+
+当前分支已设置上游时，上面两条即可。未设置上游但远程存在同名分支：
+
+```bash
+git fetch origin
+git pull --rebase --autostash origin "$(git branch --show-current)"
+```
+
+无 `origin` 时，对实际存在的 remote 做同等操作。
+
+冲突出现后：
+
+1. 逐处消解 `<<<<<<<` / `=======` / `>>>>>>>`。
+2. `git add` 已解决文件。
+3. rebase 进行中用 `git rebase --continue`，不要另开 `git commit` 顶掉 rebase。
+4. stash 弹出后再次冲突，同样消解并 `git add`。
+5. 全库无冲突标记、无未结束的 rebase / merge，再做后面的检查。
+
+禁止用 `git rebase --abort` / `git merge --abort` 躲冲突后直接提交。
+
+只有这两种情况可以跳过同步，并在回复里写明原因：仓库没有任何 remote；`git fetch` 后当前分支在所有 remote 上都不存在同名分支。
+
+| 情况 | 处理 |
+| --- | --- |
+| fetch / pull 网络失败 | 中止提交 |
+| 仍有冲突标记或 rebase / merge 未结束 | 中止提交 |
+| 已落后远程却未 rebase 完成 | 中止提交 |
+| 改动很小、刚才拉过、先提交再拉、猜远程没人推 | 仍要先 fetch |
+| 用 force push 顶掉远程 | 禁止用强推代替拉取 |
+
+## 3. 命令写法
+
+`git commit -m "..."` 会对双引号内容做 shell 展开。出现反引号或 `$(...)` 时，禁止直接使用双引号。
+
+优先把 message 写进文件：
+
+```bash
+git commit -F /tmp/commit-msg.txt
+```
+
+message 内无单引号时，可以用单引号：`git commit -m 'feat: 支持 runConcurrent'`。
+
+## 4. 暂存区敏感扫描
+
+同时看 `git diff --cached` 和 `git diff --cached --name-only`。
+
+禁止提交：`.env*`、`*.pem`、`*.key`、`*.p12`、`*.pfx`、`*.jks`、`*.keystore`、真实数据的 `*.sql`、`*.dump`、`*.sqlite`、敏感表的 `*.xlsx` / `*.csv`、`*.log`、`pgdata/`、`cache/*.json`。
+
+禁止内容：`sk-` 开头的 API Key、`AKIA` 开头的 AWS Key、`ghp_` GitHub Token、`password=`、`token=`、`secret=`、明文数据库连接串、私钥头、`IP:端口`、`ssh user@ip`。
+
+`.env.example`、环境变量读取方式、`localhost` / `127.0.0.1` 示例连接串可以留。
+
+命中后停止，输出 `文件名:行号:命中片段` 和改法（`.gitignore`、改环境变量、换占位符）。用户确认后才能继续。用户强制提交时，message body 追加 `GIT-SECURITY: 用户已确认提交此内容`。
+
+## 5. 范围与 message
+
+先看 `git diff --cached`。一条 subject 说不清这次改动，就拆 commit。
+
+格式：`<type>(<scope>): <subject>`，或 `<type>: <subject>`。破坏性变更写成 `feat!:` / `fix!:`（有 scope 时 `feat(<scope>)!:`），body 加 `BREAKING CHANGE: ...`。
+
+`type` 只使用：`feat`、`fix`、`refactor`、`chore`、`docs`、`test`、`perf`、`style`、`ci`。
+
+Scope 按变更模块和仓库现有习惯。单模块优先加 scope。跨模块可以不加。归不稳时宁可不加，不新造一套 scope。
+
+`subject`：中文动宾短语，不超过 72 字符，不用句号，不含 emoji。body 只写为什么。
+
+示例：
+
+- `feat(eui): 添加 Image 组件懒加载支持`
+- `refactor(backend): 提取分页逻辑为共享工具`
+- `fix(eui)!: 重构 EDialog open 属性为 v-model:open`
+
+## 6. AI 署名
+
+提交前看完整的 commit 命令和 message 文件。有 AI 署名就删掉再提交。环境会自己往命令里塞署名（例如 `Co-authored-by: Cursor <cursoragent@cursor.com>`），看见就去掉。
+
+hook 会拦：`Co-Authored-By:`、`Generated with`、Claude / ChatGPT / GPT / Copilot / Cursor 等产品名、`noreply@anthropic.com`、`noreply@openai.com`。
+
+名单里没有的，提交前自己判断。一行只要是在给 AI 工具、模型、Agent、机器人署名，或声明这段提交由 AI 生成、协助、代写，就删。人写的正常说明留着。
+
+不要加 `--trailer`，不要多一条 `-m` 放署名，不要把署名留在 `-F` 的文件里。hook 拦住之后删掉再交，不绕过 hook。

package/templates/ai-tools/skills//351/200/232/347/224/250/dwy-shared/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: dwy-shared
-description: "管理 dwy-shared 模板仓库与 dwy CLI 工具。功能 1：把本机已有的 skill/rule/hook/command 文件加进 dwy-shared 仓库时，自动读现有分类目录、推荐归位、AskUserQuestion 确认后 cp/git mv + commit + push 到 Gitee，让别的项目用 dwy claude sync 拉到。功能 2：管理 dwy npm CLI（create-dwy）的安装/更新/卸载/版本查询/CDN 延迟应急。涉及以下任何场景必须使用此 skill：用户说「加 X 到 dwy-shared」「在 dwy-shared 新增 skill/rule/hook/command」「dwy 仓库整理」「dwy-shared 仓库管理」「换 dwy-shared 仓库路径」「重设 dwy-shared」「升级/装/卸/重装 dwy CLI」「dwy 拉不到最新版」「create-dwy 怎么装」「dwy --version 显示旧版」「dwy CDN 没传播」。"
+description: "管理 dwy-shared 模板仓库与 dwy CLI 工具。功能 1：把本机已有的 skill/rule/hook/command 文件加进 dwy-shared 仓库时，自动读现有分类目录、推荐归位、AskUserQuestion 确认后 cp/git mv + commit + push 到 origin。发布新的 create-dwy 后，其他项目跑 dwy，选同步项目配置。功能 2：管理 dwy npm CLI（create-dwy）的安装/更新/卸载/版本查询/CDN 延迟应急。涉及以下任何场景必须使用此 skill：用户说「加 X 到 dwy-shared」「在 dwy-shared 新增 skill/rule/hook/command」「dwy 仓库整理」「dwy-shared 仓库管理」「换 dwy-shared 仓库路径」「重设 dwy-shared」「升级/装/卸/重装 dwy CLI」「dwy 拉不到最新版」「create-dwy 怎么装」「dwy --version 显示旧版」「dwy CDN 没传播」。"
 ---
 
 # dwy-shared 仓库管理
@@ -29,7 +29,7 @@ skill 与 dwy-shared 仓库深度绑定但**不硬编码路径**。每次执行
 ```json
 {
   "repo_path": "/绝对/路径/到/dwy-shared",
-  "git_url": "https://gitee.com/snailyuanyuan/dwy-shared.git",
+  "git_url": "https://github.com/danweiyuancircle/dwy-ai-experience.git",
   "configured_at": "2026-05-18T12:34:56Z"
 }
 ```
@@ -61,7 +61,7 @@ fi
    - **未 clone**：输出 git URL 让用户先 clone：
 
      ```
-     git clone https://gitee.com/snailyuanyuan/dwy-shared.git <你想放的位置>
+     git clone https://github.com/danweiyuancircle/dwy-ai-experience.git <你想放的位置>
      ```
 
      然后告诉路径
@@ -77,7 +77,7 @@ fi
    cat > "$HOME/.config/dwy-shared/repo.json" <<EOF
    {
      "repo_path": "$PATH",
-     "git_url": "https://gitee.com/snailyuanyuan/dwy-shared.git",
+     "git_url": "https://github.com/danweiyuancircle/dwy-ai-experience.git",
      "configured_at": "$(date -u +%Y-%m-%dT%H:%M:%SZ)"
    }
    EOF
@@ -129,7 +129,7 @@ done
 
 读源文件的 description / 内容前 500 字，结合现有分类样例，推荐 1 个最匹配分类。
 
-分类目录必须和同步 Tab 的包名对齐：技术栈用 `通用` / `Vue` / `Python` / `Docker` 等，场景用 `产品0到1` / `自媒体` / `发布发版` / `安全` / `内容创作` / `DolphinDB`。不要再建 `基础库` / `脚手架` / `元工具` 这种与包不对齐的目录。新文件明显不属于任何现有包时，**主动建议新建分类（同时要在 `sync-packs.js` 加包）**。
+同步界面按模板实际分类目录自动生成 Tab，Skills 与 Rules 依次逐项勾选。优先复用 `通用` / `Vue` / `Python` / `Docker` / `产品0到1` / `自媒体` / `发布发版` / `安全` / `内容创作` / `DolphinDB` 等已有分类，避免同义分类重复。新文件不属于现有分类时，建议新建分类目录；不再维护技术栈包或场景包映射。
 
 ### 步骤 5：AskUserQuestion 确认分类
 
@@ -216,13 +216,16 @@ git -C "$REPO_PATH" push origin master
 ### 步骤 11：完成提示
 
 告知用户：
-- ✓ 已 push 到 Gitee
-- 更新当前仓库的 `templates/ai-tools/` 后，发布新的 `create-dwy` 版本；其他项目升级 CLI 后即可使用新模板
+- ✓ 已 push 到 origin
+- 更新当前仓库的 `templates/ai-tools/` 后，发布新的 `create-dwy` 版本；其他项目升级 CLI 后跑 `dwy`，选同步项目配置
 - 提醒：如果对方 dwy CLI <0.12.0，必须先升级 CLI 才能识别分类目录结构
 
 ## 工作流程 B：dwy CLI 管理
 
-固定命令封装：
+官方 registry `https://registry.npmjs.org/` 是刚发布包的先验，镜像经常落后。先用它。
+
+- 传播延迟：刚 publish，`ETARGET` 或 `npm view` 仍是旧版。打官方 registry 看 `dist-tags`。新版已经在官方源上时，等一会儿再装，不要改镜像。
+- 源不可用：官方源超时、证书失败、连不上。这才换源。换到能拿到**同一版本**内容的源，不只是 HTTP 200。在内容正确的源里取延迟最低的。私有源或用户指定的 registry 不参加公网竞速。当次选出的源不要写回本 skill。
 
 | 用户意图 | 命令 |
 |---|---|
@@ -233,17 +236,17 @@ git -C "$REPO_PATH" push origin master
 | 查 npm 上最新版 | `npm view create-dwy version` |
 | 应急重装（cache 损坏） | `npm cache clean --force && npm i -g create-dwy@latest --registry=https://registry.npmjs.org/ --prefer-online` |
 
-### CDN 延迟应急
+上表的 `--registry` 是先验。官方源不可用时，把 `--registry` 换成这次选出的源，版本号保持不变。
 
-如果用户刚 publish 完，跑 `npm view create-dwy version` 还显示旧版 / `npm i` 报 `ETARGET` —— 这是 npm CDN 传播延迟（30s ~ 几分钟），**不是失败**。
+### 传播延迟和源不可达分开
 
-直接打主 registry 旁路 CDN：
+如果用户刚 publish 完，跑 `npm view create-dwy version` 还显示旧版 / `npm i` 报 `ETARGET`，先确认是不是传播延迟（30s ~ 几分钟），不是源挂了。
 
 ```bash
 curl -s https://registry.npmjs.org/create-dwy | jq '."dist-tags".latest'
 ```
 
-如果显示是新版，等 30s 重试 `npm i` 或加 `--prefer-online --registry=https://registry.npmjs.org/`。
+官方源已经是新版：等 30s 再装，仍用官方源。官方源本身失败：按上面换内容正确、延迟最低的源。
 
 ## 错误处理速查
 
@@ -265,7 +268,7 @@ skill 文件**零绝对路径**。换台机器装上后第一次用时自动走
 需要用户机器满足：
 1. 装了 `git` / `jq` / `npm`（jq 用于解析缓存 JSON）
 2. clone 了 dwy-shared 仓库到任意位置（skill 引导）
-3. 对 Gitee origin 有 push 权限
+3. 对 origin（`https://github.com/danweiyuancircle/dwy-ai-experience.git`）有 push 权限
 4. 缓存文件 `~/.config/dwy-shared/repo.json` 是机器本地配置，**不**随 skill 文件同步出去
 
 ## 安全约束

package/templates/ai-tools/skills//351/200/232/347/224/250/dwy-whiteboard-prototype/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: dwy-whiteboard-prototype
-description: "用 HTML 白板（FigJam/draw.io 风格）画可交互 UI 原型。触发场景：用户说『画原型 / 出原型 / 画白板 / 原型图 / 做个原型 / prototype / 把某页面的各种状态画出来 / 把这几个页面的跳转画清楚』，或要在动手写 UI 代码前先验证页面与交互流程时。产出：每个页面一个 HTML 白板文件，画布二维摆放、SVG 连线表达跳转、左侧导航在白板间切换、右侧标注写交互与边界。这是项目原型的标准做法，画 iOS/移动端页面原型时务必用本 skill，别另起炉灶手搓样式与交互引擎。"
+description: "用 HTML 白板（FigJam/draw.io 风格）画可交互原型。触发场景：用户说『画白板 / 白板原型 / 把状态画出来 / 把跳转画清楚 / whiteboard』。产出：每个页面一个 HTML 白板，画布摆状态、SVG 连线表达跳转。产品 0 到 1 流程里的线框和高保真平面图不走本 skill，走 dwy-prototype。"
 ---
 
 # 白板原型（HTML 可交互）