create-dwy 0.19.1 → 0.20.0

package/templates/ai-tools/rules/Android/dwy-android-layering.md

@@ -0,0 +1,142 @@
+---
+description: Android 四层模块与依赖方向（app / features / biz-foundation / foundation）；Gradle Version Catalog 根锁定第三方版本
+paths:
+  - "**/*.kt"
+  - "**/*.java"
+  - "**/*.gradle"
+  - "**/*.kts"
+  - "**/libs.versions.toml"
+  - "**/settings.gradle"
+---
+
+# Android 四层架构与依赖
+
+适用于多模块 Android 应用。注释 / 命名 / AppCompat 见 `dwy-android-core`。页面 MVP 与业务 Base 见 `dwy-android-mvp`。本文件只管**Gradle 模块层、引用边、版本写在哪**。模块**内部** Java 包仍按功能聚合（见 `dwy-android-core`「包组织」）。
+
+新项目强制本结构。未拆模块的存量**不回溯拆包**；新增模块必须按本文件落层。Support 老项目另走 `dwy-android-support-only`。
+
+单壳项目**不建** PlatformFoundation。
+
+---
+
+## 一、层名（冻结）
+
+正式层名只有下表四个。模块可以叫 `:app`、`:biz-foundation`，文档可写「本仓 `:layer-infra` = Foundation」。**禁止**把 `Domain` / `infra` / `core` 当层名。
+
+| 层 | 判定（只用这一条） | 禁止 |
+|---|---|---|
+| **Foundation** | 换一个完全不同的产品仍原样拿走 | 出现本业务名词 |
+| **BizFoundation** | 本产品才有，但跨多个 Feature 都要用 | 页面、导航、某一端壳状态 |
+| **Features** | 可整包删/裁剪的业务域 | 被其他 Feature 直接引用 |
+| **Assembly** | 生命周期、DI、路由挂载、把实现插进 Protocol | 业务规则、业务计算 |
+
+升层：第二个 Feature 或第二个产品**真在用**，才升到 BizFoundation / Foundation。禁止「可能复用」提前抽。
+
+业务内聚：一个业务域 = `:features:<name>`。域内 Activity / Presenter（或本仓对等角色）/ Repository 聚在该模块。禁止全局 `activities/` / `presenters/` 模块（本仓已经那样切的，跟本仓）。
+
+`BaseActivity` / `BaseFragment` / `BaseDialog` 落在 `:biz-foundation`（本产品壳）。Foundation 不放页面基类。细则见 `dwy-android-mvp`。
+
+---
+
+## 二、依赖边（强制）
+
+```
+:app → :features:* → :biz-foundation → :foundation
+            ✕ 互引
+```
+
+| 谁 | 允许 project 依赖 | 禁止 |
+|---|---|---|
+| `:app` | `:features:*`、`:biz-foundation` | 业务规则写在 Application / HomePresenter |
+| `:features:orders` | **仅** `implementation project(':biz-foundation')` | 其它 Feature、`:foundation`、`:app` |
+| `:biz-foundation` | `:foundation`（可用 `api` 给编译用，见下） | Feature / app |
+| `:foundation` | 无 project 下层 | 业务模型、Feature |
+
+**Feature 互引为零。** 跳转只走 `:app`。跨域只许：升到 `:biz-foundation`；Feature 依赖 `biz-foundation` 里的接口，由 app 注入；壳编排。
+
+**透传不等于可直连。** `:biz-foundation` 即使 `api project(':foundation')`，Feature **源码仍禁止** `import` foundation 包名。要用 Http/Log，走 biz-foundation 门面。
+
+```gradle
+// features/orders/build.gradle
+dependencies {
+    implementation project(':biz-foundation')
+    implementation libs.okhttp
+}
+```
+
+```gradle
+// 禁止
+implementation project(':features:inventory')
+implementation project(':foundation')
+implementation project(':app')
+```
+
+---
+
+## 三、分包树
+
+打开工程必须能数出四层。业务词只出现在 `features/` 下。
+
+```
+:app                              # Assembly
+:features:orders                  # Features
+:features:inventory
+:biz-foundation                   # BizFoundation（鉴权、跨域协议放这个模块里面）
+:foundation                       # Foundation（Http / Log / 进程工具）
+```
+
+```
+app/
+features/
+  orders/
+  inventory/
+biz-foundation/
+  src/main/java/.../bizfoundation/auth/
+foundation/
+  src/main/java/.../foundation/http/
+gradle/libs.versions.toml
+settings.gradle
+```
+
+`settings.gradle` include 上述模块。鉴权不是独立层，是 `:biz-foundation` 内的包。
+
+---
+
+## 四、Monorepo 版本（强制）
+
+第三方版本号**只**出现在 `gradle/libs.versions.toml`。模块用 `libs.xxx`。内部模块 `project(':x')`。选哪个版本走 skill `dwy-dependency-choice`。
+
+存量若仍用根 `config.gradle` 的 `ext`，视为同一 catalog，禁止再在子模块写版本。
+
+```toml
+# gradle/libs.versions.toml
+[versions]
+okhttp = "4.12.0"
+
+[libraries]
+okhttp = { module = "com.squareup.okhttp3:okhttp", version.ref = "okhttp" }
+```
+
+```gradle
+// features/orders/build.gradle
+dependencies {
+    implementation project(':biz-foundation')
+    implementation libs.okhttp
+}
+```
+
+禁止 feature 模块 `implementation 'com.squareup.okhttp3:okhttp:4.12.0'`。
+
+---
+
+## 五、检查清单
+
+| 检查项 | 严重 |
+|---|---|
+| 无 `:features` / `:biz-foundation` / `:foundation` 三层模块（新项目） | 高 |
+| Feature `implementation` 另一 Feature 或 `:foundation` 或 `:app` | 高 |
+| Feature 源码 `import` foundation 包名（即使经 `api` 透传） | 高 |
+| 开机链 / 业务编排写在 `:app` 的 Presenter | 高 |
+| 业务 BaseActivity 放在 `:foundation` 或 Feature 里 | 高 |
+| 子模块写死第三方坐标版本 | 高 |
+| `Domain` / `infra` / `core` 当层名 | 中 |

package/templates/ai-tools/rules/Android/dwy-android-mvp.md

@@ -0,0 +1,55 @@
+---
+description: Android 用 MVP 做页面分工；实际架构读当前项目上下文；业务 Base 落在 BizFoundation；简单静态页和确认框允许无 Presenter
+paths:
+  - "**/*.java"
+  - "**/*.kt"
+  - "**/AndroidManifest.xml"
+  - "**/res/**/*.xml"
+---
+
+# Android MVP 与业务 Base
+
+**实际 MVP 架构以当前项目上下文为准。** 本文件只定大行为，不定骨架、类名、目录、库。
+
+写任何页面前必须先读本仓，再动手。读到的继承链、Contract 切法、基类名字、生命周期挂法、包怎么放，全部跟项目。禁止用记忆里的「标准 MVP」覆盖本仓。
+
+模块四层见 `dwy-android-layering`；注释 / 命名 / AppCompat 见 `dwy-android-core`。Support 与 AndroidX 也跟当前项目推断。
+
+---
+
+## 一、写页面前读什么
+
+打开工程后搜并读（命中即按它写）：
+
+- 已有 `*Presenter` / `*View` / `*Contract` / Presenter 基类
+- 业务 `BaseActivity` / `BaseFragment` / `BaseDialog` 的位置与继承链
+- 一页的类怎么摆：同功能包，还是本仓已经横切
+- View 与 Presenter 怎么绑生命周期（attach / 构造传入 / 其它）
+
+新页对齐读到的那套。禁止另起一套。存量不回溯。
+
+新仓还没有任何页面：用下面行为准则写第一页；之后新页对齐第一页，仍不从外部套模板。
+
+---
+
+## 二、行为准则（骨架仍跟项目）
+
+1. **View 管 UI，Presenter（或本仓对等角色）管业务与请求，数据层管读写。** 有业务的页：请求、校验、状态编排不进 Activity。
+2. **Presenter 不碰控件。** 不 `findViewById`，不把 Activity / 控件当字段；需要 Context 走 View 回调。页面销毁后不再调 View。怎么 detach 跟项目。
+3. **简单静态页、确认框、单按钮提示：允许不写 Presenter。** 不造空文件。复杂 Dialog 仍走本仓 MVP。
+4. **业务 Base 给业务扩展。** `BaseActivity` / `BaseFragment` / `BaseDialog` 落在 BizFoundation（未拆四层则本仓已有的 base 包）：本产品壳。Feature 有 Base 之后禁止直接继承框架页。Foundation 不放本产品页面基类。Base 禁止上帝类。
+
+---
+
+## 三、检查清单
+
+| 检查项 | 严重 |
+|---|---|
+| 没读本仓已有 MVP / Base 就按外部模板开写 | 高 |
+| 新页没对齐本仓已有切法 / 命名 / 库 | 高 |
+| 有请求的页在 Activity 里写接口 / 拼业务 | 高 |
+| Presenter（或对等角色）持有控件 / Activity，销毁后仍回调 View | 高 |
+| 已有业务 Base，新页仍直接继承框架页 | 高 |
+| 业务 Base 里出现某 Feature 方法（上帝类） | 高 |
+| Foundation 里放本产品 BaseActivity | 高 |
+| 静态页 / 确认框硬造空 Presenter | 中 |

package/templates/ai-tools/rules/Android/dwy-android-support-only.md

@@ -84,6 +84,8 @@ android.enableJetifier=false
 3. 传递依赖混入 androidx 时,用 `exclude` 排除,并替换为 support 等价物;**无法排除或无 support 等价物 → 换库**,不要将就
 4. **禁止**为使用某个只支持 androidx 的库而引入 androidx —— 一个 androidx 进来就破坏整套隔离,得不偿失
 
+屏幕适配用 AndroidAutoSize（JitPack，Support 兼容线 `1.2.0+`，起点先验 `v1.2.1`，不锁死这个 tag），只按宽度。移动端设计宽 `390`，TV 设计宽 `1280`。禁止改用 `androidx.window` / WindowSizeClass / Compose Adaptive。细则见 `dwy-android-core`「屏幕适配」。
+
 ```groovy
 // 库 foo 的 3.x 已迁 androidx,锁在最后支持 support 的 2.8.0(升级需先整体迁 androidx,见 issue #1234)
 implementation 'com.foo:bar:2.8.0'

package/templates/ai-tools/rules/Docker/dwy-docker.md

@@ -1,5 +1,14 @@
 ---
-description: Docker 通用规则（镜像固定版本、容器内存上限、日志大小限制、配置变更重启姿势）
+description: Docker 通用规则（镜像固定版本、容器内存上限、日志大小限制、配置变更重启姿势）。只在容器和 CI 清单上注入。
+paths:
+  - "**/Dockerfile"
+  - "**/Dockerfile.*"
+  - "**/docker-compose*.yml"
+  - "**/docker-compose*.yaml"
+  - "**/compose.yml"
+  - "**/compose.yaml"
+  - "**/.github/workflows/**"
+  - "**/k8s/**"
 ---
 
 # Docker 通用规则
@@ -32,6 +41,8 @@ image: postgres:16.4
 image: postgres:16.4@sha256:xxxxx
 ```
 
+正例里的版本号只示范具体 tag 的写法。该装哪一个，以当次查到的 tag 列表为准，不从本规则抄数字。
+
 ## 二、Docker 容器配置要求
 
 ### 1. 内存设置
@@ -46,6 +57,8 @@ image: postgres:16.4@sha256:xxxxx
 - **必须**限制单个日志文件大小与轮转文件数量
 - **禁止**不设上限长期写入，避免占满磁盘
 
+具体数字以当次测到的内存占用和日志增速为准。没有实测的新环境才用经验起点，服务跑起来后重测。下面示例只示范字段怎么写。
+
 ### compose 示例
 
 ```yaml
@@ -120,3 +133,12 @@ docker compose exec backend printenv | grep DOLPHINDB_FACTOR__
 ### 一句话
 
 > 配置改了别 restart，`up -d --force-recreate`。验证别只看连通，`printenv` 看容器内真值。
+
+## 四、镜像源
+
+文档和脚本里的镜像站 URL 是当前候选，不是指定赢家。
+
+- 先探测即将真正使用的路径（包索引、发行版 `Release`、镜像 manifest）。超时、证书错误、状态不对、没有目标包或 tag 的源丢掉
+- 在剩下的源里用本次延迟最低的。连通不等于可用
+- 私服、用户指定的源不参与公网竞速
+- 候选全部不成立时另找可用源，再测一次。测速结果不写回本规则

package/templates/ai-tools/rules/Flutter/dwy-flutter-core.md

@@ -125,6 +125,7 @@ class App extends ConsumerWidget {
 
 ```yaml
 # pubspec.yaml
+# 下面的 caret 只示范当时能编过的下限，不是该装的版本。装之前按 dwy-dependency-choice 现查。
 dependencies:
   flutter_riverpod: ^2.6.0
   riverpod_annotation: ^2.6.0
@@ -337,6 +338,7 @@ shared/widgets/               # snake_case
 
 ```yaml
 # pubspec.yaml
+# 版本号是写法示例。装之前按 dwy-dependency-choice 现查，不要抄这里的数字。
 dependencies:
   freezed_annotation: ^2.4.0
   json_annotation: ^4.9.0

package/templates/ai-tools/rules/Flutter/dwy-flutter-testing.md

@@ -72,7 +72,7 @@ testWidgets('登录页面渲染正确', (tester) async {
 
 ## 四、Mock 工具
 
-统一使用 `mocktail`（不是 mockito）：
+统一使用 `mocktail`（不是 mockito）。`^1.0.0` 只示范写法，实际版本按 `dwy-dependency-choice` 现查。
 
 ```yaml
 dev_dependencies:

package/templates/ai-tools/rules/HarmonyOS/dwy-arkts-ui-build.md

@@ -172,10 +172,13 @@ private async safe(name, step) {
 
 ## 9. DevEco 命令行构建（绕开 IDE，拿带 File:行:列 的错误）
 
+路径用本机 DevEco 根，不要抄某台 Mac 的默认安装位置。先找到本机安装目录，再拼 `tools/node/bin/node`、`tools/hvigor/bin/hvigorw.js` 和该布局里的 sdk。找不到就问用户。
+
 ```bash
-NODE=/Applications/DevEco-Studio.app/Contents/tools/node/bin/node
-HVIGOR=/Applications/DevEco-Studio.app/Contents/tools/hvigor/bin/hvigorw.js
-export DEVECO_SDK_HOME=/Applications/DevEco-Studio.app/Contents/sdk   # 停 daemon 后必设
+# <DEVECO> = 本机 DevEco 根。macOS 默认安装常见 /Applications/DevEco-Studio.app，不是唯一位置。
+NODE=<DEVECO>/Contents/tools/node/bin/node
+HVIGOR=<DEVECO>/Contents/tools/hvigor/bin/hvigorw.js
+export DEVECO_SDK_HOME=<DEVECO>/Contents/sdk   # 停 daemon 后必设
 
 # 配置校验
 $NODE $HVIGOR --sync -p product=default --daemon
@@ -205,14 +208,15 @@ $NODE $HVIGOR --mode module -p module=entry@default -p product=default -p pageTy
 - **正确做法**：DevEco → Project Structure → Signing Configs 自动签名写回工程；**模拟器**可装 unsigned；**真机**必须签名。
 - **适用**：CLI / CI 打包。
 
-## 12. 本地模拟器（HVD）命令行：`-hvd` + hdc `127.0.0.1:5555`
+## 12. 本地模拟器（HVD）命令行：`-hvd` + 本次 `hdc list targets`
 
 - **现象**：不知如何脱离 IDE 起模拟器、装 HAP。
 - **正确做法**：
-  - 启动：`/Applications/DevEco-Studio.app/Contents/tools/emulator/Emulator -hvd "Pura 90"`（名见 `~/.Huawei/Emulator/deployed/*.ini`）。
-  - 设备：`hdc list targets` → 常见 `127.0.0.1:5555`。
-  - 安装：`hdc -t 127.0.0.1:5555 install entry/.../entry-default-unsigned.hap`。
-  - 启动：`hdc -t 127.0.0.1:5555 shell aa start -a EntryAbility -b <bundleName>`。
+  - 模拟器名读 `~/.Huawei/Emulator/deployed/*.ini`，不要写死某一台机型。
+  - 启动：`<DEVECO>/Contents/tools/emulator/Emulator -hvd "<ini 里的名字>"`。`<DEVECO>` 与第 9 节同一台机器的安装根。
+  - 设备：`hdc list targets` 的输出就是 `-t`。`127.0.0.1:5555` 只是本机常见先验，列表里没有就用列表里的那个。
+  - 安装：`hdc -t <本次 target> install entry/.../entry-default-unsigned.hap`。
+  - 启动：`hdc -t <本次 target> shell aa start -a EntryAbility -b <bundleName>`。
 - **适用**：无 GUI / 脚本化调试。
 
 ## 13. 模拟器验不了局域网 TCP / mDNS / 设备发现

package/templates/ai-tools/rules/Python/dwy-python-backend.md

@@ -12,52 +12,11 @@ paths:
 
 ## 一、项目结构与业务聚合（强制）
 
-### 核心原则
+**仓库四层（`app` / `features` / `biz_foundation` / `foundation`）、Feature 互不依赖、uv 根锁定版本 → 见 `dwy-python-layering`。** 本节只约定 Feature **域内**文件名。
 
-**按功能模块（feature / domain）聚合，禁止按技术层散落。** 同一业务功能的 router / schema / service / model / dependency 必须集中在同一个功能目录下；**禁止**全局存在 `routers/` / `services/` / `models/` / `schemas/` 等"技术层"顶级目录，把不相关功能的同类型文件强行揉到一起。
-
-### 为什么
-
-- **跨项目迁移**：复制单个功能目录即可携带该功能全部代码；技术层散落需在 4+ 目录里翻找
-- **可读性**：阅读功能时所有相关代码在同一目录，无需跨目录跳转
-- **变更影响域清晰**：一次改动 diff 集中，code review 更高效
-- **删除友好**：删功能时整个目录删掉即可，不会留下孤儿文件
-
-### 标准结构（参考）
-
-```
-app/
-├── users/                  # 用户功能（一个业务模块自成一个目录）
-│   ├── __init__.py
-│   ├── router.py           # FastAPI 路由
-│   ├── schemas.py          # Pydantic 请求 / 响应模型
-│   ├── service.py          # 业务逻辑
-│   ├── models.py           # ORM 模型
-│   ├── dependencies.py     # 该功能专用 Depends（可选）
-│   └── exceptions.py       # 该功能专用异常（可选）
-├── orders/
-│   ├── router.py
-│   ├── schemas.py
-│   ├── service.py
-│   └── models.py
-├── core/                   # 跨功能共享：配置 / 全局中间件 / 启动逻辑
-│   ├── config.py
-│   ├── middleware.py
-│   └── lifespan.py
-└── main.py                 # 注册各功能 router
-```
-
-### 强制规则
-
-- **禁止**顶级 `routers/` / `services/` / `models/` / `schemas/` 把不同功能的同类文件混放
 - 一个功能目录内文件名固定：`router.py` / `schemas.py` / `service.py` / `models.py`（单数，不带功能前缀）
-- 跨功能真正共享的代码放 `core/` 或 `shared/`，**禁止**为"可能复用"把单一功能逻辑提前抽离
 - 单文件超过约 400 行时再考虑拆分（如 `service.py` → `services/create.py` + `services/query.py`），**禁止**未到规模就预拆分
-- 功能间引用通过明确 import，**禁止**循环依赖
-- 测试镜像功能聚合结构：`tests/users/test_router.py` / `tests/users/test_service.py`（详见第九节）
-
-### 例外
-- 通用基础设施代码（如基础框架库内部）可保持技术层结构
+- 测试镜像功能聚合：`tests/features/orders/test_router.py`（详见第九节）
 
 ---
 
@@ -179,6 +138,7 @@ class UserResponse(UserBase):
 | 分页 page_size | 必须有上限（≤ 100） |
 | 字符串 | 必须显式 `max_length` |
 | 文件上传 | 后端二次校验大小 + magic bytes，**禁止**只信任前端或 Nginx |
+| 图片上传 | 同时校验文件大小和像素宽高上限，防止 decompression bomb |
 
 ---
 
@@ -466,6 +426,7 @@ AI 编写或审查后端代码时，**必须**检查以下违规模式，按严
 |--------|---------|---------|
 | 重复造轮子 | 自造异常基类 / 自封装统一响应 / 散落手写 bcrypt 或 JWT 调用 / 自建 Redis 连接池 等本应走项目级统一模块的能力 | 高 |
 | 技术层散落 | 顶级出现 `routers/` / `services/` / `models/` / `schemas/` 等技术层目录把不同功能文件混放，未按功能聚合 | 高 |
+| 分层依赖 | Feature `from app.` / import 另一 Feature / 源码 `from foundation.`；成员包写死第三方版本。细则见 `dwy-python-layering` | 高 |
 | 测试与源码混放 | 测试文件放在源码目录中（如 `app/users/test_router.py`），未独立到测试目录 | 高 |
 | 密码明文 | `password` 字段出现在 Response Schema | **致命 → STOP** |
 | 密码弱存储 | 使用 MD5 / SHA 而非 bcrypt | **致命 → STOP** |

package/templates/ai-tools/rules/Python/dwy-python-layering.md

@@ -0,0 +1,169 @@
+---
+description: Python 后端四层分包与依赖方向（Assembly / Features / BizFoundation / Foundation）；uv workspace 根锁定第三方版本
+paths:
+  - "**/*.py"
+  - "**/pyproject.toml"
+---
+
+# Python 四层架构与依赖
+
+适用于 uv workspace 的 Python 后端。路由 / Schema / ORM / 安全编码见 `dwy-python-backend`。本文件只管**层、引用边、版本写在哪**。
+
+单壳项目**不建** PlatformFoundation。
+
+---
+
+## 一、层名（冻结）
+
+正式层名只有下表四个。目录 / 包可以叫 `app`、`biz_foundation`，文档可写「本仓包名 X = Foundation」。**禁止**把 `Domain` / `infra` / `core` 当层名。
+
+| 层 | 判定（只用这一条） | 禁止 |
+|---|---|---|
+| **Foundation** | 换一个完全不同的产品仍原样拿走 | 出现本业务名词 |
+| **BizFoundation** | 本产品才有，但跨多个 Feature 都要用 | 页面、导航、某一端壳状态 |
+| **Features** | 可整包删/裁剪的业务域 | 被其他 Feature 直接引用 |
+| **Assembly** | 生命周期、DI、路由挂载、把实现插进 Protocol | 业务规则、业务计算 |
+
+升层：第二个 Feature 或第二个产品**真在用**，才升到 BizFoundation / Foundation。禁止「可能复用」提前抽。
+
+业务内聚：一个业务域 = `features/` 下的一个包。域内 `router.py` / `service.py` / `schemas.py` / `models.py` 聚在一起。禁止全局 `routers/` `services/` `models/`。
+
+---
+
+## 二、依赖边（强制）
+
+```
+app → features/* → biz_foundation → foundation
+         ✕ 互引
+```
+
+| 谁 | 允许依赖 | 禁止 |
+|---|---|---|
+| `app/` | `features/*`、`biz_foundation`、`foundation`（仅 factories） | 业务计算 |
+| `features/orders` | 仅 `biz_foundation` | `app`、`features/inventory`、`foundation` |
+| `biz_foundation` | 仅 `foundation` | `app`、任何 Feature |
+| `foundation` | 第三方库 | 任何本仓业务包 |
+
+**Feature 互引为零。** 跨域只许三种：升到 `biz_foundation`；Feature 只依赖 Protocol，由 `app/factories.py` / `app/hooks.py` 注入实现；`app` 编排两次调用。
+
+依赖倒置原则：Feature 依赖 Protocol，不依赖 Doris/Http 具体类。具体实现只出现在 `app/`。
+
+声明与源码两道都查：
+
+- `features/orders/pyproject.toml` 的 `dependencies` 只许出现 `biz_foundation` 与无版本第三方名
+- 源码禁止 `from app.`、`from features.inventory`、`from foundation.`
+
+```python
+# 合法：只认抽象，实现由装配层注入
+class StockPort(Protocol):
+    """扣库存端口。orders 不 import inventory 包。"""
+
+    async def deduct(self, sku: str, qty: int) -> None: ...
+
+
+class OrderService:
+    """下单。stock 由 app/factories.py 注入。"""
+
+    def __init__(self, stock: StockPort) -> None:
+        self._stock = stock
+```
+
+```python
+# 禁止
+from app.main import settings                    # Feature → Assembly
+from features.inventory.service import deduct    # Feature → Feature
+from foundation.db import get_session            # Feature 越层
+```
+
+---
+
+## 三、分包树
+
+打开 `backend/` 必须能数出四层。业务词只出现在 `features/` 下。
+
+```
+backend/
+  app/                            # Assembly
+    main.py                       # 注册 router、lifespan
+    factories.py                  # 唯一实例化具体实现的地方
+    hooks.py                      # 跨 Feature 桥
+  features/                       # Features
+    orders/
+      pyproject.toml
+      src/orders/
+        router.py
+        service.py
+        schemas.py
+        models.py
+    inventory/
+      pyproject.toml
+      src/inventory/
+        router.py
+        service.py
+        schemas.py
+        models.py
+  biz_foundation/                 # BizFoundation
+    pyproject.toml
+    src/biz_foundation/
+      auth/                       # 内容：跨 Feature 鉴权，不是一层
+      protocols.py
+  foundation/                     # Foundation
+    pyproject.toml
+    src/foundation/
+      db.py
+      redis.py
+      signing.py
+  pyproject.toml                  # workspace + 第三方版本只在这
+  uv.lock
+```
+
+```toml
+# 根 pyproject.toml
+[tool.uv.workspace]
+members = ["features/*", "biz_foundation", "foundation"]
+```
+
+`app/` 是根应用，不是 workspace member。测试镜像层：`tests/features/orders/`、`tests/biz_foundation/`。
+
+---
+
+## 四、Monorepo 版本（强制）
+
+第三方版本号**只**出现在仓库根 `pyproject.toml` 的 `constraint-dependencies`。成员包只写包名。内部包用 uv workspace，不写版本。一把锁：根 `uv.lock`。选哪个版本走 skill `dwy-dependency-choice`。
+
+```toml
+# 根 pyproject.toml
+[tool.uv.sources]
+biz_foundation = { workspace = true }
+foundation = { workspace = true }
+
+[tool.uv]
+constraint-dependencies = [
+  "fastapi==0.115.6",
+  "sqlalchemy==2.0.36",
+]
+```
+
+```toml
+# features/orders/pyproject.toml
+[project]
+dependencies = [
+  "fastapi",           # 无版本
+  "biz_foundation",
+]
+```
+
+禁止成员 `pyproject.toml` 写 `fastapi==0.115.6`。禁止每个包自己 `uv lock`。
+
+---
+
+## 五、检查清单
+
+| 检查项 | 严重 |
+|---|---|
+| 顶层不是 `app` / `features` / `biz_foundation` / `foundation` 四层 | 高 |
+| Feature `from app.` 或 pyproject 依赖 `app` | 高 |
+| Feature import 另一 Feature | 高 |
+| Feature 源码 `from foundation.` | 高 |
+| 成员包写死第三方版本 | 高 |
+| `Domain` / `infra` / `core` 当层名 | 中 |

package/templates/ai-tools/rules/Vue/dwy-vue-core.md

@@ -1,5 +1,5 @@
 ---
-description: Vue 3 + TS + Vite + Tailwind 应用层通用规范（业务聚合结构、组件 / TS / 路由 / API / 模板 / 样式 / 错误处理 / 注释）
+description: Vue 3 + TS + Vite + Tailwind 应用层通用规范（组件 / TS / 路由 / API / 模板 / 样式 / 错误处理 / 注释；仓库分层见 dwy-vue-layering）
 paths:
   - "**/*.vue"
   - "**/*.ts"
@@ -14,57 +14,11 @@ paths:
 
 ## 一、项目结构与业务聚合（强制）
 
-### 核心原则
+**仓库四层（`apps/web` / `packages/features` / `packages/biz-foundation` / `packages/foundation`）、Feature 互不依赖、pnpm catalog → 见 `dwy-vue-layering`。** 本节只约定 Feature **域内**文件名。
 
-**按功能模块（feature / domain）聚合，禁止按技术层散落。** 同一业务功能的 view / components / store / api / types 必须集中在同一个功能目录下；**禁止**全局存在 `views/` / `components/` / `stores/` / `api/` 等顶级"技术层"目录把不同功能的同类文件混放。
-
-### 为什么
-
-- **跨项目迁移**：复制单个功能目录即可携带该功能全部代码；技术层散落需在 5+ 目录里翻找
-- **可读性**：阅读功能时所有相关代码在同一目录，无需跨目录跳转
-- **变更影响域清晰**：一次改动 diff 集中，code review 更高效
-- **删除友好**：删功能时整个目录删掉即可，不会留下孤儿文件
-
-### 标准结构（参考）
-
-```
-src/
-├── features/                   # 业务功能根目录
-│   ├── users/                  # 用户功能
-│   │   ├── api.ts              # 该业务的 API（用全局 HTTP 客户端）
-│   │   ├── store.ts            # 该业务的 Pinia store
-│   │   ├── types.ts            # 该业务的类型
-│   │   ├── views/              # 该业务的页面组件
-│   │   │   ├── UserListView.vue
-│   │   │   └── UserDetailView.vue
-│   │   ├── components/         # 该业务的内部组件
-│   │   │   └── UserCard.vue
-│   │   └── route.ts            # 该业务的路由片段
-│   └── orders/
-│       ├── api.ts
-│       ├── store.ts
-│       └── views/
-├── shared/                     # 跨业务真正复用：UI 子组件 / composables / 常量
-│   ├── components/
-│   ├── composables/
-│   └── constants/
-├── core/                       # 全局基础设施：HTTP client / 路由根 / 主题 / 启动
-│   ├── http.ts                 # 全局唯一 HTTP 客户端实例
-│   ├── router.ts
-│   └── main.ts
-├── App.vue
-└── style.css
-```
-
-> 测试目录与 `src/` 并列、镜像业务聚合结构（详见 `dwy-vue-testing` rule）。
-
-### 强制规则
-
-- **禁止**顶级 `views/` / `components/` / `stores/` / `api/` / `types/` 把不同功能的同类文件混放
 - 一个功能目录内文件名固定：`api.ts` / `store.ts` / `types.ts` / `route.ts`（单数、不带功能前缀）
-- 跨业务真正共享的代码放 `shared/` 或 `core/`，**禁止**为"可能复用"把单一功能逻辑提前抽离
 - 单文件超过约 400 行时再考虑拆分，**禁止**未到规模就预拆分
-- 模块间引用通过明确 import，**禁止**循环依赖
+- 测试目录与源码并列、镜像业务聚合（详见 `dwy-vue-testing`）
 
 ## 二、组件规范
 
@@ -313,6 +267,14 @@ export function createUser(data: UserCreate) {
 - 模板中复杂表达式 / 内联多语句
 - `kebab-case` 组件名 / 模板中写 `.value`
 
+### 用户输入限长
+
+业务页里接收用户输入的控件（`input` / `textarea` / 富文本 / 文件 / 批量项）要有长度或大小上限，并用该页的 schema 再校验一次，防止粘贴绕过 `maxlength`。
+
+上限按字段语义定：用户名几十字符、描述几百、正文几千、图片几 MB。组件库的 Input 只提供 `maxlength` 这类 prop，不在组件内部写死业务上限。
+
+后端校验见 `dwy-python-backend`。只改组件库、没有业务表单时，不要给每个控件塞一套 schema。
+
 ---
 
 ## 八、样式规范