create-dwy 0.19.1 → 0.21.0

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-dependency-freshness.md

@@ -1,71 +1,32 @@
 ---
-description: 依赖版本选择通用规则（首次技术选型只选正式版、禁止 beta/rc 等预发布；发布 <7 天的版本不采用；跨 npm/uv/Docker/Android/iOS/鸿蒙/Flutter 等所有栈）
+description: 新装依赖只选发布满 7 天的正式版。查各栈发布时间和命令见 skill dwy-dependency-choice。只在改依赖清单时注入。
+paths:
+  - "**/package.json"
+  - "**/pnpm-lock.yaml"
+  - "**/yarn.lock"
+  - "**/package-lock.json"
+  - "**/pyproject.toml"
+  - "**/uv.lock"
+  - "**/requirements*.txt"
+  - "**/Podfile"
+  - "**/Package.swift"
+  - "**/Package.resolved"
+  - "**/build.gradle"
+  - "**/build.gradle.kts"
+  - "**/libs.versions.toml"
+  - "**/oh-package.json5"
+  - "**/pubspec.yaml"
+  - "**/go.mod"
+  - "**/Cargo.toml"
+  - "**/Dockerfile"
+  - "**/Dockerfile.*"
 ---
 
-# 依赖版本新鲜度规则
+# 依赖版本（硬约束）
 
-> 首次技术选型下载依赖（引新包、选 base 镜像 / SDK 版本）时，预发布版（beta / rc / alpha）未冻结 API，刚发布的正式版也常带回归 bug。本规则约束 AI 在装新依赖前：先丢掉预发布，再查正式版「首次发布时间」，避开 <7 天的版本。
->
-> 适用**所有技术栈**：npm/pnpm、uv/pip、Docker、Android(Gradle/Maven)、iOS(CocoaPods/SPM)、鸿蒙(ohpm)、Flutter(pub) 以及未来出现的任何包管理器。下面给出总约束 + 各栈示例，未列出的栈按「查官方 registry 发布时间」通用流程自行判断。
+只在新装或新选依赖、base 镜像、SDK 时遵守。已安装的旧版本不用为此升级。各栈怎么查发布时间见 skill `dwy-dependency-choice`。和本文件冲突时以该 skill 为准。
 
-## 一、适用边界
-
-- **仅约束首次技术选型下载依赖**：新项目引入新包、新搭脚手架选 base 镜像 / SDK 版本、原项目引入此前没用过的依赖。
-- **已安装的旧版本无需为此升级**。本规则只管「新装 / 新选」，不管「存量升级」。
-- 7 天是**下限排除条件**，不是「必须选最近一个 ≥7 天的版本」。最终选哪个稳定正式版由 AI 综合判断（成熟度、维护活跃度、依赖体积、与项目栈兼容性）。
-
-## 二、核心约束
-
-候选版本必须**同时**满足下面两条，缺一不可。给用户的 AskUserQuestion 选项同样只列合格版本，禁止把预发布号摆上去让用户选。
-
-- **必须只选正式版**
-  - **禁止**采用预发布：版本号或 tag 含 `beta` / `rc` / `alpha` / `preview` / `nightly` / `snapshot` / `canary` / `dev` / `experimental`，或 registry 标为 pre-release（npm dist-tag `next`/`beta`/`rc`、GitHub `prerelease: true`、PyPI 版本号带 `a`/`b`/`rc`）
-  - 先滤掉预发布，再进入 7 天判断；预发布即使发布超过 7 天也不用
-- **必须**在首次安装 / 选定版本前，查候选**正式版**的「首次发布时间」
-  - 用官方 registry 的发布时间，**不是**上传时间、**不是** `latest` / `stable` tag 时间
-- **禁止**采用发布时间距今 **<7 天**的版本
-- **禁止**无脑用 `@latest` / `latest` / `stable` / 浮动 tag / 不带版本号安装——这些随时可能落到刚发布的新版本或预发布通道上
-- 已安装版本**无需**为此规则升级
-
-## 三、各栈查发布时间示例
-
-未列出的栈，按「查官方 registry 元数据 → 取发布时间」自行处理。查的对象必须是正式版，预发布条目直接跳过。
-
-| 栈 | 查发布时间方法 |
-|---|---|
-| npm / pnpm | `npm view <pkg> time --json`（取目标版本对应的时间字段） |
-| uv / pip | PyPI JSON API：`https://pypi.org/pypi/<pkg>/json` 的 `releases[<version>][0].upload_time` |
-| Docker | Docker Hub 镜像页 / API 的 `last_updated`；优先看具体 tag 的 push 时间 |
-| Android (Gradle/Maven) | Maven Central `maven-metadata.xml` 的 `<lastUpdated>`（格式 yyyyMMddHHmmss） |
-| iOS (CocoaPods) | `https://github.com/CocoaPods/Specs` 或仓库 release / tag 时间 |
-| iOS (SPM) | 源仓库 release / tag 时间 |
-| 鸿蒙 (ohpm) | ohpm registry 包元数据 publishTime |
-| Flutter (pub) | `https://pub.dev/packages/<pkg>/versions` 页 published 时间 |
-
-## 四、正反例
-
-```bash
-# 反例：预发布，即使发布超过 7 天也不用
-pnpm add some-pkg@1.3.0-beta.2
-uv add some-pkg==2.0.0rc1
-FROM node:23.0.0-rc
-implementation 'com.example:lib:1.0.0-alpha'
-
-# 反例：直接装 latest，可能落到昨天才发的正式版或预发布通道
-pnpm add some-pkg@latest
-uv add some-pkg          # 不锁版本
-FROM node:latest         # 随时被新镜像覆盖
-implementation 'com.example:lib:latest'
-
-# 正例：正式版，且发布 ≥7 天
-npm view some-pkg time --json      # 看候选正式版发布时间
-pnpm add some-pkg@1.2.3            # 1.2.3 是正式版，发布已满 7 天
-FROM node:20.18.1-slim             # 该 tag 是正式版，push 已满 7 天
-```
-
-## 五、AI 自判提示
-
-- 栈未列全时，先找该栈的**官方 registry**（包管理器背后的中央仓库），丢掉预发布条目，再查正式版发布时间字段。
-- 拿不到精确发布时间时，保守处理：选发布更早、更稳定的正式版，不要选「最新」，更不要选 beta。
-- 7 天窗口内的新正式版，**等待**而非采用，**无任何例外**（含安全补丁）。等满 7 天再用。
-- 用户口头点名某个 beta / rc：**不要直接装**。说明本规则只选正式版，改给最近一个合格正式版让用户确认。
+- 只选正式版。禁止 `beta` / `rc` / `alpha` / `preview` / `nightly` / `snapshot` / `canary` / `dev` / `experimental`，以及 registry 标成 pre-release 的号。预发布超过 7 天也不用。
+- 正式版的首次发布须满 7 天，含安全补丁。7 天是排除线，不是必须选刚满 7 天的那个。
+- 禁止 `@latest` / `latest` / `stable` / 浮动 tag / 不锁版本。
+- 用户点名 beta 或 rc：不直接装，改给最近一个合格正式版确认。

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-git-commit.md

@@ -1,224 +1,13 @@
 ---
-description: Git Commit 规范（提交前同步远程、冲突处理、提交安全、敏感扫描、Scope、消息规范、AI 署名治理）
+description: Git 提交硬约束（先同步远程、敏感信息、message 格式、AI 署名）。命令和冲突步骤见 skill dwy-git-commit。无 paths，每次注入；不提交时忽略。
 ---
 
-# Git Commit 规范（强制）
+# Git 提交（硬约束）
 
-## 1. 适用范围
+只在本次任务包含提交、commit message、`git pull` / rebase 冲突、提交前检查时遵守。只改代码、不提交时忽略本文件。命令、冲突步骤、敏感名单见 skill `dwy-git-commit`。和本文件冲突时以该 skill 为准。
 
-适用于所有 Git 提交流程，覆盖：
-
-- `git fetch` / `git pull`
-- `git add`
-- `git commit`（含 `--amend`）
-- 为提交生成或校验 commit message 的场景
-
-项目按多人协作处理：本地未基于最新远程提交前，禁止产生新 commit。
-
-任一步骤不通过：中止当前提交流交付流程。
-
-## 2. 执行顺序（硬约束）
-
-1. 拉取远程并处理完全部冲突
-2. 安全写法检查
-3. Stage 级敏感扫描
-4. 变更范围确认
-5. Scope 与 message 格式校验
-6. AI 署名与生成声明校验
-
-## 3. 提交前同步远程（强制）
-
-多人同时改同一仓库。未拉远程就提交，会把过期基线写进历史，后续推送非快进或把冲突甩给别人。
-
-**未完成同步、冲突未清零：禁止 `git commit`。**
-
-### 3.1 命令
-
-先 fetch，再 rebase 到上游。工作区有未提交改动时必须带 `--autostash`，禁止为了拉代码丢弃本地改动。
-
-```bash
-git fetch origin
-git pull --rebase --autostash
-```
-
-当前分支已设置上游时，上面两条即可。未设置上游但远程存在同名分支：
-
-```bash
-git fetch origin
-git pull --rebase --autostash origin "$(git branch --show-current)"
-```
-
-无 `origin` 时，对实际存在的 remote 执行同等操作。
-
-### 3.2 冲突处理
-
-同步产生冲突后，必须先处理完，才能做新提交：
-
-1. 打开全部冲突文件，逐处消解 `<<<<<<<` / `=======` / `>>>>>>>`。
-2. `git add` 已解决文件。
-3. rebase 进行中：`git rebase --continue`（不要另开 `git commit` 顶掉 rebase）。
-4. stash 弹出后再次冲突：同样消解并 `git add`。
-5. 全库确认无冲突标记、无 `REBASE_HEAD` / 未结束 merge，再进入后续检查与 `git commit`。
-
-禁止用 `git rebase --abort` / `git merge --abort` 躲冲突后直接提交。
-
-### 3.3 可跳过的唯一情况
-
-仅以下任一成立才可跳过同步：
-
-- 仓库没有任何 remote
-- `git fetch` 后当前分支在所有 remote 上都不存在对应分支（全新本地分支，远程无同名分支）
-
-跳过时在回复里写明原因。其余情况一律同步。
-
-### 3.4 失败即停
-
-| 情况 | 处理 |
-| --- | --- |
-| fetch / pull 网络失败 | 中止提交，不得在「不知是否落后」时 commit |
-| 仍有冲突标记或 rebase/merge 未结束 | 中止提交 |
-| 已落后远程却未 rebase 完成 | 中止提交 |
-
-### 3.5 禁止借口
-
-| 借口 | 处理 |
-| --- | --- |
-| 改动很小不用拉 | 改动大小与是否落后无关，先拉 |
-| 刚才 / 早上拉过了 | 每次准备 commit 前重新 fetch |
-| 先提交再拉 | 顺序写死：先同步，再 commit |
-| 有冲突先把本地提交保住 | 冲突未清零禁止新 commit |
-| 远程大概没人推 | 必须 fetch，不许猜 |
-| 用 force push 顶掉远程 | 禁止用强推代替拉取与消冲突 |
-
-## 4. 安全写法（命令注入防护）
-
-`git commit -m "..."` 会对双引号内内容做 shell 展开。出现反引号或 `$(...)` 时，禁止直接使用双引号形式。
-
-### 4.1 推荐：消息文件提交（优先）
-
-```bash
-git commit -F /tmp/commit-msg.txt
-```
-
-```bash
-cat > /tmp/commit-msg.txt <<'EOF'
-feat: 示例提交说明
-
-- 修改点 A
-- 修改点 B
-EOF
-git commit -F /tmp/commit-msg.txt
-```
-
-### 4.2 允许：单引号提交
-
-```bash
-git commit -m 'feat: 支持 runConcurrent'
-```
-
-前提：message 内无单引号字符。
-
-### 4.3 禁止：双引号直接携带反引号
-
-```bash
-git commit -m "feat: run `build-tool`"
-```
-
-上例存在命令替换风险。
-
-### 4.4 兜底：转义（不推荐）
-
-```bash
-git commit -m "feat: run \`build-tool\`"
-```
-
-## 5. Stage 级敏感扫描（强制）
-
-同时扫描：
-- `git diff --cached`
-- `git diff --cached --name-only`
-
-### 5.1 禁止提交文件
-
-`.env*`、`*.pem`、`*.key`、`*.p12`、`*.pfx`、`*.jks`、`*.keystore`、`*.sql`（真实数据）、`*.dump`、`*.sqlite`、`*.xlsx`、`*.csv`（敏感表）、`*.log`、`pgdata/`、`cache/*.json`。
-
-### 5.2 禁止内容片段（示例）
-
-`sk-` 开头 API Key、`AKIA` 开头 AWS Key、`ghp_` GitHub Token、`password=...`、`token=...`、`secret=...`、明文数据库连接串、私钥头、`IP:端口`、`ssh user@ip`。
-
-### 5.3 例外
-
-`.env.example`、环境变量读取方式、`localhost`/`127.0.0.1` 示例连接串可保留。
-
-### 5.4 处理失败
-
-1. 立即停止。
-2. 输出 `文件名:行号:命中片段`。
-3. 给出修复建议（`.gitignore`、改环境变量、替换占位符）。
-4. 用户确认后继续；用户强制提交时，message body 追加：
-   - `GIT-SECURITY: 用户已确认提交此内容`
-
-## 6. 变更范围与提交拆分
-
-先执行 `git diff --cached`，明确：修改了哪些模块、影响边界、是否一次可归因。
-
-若单条 message 无法在 `subject` 中清晰表达，必须拆分 commit。
-
-## 7. Commit Scope
-
-Scope 由 AI 根据变更模块与项目语义自行决定，保持与现有提交习惯一致且可读。
-
-- 单模块改动：优先加 scope，名称贴近主改动模块（如 `eui` / `backend` / `cli` 等）。
-- 跨模块改动：可不带 scope。
-- 无法稳定归类：短期使用无 scope，避免强行造新约束。
-
-## 8. Commit Message 规则
-
-格式：
-
-`<type>(<scope>): <subject>`
-
-或
-
-`<type>: <subject>`
-
-或
-
-`<type>!: <subject>`
-
-或
-
-`<type>(<scope>)!: <subject>`
-
-`type` 限定为：`feat`、`fix`、`refactor`、`chore`、`docs`、`test`、`perf`、`style`、`ci`。
-
-`subject` 规则：
-
-- 中文、动宾短语。
-- ≤72 字符。
-- 不用句号、不用“了”。
-- 不得含 emoji。
-- 可选 body 仅说明 why，不要复述 what。
-- 破坏性变更：`feat!:` / `fix!:`（带 scope 时写成 `feat(<scope>)!:` / `fix(<scope>)!:`） + `BREAKING CHANGE: ...`
-
-## 9. AI 署名与生成声明治理
-
-commit 的 subject、body、footer、trailer 中禁止出现任何形式的 AI 署名或生成声明。AI 应自行判断：凡由 AI 工具（Claude、ChatGPT、GPT、Copilot、Cursor、Gemini、Llama、LLM 等）生成或参与撰写的署名、尾随声明、自动生成标记，均不得写入 commit message。
-
-包括但不限于：
-
-- `Co-Authored-By: <AI 名称> <noreply@...>`（任何 AI 产品 + 邮箱组合）
-- `Generated with Claude Code` / `Generated with ...`（任何"由 XX 生成"声明）
-- 含 AI 产品名的署名行（Claude、ChatGPT、GPT、Copilot、Cursor、Gemini、LLM 等）
-- AI 平台noreply 邮箱（noreply@anthropic.com、noreply@openai.com 等）
-
-`git commit -m "..."` 不得附带 AI 署名 trailer。
-
-> PreToolUse hook `pre-git-commit-ai-signature-check.sh` 会在 commit message 中检出 Co-Authored-By / Generated with 等 AI 署名模式时硬拦截（exit 2），规则约束 + 工程兜底双保险。
-
-## 10. 参考示例
-
-- `feat(eui): 添加 Image 组件懒加载支持`
-- `refactor(backend): 提取分页逻辑为共享工具`
-- `fix(eui)!: 重构 EDialog open 属性为 v-model:open`
-  - `BREAKING CHANGE: EDialog 不再接受 visible 属性，请改用 v-model:open`
+1. 先 `git fetch origin`，再 `git pull --rebase --autostash`。冲突未清零禁止新 commit。没有 remote，或远程没有同名分支，可以跳过并写明原因。
+2. message 用 `git commit -F` 或单引号。禁止双引号里带反引号或 `$(...)`。
+3. 提交前看暂存区。密钥、证书、真实数据、明文连接串不进仓库。
+4. 格式 `<type>(<scope>): <subject>`。`type` 只用 `feat` / `fix` / `refactor` / `chore` / `docs` / `test` / `perf` / `style` / `ci`。subject 用中文动宾，不超过 72 字。
+5. 删掉 AI 署名和「由 AI 生成」声明，含环境自动塞入的 `Co-authored-by`。hook 拦住就删掉再交，不绕过。

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-oss-commercial-license.md

@@ -1,128 +1,32 @@
 ---
-description: 商用/销售类应用的开源依赖许可合规（禁不可商用与强 copyleft；仅强制署名时在隐私协议附录声明含版本）
+description: 闭源商用新装依赖的许可硬约束。声明模板和许可表见 skill dwy-dependency-choice。只在改依赖清单时注入。开源库仓库按该库自身许可证评估。
+paths:
+  - "**/package.json"
+  - "**/pnpm-lock.yaml"
+  - "**/yarn.lock"
+  - "**/package-lock.json"
+  - "**/pyproject.toml"
+  - "**/uv.lock"
+  - "**/requirements*.txt"
+  - "**/Podfile"
+  - "**/Package.swift"
+  - "**/Package.resolved"
+  - "**/build.gradle"
+  - "**/build.gradle.kts"
+  - "**/libs.versions.toml"
+  - "**/oh-package.json5"
+  - "**/pubspec.yaml"
+  - "**/go.mod"
+  - "**/Cargo.toml"
+  - "**/Dockerfile"
+  - "**/Dockerfile.*"
 ---
 
-# 商用开源依赖许可合规（强制）
+# 商用依赖许可（硬约束）
 
-> 销售、SaaS、付费 App、对外交付的商业产品引入开源库时，
-> 许可不合规会带来版权/违约风险。本规则约束：选型禁区 + 强制署名时的声明义务。
+闭源商用产品新装直接依赖时遵守。学习原型在上架或收费前补齐。当前仓库本身是对外开源库时，按该库自己的许可证评估，GPL 不因此自动禁止。附录模板和许可表见 skill `dwy-dependency-choice`。和本文件冲突时以该 skill 为准。
 
-## 一、适用边界
-
-- **适用**：任何面向收费/销售/对外商用的应用（含内部先试用后商用的产品）
-- **不适用**：纯学习/练手/未商用的 builder 原型（一旦要上架/收费，必须补齐本规则）
-- **覆盖栈**：npm/pnpm、PyPI/uv、CocoaPods/SPM、Gradle/Maven、ohpm、pub、Docker 基础镜像、字体/图标/素材、模型权重与 SDK
-- **声明范围**：仅 **直接依赖**；不强制盘传递依赖
-
-## 二、核心原则（三条）
-
-1. **先查许可，再装依赖** — 未确认 license 的包禁止引入
-2. **明确不可商用 / 强 copyleft → 禁止直接使用** — 换可商用替代，或购买商业授权
-3. **仅当许可强制要求署名 / NOTICE 时**，才在隐私协议附录中声明（含版本）；**不强制署名的库不必写**
-
-## 三、禁止引入（不可商用 / 高法律风险）
-
-以下类型**默认禁止**写入依赖树（直接依赖必须查；已知会把禁区 license 顶进运行时链接的包也不得引）：
-
-| 类型 | 常见标识 | 原因 |
-|---|---|---|
-| 明确非商业 | `CC-BY-NC*`、`CC-NC`、`PolyForm-Noncommercial`、许可证写 Non-Commercial / No Commercial Use | 商用即侵权 |
-| 强传染 copyleft（闭源商用） | `GPL-2.0`、`GPL-3.0`、`AGPL-3.0`、`SSPL` | 可能强制整包开源或限制网络服务形态；**闭源商用一律禁止** |
-| 限制竞争/生产用途 | `BUSL`（未到 Change Date 且限制 Production）、Commons Clause、部分 Source-Available | 表面开源，实则禁商用或禁竞争 |
-| 仅免费个人/评估 | 字体/图标/SDK 写 "free for personal use only"、"evaluation only" | 商用需买授权 |
-| 无 license / 自定义模糊条款 | 仓库无 LICENSE、或 "all rights reserved" 却当开源用 | 默认不可用 |
-
-### 例外（必须显式记录）
-
-- 已购买**商业授权**且合同覆盖当前用途 → 可引入，记录授权方、合同编号、到期日
-- LGPL 等边界许可 → 不得默认通过，须单独评估后再定
-
-### 选型动作（强制）
-
-引入新依赖时在选型对比中增加一列 **License**，并标注：
-
-- `OK-商用`（可商用；若无强制署名义务则声明页可不写）
-- `OK-商用+强制署名`（MIT/BSD/Apache-2.0/ISC 等要求保留版权与许可声明 → 须进隐私协议附录）
-- `OK-商用+额外义务`（如 Apache NOTICE、MPL 文件级 copyleft 等 → 按义务处理，署名类进附录）
-- `禁-不可商用/高风险`（上表）→ **不得推荐为默认项**
-
-## 四、强制署名时的声明义务
-
-### 4.1 何时必须声明（仅此场景）
-
-直接依赖的 license **明确要求** attribution / copyright notice / NOTICE / 保留许可文本时，必须声明。
-
-**不强制署名则不写**：无保留声明义务的可商用库，不必塞进隐私协议或开源列表。
-
-### 4.2 声明落点
-
-- **唯一约定落点**：隐私协议 **附录**「第三方开源组件」
-- 不与个人信息处理条款正文混写；附录与正文分节
-- 若产品另有「关于 / 法律信息」页，可链到该附录，不替代附录本身
-
-### 4.3 每条声明最低字段（强制）
-
-| 字段 | 说明 | 示例 |
-|---|---|---|
-| 组件名 | 直接依赖包名 | `axios` |
-| 版本 | **实际锁定版本**（lockfile / 构建锁定） | `1.7.9` |
-| 许可证 | SPDX 标识 | `MIT` |
-| 版权声明 | 来自 LICENSE / 包元数据 | `Copyright (c) 2014-present Matt Zabriskie` |
-| 许可全文或链接 | 全文或稳定 URL | `https://opensource.org/licenses/MIT` |
-
-**版本必须写锁定版本**，禁止只写 `latest` 或不写版本。
-
-### 4.4 声明模板（可直接贴进隐私协议附录）
-
-```text
-附录：第三方开源组件
-
-本产品直接使用的、且许可证要求保留声明的开源组件如下：
-
-1. axios 1.7.9
-   License: MIT
-   Copyright (c) 2014-present Matt Zabriskie
-   https://github.com/axios/axios/blob/v1.7.9/LICENSE
-
-2. dayjs 1.11.13
-   License: MIT
-   Copyright (c) 2018-present, iamkun
-   https://github.com/iamkun/dayjs/blob/v1.11.13/LICENSE
-```
-
-仅列 **直接依赖 + 许可强制署名** 的项；无强制署名义务的直接依赖不列。
-
-### 4.5 何时更新声明
-
-- 新增/替换直接依赖，且其许可强制署名
-- 已声明组件的主版本或锁定版本变更
-- 发版前：附录中的版本 vs lockfile **必须一致**；已移除的组件从附录删掉
-
-## 五、执行检查清单（引入依赖 / 发版前）
-
-- [ ] 直接依赖均有明确 SPDX license（或等价官方许可文本）
-- [ ] 无 NC / 非商业 / GPL / AGPL / SSPL / 评估版字体图标等禁区
-- [ ] 无未评估的 LGPL / 商业授权到期风险
-- [ ] 仅对「许可强制署名」的直接依赖写入隐私协议附录（含版本号）
-- [ ] 不强制署名的库未滥写进附录
-- [ ] 附录版本与 lockfile 一致
-
-## 六、AI 行为约束
-
-- 推荐开源方案时：**必须带 license 与商用结论**（OK / OK+强制署名 / 禁 / 需商业授权）
-- 候选为 NC / GPL / AGPL / SSPL / 无 license：**不得作为推荐默认项**；列出可商用替代
-- 生成/修改隐私协议时：扫描直接依赖，**只把强制署名的项**写入附录「第三方开源组件」
-- 不得以「业界都在用」跳过 license 核查
-- 不得把无强制署名义务的库整表刷进隐私协议
-
-## 七、常见许可速查（非穷尽）
-
-| SPDX | 商用闭源 | 是否强制进隐私协议附录 |
-|---|---|---|
-| MIT / ISC / BSD-2/3 | 可 | **是**（要求保留版权与许可声明） |
-| Apache-2.0 | 可 | **是**（保留 NOTICE / 声明） |
-| MPL-2.0 | 通常可 | 按义务；修改过的 MPL 文件另有开源义务 |
-| LGPL-2.1/3.0 | 须单独评估 | 评估通过后再定声明 |
-| GPL / AGPL / SSPL | **禁** | —（不得引入） |
-| CC-BY-NC* | **禁** | —（不得引入） |
-| 无 license | **禁** | —（不得引入） |
+- 先查许可证再装。无 LICENSE，或 all rights reserved 却当开源用：禁止。
+- 禁止直接依赖：`CC-BY-NC*`、`PolyForm-Noncommercial`、`GPL-2.0`、`GPL-3.0`、`AGPL-3.0`、`SSPL`、未到期且限制生产的 `BUSL`、Commons Clause、仅个人或评估可用的字体 / 图标 / SDK。
+- LGPL 和已购商业授权不默认通过，单独记一笔再定。
+- 只有许可证强制署名或 NOTICE 的直接依赖才写入隐私协议附录，并写 lockfile 里的版本。不强制署名的不写。

package/templates/ai-tools/rules//345/274/200/345/217/221/346/265/201/347/250/213/dwy-prod-branch.md

@@ -0,0 +1,31 @@
+---
+description: 只有 develop 和 preview。develop 只发 beta/rc 到测试环境，正式版只从 preview 发。仓库没按这个来要先提醒。只在部署和发版相关文件上注入。
+paths:
+  - "**/.github/workflows/**"
+  - "**/docker-compose*.yml"
+  - "**/docker-compose*.yaml"
+  - "**/compose.yml"
+  - "**/compose.yaml"
+  - "**/deploy*"
+  - "**/Dockerfile"
+  - "**/Dockerfile.*"
+---
+
+# 正式环境分支
+
+只在部署、发版时遵守。日常改业务代码时忽略本文件。
+
+只有两条长期分支，不另建 release / hotfix 分支。
+
+- `develop`：开发，只更新测试环境。这里发出的版本只能是 `beta` 或 `rc`。还在改用 `beta`，准备进 `preview` 用 `rc`。
+- `preview`：正式环境。只有这里发正式版，版本号不带 `-beta` / `-rc`。
+
+仓库没有这两条分支，或正式环境不是从 `preview` 发：先提醒，不要自行建分支，不要把 `main` / `master` 当成 `preview`。
+
+用 `develop` 部署正式环境，或在 `develop` 上打不带预发布的正式号：先停，按下面这段问。确认前不要做。
+
+> 当前在 develop。develop 只更新测试环境，版本只能是 beta 或 rc。
+> 正式版要到 preview 上发。
+> 请确认这次是否仍要继续。
+
+用户不确认：不要部署，不要打正式号。用户明确确认后，才可以继续这一次。

package/templates/ai-tools/rules//346/225/260/346/215/256/345/272/223/dwy-postgres.md

@@ -1,5 +1,11 @@
 ---
-description: PostgreSQL 安全与配置规范（参数化查询、应用用户最小权限、连接池上限、SSL、敏感字段加密）
+description: PostgreSQL 安全与配置规范（参数化查询、应用用户最小权限、连接池上限、SSL、敏感字段按业务决定是否 AES-GCM）。只在后端和迁移文件上注入。
+paths:
+  - "**/*.py"
+  - "**/alembic.ini"
+  - "**/alembic/**"
+  - "**/docker-compose*.yml"
+  - "**/docker-compose*.yaml"
 ---
 
 # PostgreSQL 安全与配置规范
@@ -16,7 +22,7 @@ description: PostgreSQL 安全与配置规范（参数化查询、应用用户
 | 应用用户权限 | 只授予 SELECT / INSERT / UPDATE / DELETE，**不给** DROP / CREATE / ALTER / SUPERUSER |
 | 端口暴露 | **禁止**将 `5432` 直接暴露到公网；仅允许 VPC / 内网 / 跳板机访问 |
 | 运行权限 | PostgreSQL 服务进程**禁止**以 `root` 用户运行，必须使用专用低权限系统用户 |
-| 连接池 | `pool_size ≤ 20`，`max_overflow ≤ 10` |
+| 连接池 | 没有实测时的冷启动先验：`pool_size` 20、`max_overflow` 10。有 `max_connections`、实例数和峰值连接后按实测定。无上限，或各实例合计能打满库的 `max_connections`，才算违规。大于 20 / 10 本身不是违规 |
 | SSL 连接 | 生产环境启用 `sslmode=require` |
 | 敏感字段加密 | 身份证号 / 银行卡 / 手机号原文等使用 AES 加密**存储**，不仅展示脱敏 |
 | 迁移 | 通过 Alembic 管理 schema，**禁止**手动执行 DDL（详见 `dwy-db-migration` rule） |
@@ -67,16 +73,17 @@ ALTER DEFAULT PRIVILEGES IN SCHEMA public
 
 ---
 
-## 四、敏感字段加密
+## 四、敏感字段
 
-仅展示脱敏（详见 `dwy-python-backend` 7.4 响应安全）**不足以**保护落库数据。以下字段在写入前必须用 AES 加密：
+展示脱敏（详见 `dwy-python-backend` 7.4 响应安全）只管响应，不管落库。
 
-- 身份证号
-- 银行卡号
-- 手机号（视业务敏感等级）
-- 真实姓名 + 地址组合（PII）
+身份证号、银行卡号是否在写入前加密，由业务决定，不默认上 AES。要加密时：
 
-加密密钥从环境变量或 KMS 读取，**禁止**与库一起备份。
+- 用 AES-GCM（或同等认证加密）。不要用 ECB，不要只写「AES」不写模式。
+- 密钥从环境变量或 KMS 读取，**禁止**和库备份放在一起。
+- 加密后还要等值查询或建索引的字段，先说明方案再写。不要先加密再发现查不了。
+
+手机号、姓名、地址默认落库明文，响应里脱敏。业务明确要求加密时再按上面三条做。
 
 ---
 
@@ -89,7 +96,7 @@ ALTER DEFAULT PRIVILEGES IN SCHEMA public
 | 超级用户跑应用 | 应用以 `postgres` 或其他超级用户身份连接 | **致命 → STOP** |
 | 公网开放 5432 | 安全组 / 防火墙 / LB 允许公网直连 PostgreSQL 端口 | **致命 → STOP** |
 | root 运行数据库 | PostgreSQL 服务进程以 `root` 身份运行 | **致命 → STOP** |
-| 连接池超限 | `pool_size > 20` 或 `max_overflow > 10` | 高 |
+| 连接池 | 无上限，或各实例合计能打满 `max_connections`。大于先验 20/10 本身不是违规 | 高 |
 | 无 SSL | 生产环境连接串无 `sslmode=require` | 高 |
 | 敏感字段明文 | 身份证 / 银行卡等明文落库 | 高 |
 | 硬编码连接串 | 连接串写死在代码中 | **致命 → STOP** |

package/templates/ai-tools/rules//346/225/260/346/215/256/345/272/223/dwy-redis.md

@@ -1,5 +1,8 @@
 ---
-description: Redis 安全与使用规范（必须用 dwyeapi 客户端、密码、绑定、危险命令禁用、key TTL 与前缀、敏感数据禁存）
+description: Redis 安全与使用规范（必须用 dwyeapi 客户端、密码、绑定、危险命令禁用、缓存 key TTL 与前缀、敏感数据禁存）。只在后端代码上注入。
+paths:
+  - "**/*.py"
+  - "**/redis.conf"
 ---
 
 # Redis 安全与使用规范
@@ -54,7 +57,7 @@ Group=redis
 
 | 规则 | 说明 |
 |------|------|
-| 必须 TTL | 所有 key **必须**显式设置过期时间（`ex` / `pexpire`），**禁止**遗留无 TTL 的 key |
+| 缓存必须 TTL | 缓存、会话、限流计数**必须**设置过期时间（`ex` / `pexpire`）。故意不过期的 key（例如需要长期存在的配置）要在旁边写明原因 |
 | 必须项目前缀 | 所有 key 必须有项目前缀，格式 `{app}:{domain}:{detail}`（如 `myapp:token:blacklist:abc123`） |
 | snake_case | key 段用 snake_case，**禁止**驼峰或中文 |
 | 不存敏感原文 | **禁止**存储密码、身份证、银行卡、token 原文（token 存哈希） |
@@ -64,7 +67,7 @@ Group=redis
 ```python
 # 反例
 await redis.set("abc123", "1")                       # 无前缀
-await redis.set("myapp:data:xxx", value)             # 无 TTL
+await redis.set("myapp:cache:user:uuid:f7e2", json_data)  # 缓存无 TTL
 await redis.set("myapp:user:password", "123456")     # 存敏感原文
 await redis.set("myapp:userToken", "ey...")          # 驼峰命名