create-dwy 0.5.0 → 0.5.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "create-dwy",
-  "version": "0.5.0",
+  "version": "0.5.1",
   "description": "Project scaffolding and Claude Code config sync CLI",
   "type": "module",
   "bin": {

package/src/sync.js

@@ -43,7 +43,16 @@ export async function syncClaude() {
 
     if (await fs.pathExists(settingsDest)) {
       const existing = await fs.readJson(settingsDest)
-      const merged = { ...existing, ...newSettings }
+      // 两层深合并：顶层 key merge + dict value 二级 merge
+      const merged = { ...existing }
+      for (const [key, value] of Object.entries(newSettings)) {
+        if (key in merged && typeof merged[key] === 'object' && !Array.isArray(merged[key])
+            && typeof value === 'object' && !Array.isArray(value)) {
+          merged[key] = { ...merged[key], ...value }
+        } else {
+          merged[key] = value
+        }
+      }
       await fs.writeJson(settingsDest, merged, { spaces: 2 })
       console.log(chalk.green('  ✓ settings.json — merged'))
     } else {

package/templates/claude-global/hooks/post-sync-claude-global.sh

@@ -0,0 +1,72 @@
+#!/bin/bash
+# Claude Code PostToolUse Hook
+# 当 Edit/Write 修改了 claude-global 模板文件时，自动同步到 ~/.claude/
+
+# 快速路径检查：不含模板目录标记则直接退出
+TEMPLATE_MARKER="claude-cli/templates/claude-global/"
+echo "$TOOL_INPUT" | grep -q "$TEMPLATE_MARKER" || exit 0
+
+# 用 python3 提取 file_path 并执行同步
+python3 -c "
+import json, sys, os, shutil
+
+tool_input = os.environ.get('TOOL_INPUT', '')
+if not tool_input:
+    sys.exit(0)
+
+try:
+    data = json.loads(tool_input)
+except (json.JSONDecodeError, TypeError):
+    sys.exit(0)
+
+file_path = data.get('file_path', '')
+marker = '$TEMPLATE_MARKER'
+
+if marker not in file_path:
+    sys.exit(0)
+
+# 提取相对路径
+rel_path = file_path.split(marker, 1)[1]
+if not rel_path or '..' in rel_path:
+    sys.exit(0)
+
+target_dir = os.path.expanduser('~/.claude')
+dest_path = os.path.join(target_dir, rel_path)
+
+# settings.json: 两层深合并
+if rel_path == 'settings.json':
+    try:
+        with open(file_path) as f:
+            new_settings = json.load(f)
+    except Exception:
+        sys.exit(0)
+
+    if os.path.exists(dest_path):
+        try:
+            with open(dest_path) as f:
+                existing = json.load(f)
+        except Exception:
+            existing = {}
+        # 两层深合并：顶层 merge + dict value 二级 merge
+        merged = dict(existing)
+        for key, value in new_settings.items():
+            if key in merged and isinstance(merged[key], dict) and isinstance(value, dict):
+                merged[key] = {**merged[key], **value}
+            else:
+                merged[key] = value
+    else:
+        os.makedirs(target_dir, exist_ok=True)
+        merged = new_settings
+
+    with open(dest_path, 'w') as f:
+        json.dump(merged, f, indent=2, ensure_ascii=False)
+        f.write('\n')
+    print(f'[sync] Merged settings.json -> {dest_path}')
+else:
+    # 其他文件：直接复制
+    os.makedirs(os.path.dirname(dest_path), exist_ok=True)
+    shutil.copy2(file_path, dest_path)  # copy2 保留权限和时间戳
+    print(f'[sync] Copied {rel_path} -> {dest_path}')
+"
+
+exit 0

package/templates/claude-global/rules/agent-team-patterns.md

@@ -127,7 +127,7 @@ Agent-2 (worktree) → 前端页面 + API 调用
 | 多 Agent 改同一文件 | 冲突、覆盖 | 串行修改或拆分文件职责 |
 | 无上下文的 Agent | 产出质量差 | prompt 必须自包含 |
 | 链式依赖硬并行 | B 依赖 A 的输出却并行 | 识别依赖，串行执行 |
-| 10+ Agent 同时派出 | 难以管理、context 爆炸 | 单批最多 5 个 Agent |
+| 超过 5 个 Agent 同时派出 | 难以管理、context 爆炸 | 单批最多 5 个 Agent |
 | 跳过 review 直接提交 | 质量无保障 | 遵循 review 闭环 |
 
 ## 四、Agent 数量指南

package/templates/claude-global/rules/backend-security.md

@@ -581,19 +581,29 @@ async def export_users(request: Request): ...
 
 ## 十五、违规检测清单
 
-AI 在编写或审查代码时，必须检查以下违规模式：
+**AI 在编写或审查代码时，必须检查以下违规模式。检测到违规时按严重程度执行对应动作：**
+
+### 严重程度与动作
+
+| 严重程度 | 动作 |
+|---------|------|
+| **致命** | **立即 STOP，不得继续编写或提交代码。** 必须修正后重新检查，修正前不执行任何其他操作。 |
+| **高** | 必须修正后才能继续。向用户说明违规点和修正方案。 |
+| **中** | 提示用户存在风险，建议修正。用户确认后可继续。 |
+
+### 检查清单
 
 | 检查项 | 违规模式 | 严重程度 |
 |--------|---------|---------|
+| 密码明文 | `password` 字段出现在 Response Schema | **致命 → STOP** |
+| 密码弱存储 | 使用 MD5/SHA 而非 bcrypt | **致命 → STOP** |
+| SQL 拼接 | f-string 拼接 SQL 语句 | **致命 → STOP** |
+| 命令注入 | 直接执行 shell 命令或 `shell=True` | **致命 → STOP** |
+| DolphinDB 拼接 | 用户输入直接进 DolphinDB 脚本 | **致命 → STOP** |
 | 自增 ID 暴露 | 路由参数为 `int` 类型的 ID | 高 |
-| 密码明文 | `password` 字段出现在 Response Schema | 致命 |
-| 密码弱存储 | 使用 MD5/SHA 而非 bcrypt | 致命 |
 | 无认证接口 | 数据接口无 `Depends(get_current_user)` | 高 |
-| SQL 拼接 | `f"SELECT ... {user_input}"` | 致命 |
-| 命令注入 | `os.system()` / `subprocess(shell=True)` | 致命 |
 | 全量返回 | 列表接口无分页限制 | 高 |
 | 错误回显 | `str(exception)` 返回给客户端 | 高 |
+| 文件名不安全 | 使用用户原始文件名做存储路径 | 高 |
 | 物理删除 | `session.delete()` 用于业务数据 | 中 |
 | Redis 无 TTL | `redis.set()` 没有 `ex` 参数 | 中 |
-| 文件名不安全 | 使用用户原始文件名做存储路径 | 高 |
-| DolphinDB 拼接 | 用户输入直接进 DolphinDB 脚本 | 致命 |

package/templates/claude-global/rules/git-commit-convention.md

@@ -0,0 +1,106 @@
+# Git Commit 强制规范
+
+**每次 `git commit` 前必须完整执行以下检查流程，不可跳过任何步骤。**
+
+## 提交前强制检查流程
+
+执行 `git commit` 前，按顺序完成以下 4 步。任何一步未通过则 **STOP，不得提交**。
+
+### Step 1: 分析变更内容
+
+运行 `git diff --cached` 查看暂存区，回答以下问题：
+
+- 这次变更做了几件事？
+- 涉及哪些模块/目录？
+
+**如果做了多件事** → STOP，必须拆成多个 commit。判断标准：能否用一个 ≤ 72 字符的 subject 清晰描述？不能就必须拆。
+
+### Step 2: 确定 scope
+
+读取当前项目 CLAUDE.md，查找 `## Git Commit Scope` 段落：
+
+- **找到了** → scope 必须从其中定义的枚举值中选取，不得自造
+- **没找到** → 提醒用户：「当前项目 CLAUDE.md 未定义 Git Commit Scope，建议添加。需要我帮你加吗？」，然后 scope 可省略
+
+scope 使用规则：
+- 变更仅涉及单个模块 → **必须**带 scope
+- 变更跨多个模块 → 省略 scope
+
+### Step 3: 生成 commit message
+
+格式必须严格匹配：
+
+```
+<type>(<scope>): <subject>
+```
+
+或（无 scope 时）：
+
+```
+<type>: <subject>
+```
+
+**type 只能从以下枚举中选取：**
+
+| type | 用途 |
+|------|------|
+| feat | 新功能 |
+| fix | 修复 bug |
+| refactor | 重构（不改变外部行为） |
+| chore | 构建/依赖/配置/发版等杂务 |
+| docs | 文档变更 |
+| test | 测试新增或修改 |
+| perf | 性能优化 |
+| style | 代码格式调整（不影响逻辑） |
+| ci | CI/CD 配置变更 |
+
+**subject 强制要求：**
+
+- **中文**描述
+- 不加句号
+- ≤ 72 字符
+- 用简洁的动宾短语：`添加`、`修复`、`移除`、`重构`、`升级`
+
+**body（可选）：**
+
+- 空一行后写
+- 中文，只写 why（动机、背景），不复述 what
+- 破坏性变更加 `BREAKING CHANGE:` 前缀
+
+### Step 4: 自检验证
+
+生成 commit message 后，逐条验证：
+
+- [ ] type 在枚举表中？
+- [ ] scope 符合项目 CLAUDE.md 定义（或正确省略）？
+- [ ] subject 是中文、无句号、≤ 72 字符、简洁动宾短语？
+- [ ] 一个 commit 只做一件事，没有混合不同 type 的变更？
+- [ ] 没有混合不同 scope 的独立变更？
+
+**全部通过 → 执行 commit。任何一条未通过 → 修正后重新验证。**
+
+## 常见错误（必须避免）
+
+| 错误 | 正确 |
+|------|------|
+| `feat: add user login`（英文） | `feat: 添加用户登录功能`（中文） |
+| `fix(eui): 修复了按钮样式。` | `fix(eui): 修复按钮样式`（无句号、不用「了」） |
+| `feat: 添加登录功能并修复登出 bug` | 拆成两个 commit |
+| `update: 修改配置` | `update` 不在 type 枚举中，应为 `chore` |
+| `feat(auth): 添加 JWT 刷新`（项目 scope 枚举无 auth） | 使用项目定义的 scope 值 |
+
+## 正确示例
+
+```
+feat(eui): 添加 Image 组件，支持懒加载
+
+fix: 修复 token 刷新竞态条件
+
+refactor(backend): 提取分页逻辑为共享工具
+
+chore: 升级 Vite 至 8.x
+
+feat(eui)!: 重命名 EDialog open 属性为 v-model:open
+
+BREAKING CHANGE: EDialog 不再接受 `visible` 属性，请改用 `v-model:open`。
+```

package/templates/claude-global/rules/python-code-style.md

@@ -845,6 +845,29 @@ user = cache.get_user(user_id)
 async def create_user(body: UserCreate) -> UserResponse:
     """根据提交的信息创建新用户，邮箱不可重复。"""
     ...
+
+## 代码自检（写代码时强制执行）
+
+**每次生成或修改 Python 代码后，必须逐条验证以下清单。任何一条未通过 → STOP，立即修正后再继续。**
+
+| # | 检查项 | 违规即 STOP |
+|---|--------|------------|
+| 1 | 所有公开函数有参数 + 返回值类型标注 | ✓ |
+| 2 | 无 `Any` 类型（除非有注释说明原因） | ✓ |
+| 3 | 使用 `list[int]` / `str \| None` 等现代语法，不用 `typing.List` / `Optional` | ✓ |
+| 4 | service 层不抛 `HTTPException`，只抛业务异常 | ✓ |
+| 5 | 无裸 `except:` 或 `except Exception: pass` | ✓ |
+| 6 | 路由函数只做参数接收 → 调用 service → 返回结果，无业务逻辑 | ✓ |
+| 7 | HTTP 请求用 `httpx`，不用 `requests` | ✓ |
+| 8 | 日志用 `%s` 占位符或 structlog，不用 f-string | ✓ |
+| 9 | 生命周期用 `lifespan`，不用 `@app.on_event` | ✓ |
+| 10 | 无可变默认参数 `def f(items=[])` | ✓ |
+| 11 | Pydantic Schema 请求/响应分离，不复用 | ✓ |
+| 12 | 嵌套不超过 3 层，函数体不超过 50 行 | ✓ |
+| 13 | 所有模块/类/函数有 docstring（Google 风格） | ✓ |
+| 14 | 依赖通过 `Depends()` 注入，不在路由中直接创建 | ✓ |
+
+**不执行自检就提交代码 = 违规。**
 ```
 
 ## 十九、安全编码

package/templates/claude-global/rules/vue-code-style.md

@@ -713,3 +713,26 @@ import { UserInfo, getUsers } from '@/api/user'
 | `reactive()` 用于简单值 | `ref()` 用于所有场景 |
 | 解构 store 不用 `storeToRefs` | 响应式值必须用 `storeToRefs` |
 | 手写 CSS 为主 | Tailwind 工具类为主 |
+
+## 代码自检（写代码时强制执行）
+
+**每次生成或修改 Vue/TypeScript 代码后，必须逐条验证以下清单。任何一条未通过 → STOP，立即修正后再继续。**
+
+| # | 检查项 | 违规即 STOP |
+|---|--------|------------|
+| 1 | 使用 `<script setup lang="ts">`，不是 Options API | ✓ |
+| 2 | Props 用 `defineProps<{}>()`，Emits 用 `defineEmits<{}>()` | ✓ |
+| 3 | 无 `any` 类型（除非有注释说明原因） | ✓ |
+| 4 | `ref()` 复杂类型有泛型标注（`ref<T>` 而非 `ref(null)`） | ✓ |
+| 5 | Pinia 使用 Setup Store，不是 Options Store | ✓ |
+| 6 | Store 解构用 `storeToRefs`（响应式值），方法直接解构 | ✓ |
+| 7 | 类型导入用 `import type { ... }` | ✓ |
+| 8 | 路由组件使用 `() => import()` 懒加载 | ✓ |
+| 9 | API 调用通过 `api/` 模块，未在组件中直接 `axios.get` | ✓ |
+| 10 | 布尔变量有 `is/has/can/should` 前缀 | ✓ |
+| 11 | 样式以 Tailwind 为主，非必要不写 scoped CSS | ✓ |
+| 12 | 无 `v-if` + `v-for` 同元素 | ✓ |
+| 13 | 模板无复杂表达式，已提取为 `computed` | ✓ |
+| 14 | 枚举用联合类型 `type X = 'a' | 'b'`，不用 `enum` | ✓ |
+
+**不执行自检就提交代码 = 违规。**

package/templates/claude-global/settings.json

@@ -10,6 +10,26 @@
           }
         ]
       }
+    ],
+    "PostToolUse": [
+      {
+        "matcher": "Edit",
+        "hooks": [
+          {
+            "type": "command",
+            "command": "bash ~/.claude/hooks/post-sync-claude-global.sh"
+          }
+        ]
+      },
+      {
+        "matcher": "Write",
+        "hooks": [
+          {
+            "type": "command",
+            "command": "bash ~/.claude/hooks/post-sync-claude-global.sh"
+          }
+        ]
+      }
     ]
   }
 }

package/templates/claude-global/skills/dwy-release/SKILL.md

@@ -0,0 +1,111 @@
+---
+name: dwy-release
+description: "标准化发版流程：bump version → changelog → build → publish → git tag。触发条件：用户说'发版'、'发布'、'release'、'bump version' 时。"
+---
+
+# 标准化发版流程
+
+通用的发版流程框架，项目特定的包名、路径、命令由 CLAUDE.md 的 `## Release` 段落定义。
+
+## 触发条件
+
+用户要求发布包时（"发版"、"发布"、"release"、"bump version"）。
+
+## 第 0 步：检查项目 Release 配置
+
+**在执行任何操作前**，检查当前项目的 CLAUDE.md 是否包含 `## Release` 段落：
+
+- **有** → 读取其中的包列表、版本文件路径、构建命令、发布命令、依赖顺序等配置，按配置执行
+- **没有** → **停止发版流程**，提醒用户：
+
+> 「当前项目 CLAUDE.md 未定义 `## Release` 段落，无法执行发版流程。需要我帮你加吗？」
+
+参考格式（提供给用户）：
+
+```markdown
+## Release
+
+### 包列表
+
+| 包名 | scope | 版本文件 | 构建命令 | 发布命令 | 验证命令 |
+|------|-------|---------|---------|---------|---------|
+| @scope/pkg-a | pkg-a | packages/a/package.json | pnpm build:a | pnpm publish:a | npm view @scope/pkg-a version |
+
+### 依赖顺序
+
+多包发版时按此顺序执行：pkg-a → pkg-b → pkg-c
+
+### Tag 命名
+
+- 单包：`@scope/pkg-a@1.0.0`
+- 仅一个包时可简化为：`v1.0.0`
+
+### CHANGELOG
+
+- 命令：`pnpm changelog`
+- 工具：changelogen
+```
+
+## 发版前确认
+
+询问用户：
+
+1. **发哪个包？**（从 Release 配置的包列表中选，可多选）
+2. **版本号？** patch / minor / major，或指定具体版本号
+
+## 发版流程
+
+### 1. Bump Version
+
+根据 Release 配置中的版本文件路径，直接编辑 version 字段。
+
+```bash
+# 读取当前版本（根据配置的版本文件）
+# 计算新版本：patch=x.y.z+1, minor=x.y+1.0, major=x+1.0.0
+```
+
+不使用 `npm version`（避免自动 commit）。Python 项目编辑 `pyproject.toml` 中的 `version` 字段。
+
+### 2. Generate CHANGELOG
+
+执行 Release 配置中定义的 changelog 命令。检查生成内容，确认无误后继续。
+
+### 3. Build
+
+执行 Release 配置中对应包的构建命令。**构建必须成功才能继续。**
+
+### 4. Commit + Tag
+
+```bash
+# 暂存变更（version + changelog）
+git add <changed-files>
+
+# 提交（遵循 git-commit-convention）
+git commit -m "chore(<scope>): release v<version>"
+
+# 打 tag（按 Release 配置的命名规则）
+git tag <tag-name>
+
+# 推送
+git push origin <branch> --tags
+```
+
+### 5. Publish
+
+执行 Release 配置中对应包的发布命令。
+
+### 6. 发版后验证
+
+执行 Release 配置中对应包的验证命令，确认新版本已发布。
+
+## 多包同时发版
+
+按 Release 配置中定义的依赖顺序，每个包独立走完 bump → build → publish，最后统一 commit + tag + push。
+
+## 禁止事项
+
+- **禁止**跳过 build 直接 publish
+- **禁止**忘记打 tag
+- **禁止**publish 失败后不回滚 version 变更
+- **禁止**在 CHANGELOG 未生成时发版
+- **禁止**在无 Release 配置的情况下猜测发版命令

package/templates/claude-global/skills/dwy-auto-sync/SKILL.md

@@ -1,52 +0,0 @@
----
-name: dwy-auto-sync
-description: "create-dwy 发版后自动更新本地 CLI 并同步 Claude Code 配置。触发条件：执行了 npm publish create-dwy、pnpm publish:cli、或用户要求同步 dwy 配置时。"
----
-
-# DWY 发版后自动同步
-
-当 `create-dwy` 发布新版本后，必须执行以下步骤确保本地 Claude Code 配置与最新版本同步。
-
-## 触发时机
-
-以下任一情况发生时，执行同步流程：
-
-1. 执行了 `npm publish`（在 claude-cli 目录下）
-2. 执行了 `pnpm publish:cli`
-3. 用户要求"同步 dwy"或"更新配置"
-
-## 同步流程
-
-发版成功后，按顺序执行：
-
-```bash
-# 1. 更新全局 CLI 到最新版
-npm i -g create-dwy@latest
-
-# 2. 验证版本
-dwy --version
-
-# 3. 同步 Claude Code 配置（skills/rules/hooks/commands/settings）
-dwy sync claude
-
-# 4. 验证同步结果
-ls ~/.claude/skills/
-```
-
-## 同步了什么
-
-`dwy sync claude` 会将以下内容从 CLI 模板同步到 `~/.claude/`：
-
-| 目录 | 内容 | 同步方式 |
-|------|------|---------|
-| `~/.claude/skills/` | AI 速查文档 (dwy-frontend-eui, dwy-frontend-core, dwy-backend-base) | 覆盖同名，保留已有 |
-| `~/.claude/rules/` | 编码规范 (python-code-style, vue-code-style, 安全规则等) | 覆盖同名，保留已有 |
-| `~/.claude/hooks/` | 自动化脚本 (pre-git-commit 检查) | 覆盖同名，保留已有 |
-| `~/.claude/commands/` | 自定义命令 | 覆盖同名，保留已有 |
-| `~/.claude/settings.json` | Claude Code 设置 | 浅合并（新 key 加入，同名覆盖，已有独有 key 保留） |
-
-## 注意事项
-
-- npm 注册表有传播延迟（~1 分钟），如果 `npm i -g create-dwy@latest` 安装的不是刚发布的版本，等待后重试
-- `dwy sync claude` 从 Gitee 仓库拉取模板，确保代码已 push 到 Gitee 后再执行
-- 同步不会删除用户手动添加的 skills/rules，只覆盖同名文件