create-dwy 0.5.0 → 0.6.0

package/templates/claude-global/rules/{backend-security.md → dwy-python-security.md}

@@ -1,8 +1,41 @@
 ---
+description: Python 后端安全编码(认证/校验/注入/存储/RBAC 等)
 paths:
   - "**/*.py"
-  - "**/alembic/**"
-  - "**/pyproject.toml"
+---
+
+# Python 后端安全编码
+
+## 十九、安全编码
+
+### 强制规则
+- SQL 查询必须使用参数化绑定，**禁止**字符串拼接
+- 用户输入必须校验后使用，**禁止**直接信任
+- 文件路径操作必须防止路径遍历攻击
+- 序列化/反序列化**禁止**用不安全的反序列化库处理不可信数据
+- 密码存储必须使用 `bcrypt` / `argon2`，**禁止**明文或 MD5/SHA
+- JWT 密钥从环境变量读取，**禁止**硬编码
+
+```python
+# BAD: SQL 注入
+cursor.execute(f"SELECT * FROM users WHERE id = {user_id}")
+
+# GOOD: 参数化查询
+cursor.execute("SELECT * FROM users WHERE id = %s", (user_id,))
+
+# BAD: 路径遍历
+file_path = f"/uploads/{user_input_filename}"
+
+# GOOD: 路径安全校验
+safe_path = Path("/uploads") / Path(user_input_filename).name
+
+# BAD: 硬编码密钥
+SECRET_KEY = "my-super-secret-key"
+
+# GOOD: 环境变量
+SECRET_KEY = settings.secret_key
+```
+
 ---
 
 # 后端安全编码规范
@@ -17,7 +50,7 @@ FastAPI + PostgreSQL + Redis + MinIO + DolphinDB 项目的安全编码规则。A
 ### 强制规则
 
 ```python
-# ✅ 正确 — ORM 模型同时有 id 和 uuid
+# GOOD: ORM 模型同时有 id 和 uuid
 import uuid as uuid_lib
 from sqlalchemy import String
 from sqlalchemy.orm import Mapped, mapped_column
@@ -30,24 +63,24 @@ class User(Base, TimestampMixin):
     name: Mapped[str] = mapped_column(String(50))
 
 
-# ✅ 正确 — 路由用 UUID 查询
+# GOOD: 路由用 UUID 查询
 @router.get("/users/{user_uuid}", response_model=UserResponse)
 async def get_user(user_uuid: str, service: UserService = Depends(get_user_service)):
     return await service.get_by_uuid(user_uuid)
 
 
-# ✅ 正确 — Response Schema 只返回 uuid，不返回 id
+# GOOD: Response Schema 只返回 uuid，不返回 id
 class UserResponse(BaseModel):
     uuid: str
     name: str
     # 不暴露 id 字段
 
 
-# ❌ 违规 — 路由直接用自增 ID
+# BAD: 路由直接用自增 ID
 @router.get("/users/{user_id}")
 async def get_user(user_id: int): ...
 
-# ❌ 违规 — Response 暴露自增 ID
+# BAD: Response 暴露自增 ID
 class UserResponse(BaseModel):
     id: int  # 攻击者可遍历 1,2,3...
 ```
@@ -60,19 +93,19 @@ class UserResponse(BaseModel):
 ### 强制规则
 
 ```python
-# ✅ 正确 — bcrypt 存储
-from danweiyuan_base.security import hash_password, verify_password
+# GOOD: bcrypt 存储
+from dwyeapi.security import hash_password, verify_password
 
 hashed = hash_password("user_password")   # 存储到数据库
 is_valid = verify_password("input", hashed)  # 验证时比对
 
-# ❌ 违规 — 明文存储
+# BAD: 明文存储
 user.password = "123456"
 
-# ❌ 违规 — MD5/SHA 存储（可被彩虹表破解）
+# BAD: MD5/SHA 存储（可被彩虹表破解）
 user.password = hashlib.md5(password.encode()).hexdigest()
 
-# ❌ 违规 — 接口返回密码字段
+# BAD: 接口返回密码字段
 class UserResponse(BaseModel):
     id: int
     name: str
@@ -91,18 +124,18 @@ class UserResponse(BaseModel):
 ### 强制规则
 
 ```python
-# ✅ 所有 API 必须 JWT 认证（白名单除外）
+# GOOD: 所有 API 必须 JWT 认证（白名单除外）
 WHITELIST = ["/api/health", "/api/auth/login", "/api/auth/register"]
 
-# ✅ 路由级别认证
+# GOOD: 路由级别认证
 @router.get("/users", dependencies=[Depends(get_current_user)])
 async def list_users(): ...
 
-# ✅ 角色检查
+# GOOD: 角色检查
 @router.delete("/users/{uuid}", dependencies=[Depends(require_admin)])
 async def delete_user(uuid: str): ...
 
-# ❌ 违规 — 无认证的数据接口
+# BAD: 无认证的数据接口
 @router.get("/users")
 async def list_users(): ...
 ```
@@ -122,23 +155,23 @@ async def list_users(): ...
 ### 强制规则
 
 ```python
-# ✅ Pydantic Schema 严格校验
+# GOOD: Pydantic Schema 严格校验
 class UserCreate(BaseModel):
     name: str = Field(min_length=2, max_length=50)
     email: EmailStr
     password: str = Field(min_length=8, max_length=128)
     age: int = Field(ge=0, le=150)
 
-# ✅ 列表查询参数限制
+# GOOD: 列表查询参数限制
 class ListParams(BaseModel):
     page: int = Field(default=1, ge=1)
     page_size: int = Field(default=20, ge=1, le=100)  # 上限 100
 
-# ❌ 违规 — 不校验直接使用
+# BAD: 不校验直接使用
 @router.post("/users")
 async def create_user(data: dict): ...
 
-# ❌ 违规 — page_size 无上限
+# BAD: page_size 无上限
 class ListParams(BaseModel):
     page_size: int = 20  # 攻击者可传 999999
 ```
@@ -147,20 +180,17 @@ class ListParams(BaseModel):
 
 | 字段类型 | 校验 |
 |---------|------|
-| 字符串 | `min_length` + `max_length` |
-| 数字 | `ge` + `le`（最小值 + 最大值） |
+| 数字 | `ge` + `le`(最小值 + 最大值) |
 | 邮箱 | `EmailStr` |
 | 手机号 | `pattern=r"^1[3-9]\d{9}$"` |
 | URL | `HttpUrl` |
-| 列表 | `max_length`（限制数组长度） |
-| 文件大小 | 后端二次校验（不信任前端） |
 
 ## 五、响应安全
 
 ### 强制规则
 
 ```python
-# ✅ Response Schema 严格控制返回字段
+# GOOD: Response Schema 严格控制返回字段
 class UserResponse(BaseModel):
     uuid: str
     name: str
@@ -170,17 +200,17 @@ class UserResponse(BaseModel):
 
     model_config = ConfigDict(from_attributes=True)
 
-# ❌ 违规 — 直接返回 ORM 对象
+# BAD: 直接返回 ORM 对象
 @router.get("/users/{uuid}")
 async def get_user(uuid: str, db=Depends(get_db)):
     user = await db.get(User, uuid)
     return user  # 可能暴露 password、内部 ID 等
 
-# ✅ 列表接口必须分页
+# GOOD: 列表接口必须分页
 @router.get("/users", response_model=PaginatedResponse[UserResponse])
 async def list_users(params: PaginationParams = Depends()): ...
 
-# ❌ 违规 — 无分页返回全量数据
+# BAD: 无分页返回全量数据
 @router.get("/users")
 async def list_users():
     return await db.execute(select(User))  # 全量泄露
@@ -189,7 +219,7 @@ async def list_users():
 ### PII 脱敏
 
 ```python
-# ✅ 工具函数
+# GOOD: 工具函数
 def mask_phone(phone: str) -> str:
     """138****5678"""
     if len(phone) != 11:
@@ -202,7 +232,7 @@ def mask_id_card(id_card: str) -> str:
         return id_card
     return id_card[:3] + "***********" + id_card[14:]
 
-# ✅ 在 Response Schema 中使用 validator 脱敏
+# GOOD: 在 Response Schema 中使用 validator 脱敏
 class UserResponse(BaseModel):
     phone: str
 
@@ -217,22 +247,22 @@ class UserResponse(BaseModel):
 ### 强制规则
 
 ```python
-# ✅ 生产环境只返回通用错误
-raise NotFoundError("用户")          # → {"code": "NOT_FOUND", "message": "用户不存在"}
-raise BusinessError("操作失败")       # → {"code": "UNKNOWN_ERROR", "message": "操作失败"}
+# GOOD: 生产环境只返回通用错误
+raise NotFoundError("用户")
+raise BusinessError("操作失败")
 
-# ❌ 违规 — 回显用户输入
+# BAD: 回显用户输入
 raise BusinessError(f"未找到: {user_input}")  # XSS/信息泄露
 
-# ❌ 违规 — 暴露内部错误
+# BAD: 暴露内部错误
 except Exception as e:
     return {"error": str(e)}  # 可能包含 SQL、文件路径、堆栈
 
-# ❌ 违规 — 暴露数据库结构
+# BAD: 暴露数据库结构
 except IntegrityError as e:
     return {"error": f"数据库错误: {e}"}  # 暴露表名、字段名
 
-# ✅ 正确 — 统一错误处理
+# GOOD: 统一错误处理
 except IntegrityError:
     raise BusinessError("数据冲突，请检查是否重复提交", code="CONFLICT")
 ```
@@ -253,30 +283,27 @@ except IntegrityError:
 ### SQL 注入
 
 ```python
-# ✅ ORM 参数化查询（安全）
+# GOOD: ORM 参数化查询（安全）
 result = await session.execute(select(User).where(User.id == user_id))
 
-# ✅ 原生 SQL 参数化（安全）
+# GOOD: 原生 SQL 参数化（安全）
 result = await session.execute(text("SELECT * FROM users WHERE id = :id"), {"id": user_id})
 
-# ❌ 违规 — 字符串拼接（SQL 注入）
+# BAD: 字符串拼接（SQL 注入）
 result = await session.execute(text(f"SELECT * FROM users WHERE id = {user_id}"))
 ```
 
 ### 命令注入
 
 ```python
-# ❌ 违规 — shell 命令注入
-import os
-os.system(f"convert {user_filename} output.png")
-
-import subprocess
-subprocess.run(f"ls {user_path}", shell=True)
+# BAD: shell 命令注入(禁止)
+# 使用 os 模块的 system 调用执行用户输入拼接的命令 → 注入风险
+# 使用 subprocess.run(... , shell=True) 执行用户输入拼接的字符串 → 注入风险
 
-# ✅ 正确 — 参数列表（不经过 shell）
+# GOOD: 参数列表（不经过 shell）
 subprocess.run(["convert", safe_filename, "output.png"], shell=False)
 
-# ✅ 最佳 — 不调用外部命令，用 Python 库
+# BEST: 不调用外部命令，用 Python 库
 from PIL import Image
 img = Image.open(safe_path)
 ```
@@ -284,10 +311,10 @@ img = Image.open(safe_path)
 ### 路径遍历
 
 ```python
-# ❌ 违规 — 用户控制文件路径
+# BAD: 用户控制文件路径
 file_path = f"/uploads/{user_input_filename}"
 
-# ✅ 正确 — 安全提取文件名
+# GOOD: 安全提取文件名
 from pathlib import Path
 safe_name = Path(user_input_filename).name  # 去除 ../../../ 等
 file_path = Path("/uploads") / safe_name
@@ -296,11 +323,11 @@ file_path = Path("/uploads") / safe_name
 ### SSRF（服务端请求伪造）
 
 ```python
-# ❌ 违规 — 用户控制 URL 发起请求
+# BAD: 用户控制 URL 发起请求
 url = request_body.url  # 用户传入
 response = await httpx.get(url)  # 可能访问内网 169.254.169.254
 
-# ✅ 正确 — 白名单限制
+# GOOD: 白名单限制
 ALLOWED_HOSTS = ["api.example.com", "cdn.example.com"]
 parsed = urlparse(url)
 if parsed.hostname not in ALLOWED_HOSTS:
@@ -312,7 +339,7 @@ if parsed.hostname not in ALLOWED_HOSTS:
 ### 强制规则
 
 ```python
-# ✅ 模型添加软删除字段
+# GOOD: 模型添加软删除字段
 class User(Base, TimestampMixin):
     __tablename__ = "users"
 
@@ -320,21 +347,21 @@ class User(Base, TimestampMixin):
     is_deleted: Mapped[bool] = mapped_column(default=False)
     deleted_at: Mapped[datetime | None] = mapped_column(default=None)
 
-# ✅ 删除操作只更新标记
+# GOOD: 删除操作只更新标记
 async def delete_user(self, user_uuid: str) -> None:
     user = await self.get_by_uuid(user_uuid)
     user.is_deleted = True
     user.deleted_at = datetime.now(timezone.utc)
     await self.db.commit()
 
-# ✅ 查询时自动排除已删除
+# GOOD: 查询时自动排除已删除
 async def list_users(self) -> list[User]:
     result = await self.db.execute(
         select(User).where(User.is_deleted == False)
     )
     return list(result.scalars().all())
 
-# ❌ 违规 — 物理删除
+# BAD: 物理删除
 async def delete_user(self, user_id: int) -> None:
     user = await self.db.get(User, user_id)
     await self.db.delete(user)  # 数据永久丢失
@@ -362,7 +389,7 @@ async def delete_user(self, user_id: int) -> None:
 | 导出操作 | 操作人、导出数据范围 |
 
 ```python
-# ✅ 审计日志示例
+# GOOD: 审计日志示例
 import logging
 
 audit_logger = logging.getLogger("audit")
@@ -402,7 +429,7 @@ GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO app_user;
 ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO app_user;
 ALTER DEFAULT PRIVILEGES IN SCHEMA public GRANT USAGE, SELECT ON SEQUENCES TO app_user;
 
--- ❌ 禁止给应用用户的权限
+-- 禁止给应用用户的权限
 -- GRANT ALL PRIVILEGES
 -- SUPERUSER
 -- CREATEDB
@@ -438,17 +465,17 @@ maxmemory-policy allkeys-lru
 
 ### Key 设计规范
 ```python
-# ✅ 正确 — 有前缀、有 TTL
+# GOOD: 有前缀、有 TTL
 await redis.set("myapp:token:blacklist:abc123", "1", ex=3600)
 await redis.set("myapp:cache:user:uuid123", json.dumps(user_data), ex=300)
 
-# ❌ 违规 — 无前缀
+# BAD: 无前缀
 await redis.set("abc123", "1")
 
-# ❌ 违规 — 无 TTL
+# BAD: 无 TTL
 await redis.set("myapp:data:xxx", value)  # 永不过期，内存泄漏
 
-# ❌ 违规 — 存储敏感原文
+# BAD: 存储敏感原文
 await redis.set("myapp:user:password", "123456")
 ```
 
@@ -465,7 +492,7 @@ await redis.set("myapp:user:password", "123456")
 | 文件大小 | 后端二次校验大小限制（不信任前端或 Nginx） |
 
 ```python
-# ✅ 正确 — UUID 重命名 + 预签名 URL
+# GOOD: UUID 重命名 + 预签名 URL
 import uuid as uuid_lib
 from minio import Minio
 
@@ -488,13 +515,13 @@ def get_download_url(filename: str) -> str:
     return client.presigned_get_object("uploads", filename, expires=timedelta(minutes=15))
 
 
-# ❌ 违规 — 用户原始文件名
+# BAD: 用户原始文件名
 safe_name = file.filename  # 可能包含 ../../../etc/passwd
 
-# ❌ 违规 — 公开 bucket
+# BAD: 公开 bucket
 client.set_bucket_policy("uploads", public_read_policy)
 
-# ❌ 违规 — 只检查扩展名
+# BAD: 只检查扩展名
 if file.filename.endswith(".jpg"):  # 攻击者可改扩展名
 ```
 
@@ -510,7 +537,7 @@ if file.filename.endswith(".jpg"):  # 攻击者可改扩展名
 | 端口隔离 | DolphinDB 端口**禁止对外暴露**，仅 Docker 内部网络或 127.0.0.1 |
 
 ```python
-# ✅ 正确 — 白名单验证后再插入脚本
+# GOOD: 白名单验证后再插入脚本
 import re
 
 SAFE_COLUMN_NAME = re.compile(r'^[a-zA-Z_][a-zA-Z0-9_]{0,63}$')
@@ -526,17 +553,17 @@ col = validate_column_name(user_input_column)
 script = f"select {col} from loadTable('dfs://mydb', 'mytable')"
 
 
-# ❌ 违规 — 直接拼接用户输入
+# BAD: 直接拼接用户输入
 script = f"select * from loadTable('dfs://mydb', '{user_input}')"  # DolphinDB 注入
 
-# ❌ 违规 — 无验证
+# BAD: 无验证
 factor_name = request.query_params.get("factor")
 script = f"select * from factors where factor_name = '{factor_name}'"
 ```
 
 ### DolphinDB 连接安全
 ```python
-# ✅ 正确 — 从环境变量读取
+# GOOD: 从环境变量读取
 ddb_conn = ddb.Session()
 ddb_conn.connect(
     host=settings.dolphindb_host,
@@ -545,7 +572,7 @@ ddb_conn.connect(
     password=settings.dolphindb_password,
 )
 
-# ❌ 违规 — 硬编码
+# BAD: 硬编码
 ddb_conn.connect("localhost", 8848, "admin", "123456")
 ```
 
@@ -564,7 +591,7 @@ ddb_conn.connect("localhost", 8848, "admin", "123456")
 | 文件上传 | 10 次/分钟/IP | 防资源滥用 |
 
 ```python
-# ✅ 使用 slowapi 限流
+# GOOD: 使用 slowapi 限流
 from slowapi import Limiter
 from slowapi.util import get_remote_address
 
@@ -581,19 +608,29 @@ async def export_users(request: Request): ...
 
 ## 十五、违规检测清单
 
-AI 在编写或审查代码时，必须检查以下违规模式：
+**AI 在编写或审查代码时，必须检查以下违规模式。检测到违规时按严重程度执行对应动作：**
+
+### 严重程度与动作
+
+| 严重程度 | 动作 |
+|---------|------|
+| **致命** | **立即 STOP，不得继续编写或提交代码。** 必须修正后重新检查，修正前不执行任何其他操作。 |
+| **高** | 必须修正后才能继续。向用户说明违规点和修正方案。 |
+| **中** | 提示用户存在风险，建议修正。用户确认后可继续。 |
+
+### 检查清单
 
 | 检查项 | 违规模式 | 严重程度 |
 |--------|---------|---------|
+| 密码明文 | `password` 字段出现在 Response Schema | **致命 → STOP** |
+| 密码弱存储 | 使用 MD5/SHA 而非 bcrypt | **致命 → STOP** |
+| SQL 拼接 | f-string 拼接 SQL 语句 | **致命 → STOP** |
+| 命令注入 | 直接执行 shell 命令或 `shell=True` | **致命 → STOP** |
+| DolphinDB 拼接 | 用户输入直接进 DolphinDB 脚本 | **致命 → STOP** |
 | 自增 ID 暴露 | 路由参数为 `int` 类型的 ID | 高 |
-| 密码明文 | `password` 字段出现在 Response Schema | 致命 |
-| 密码弱存储 | 使用 MD5/SHA 而非 bcrypt | 致命 |
 | 无认证接口 | 数据接口无 `Depends(get_current_user)` | 高 |
-| SQL 拼接 | `f"SELECT ... {user_input}"` | 致命 |
-| 命令注入 | `os.system()` / `subprocess(shell=True)` | 致命 |
 | 全量返回 | 列表接口无分页限制 | 高 |
 | 错误回显 | `str(exception)` 返回给客户端 | 高 |
+| 文件名不安全 | 使用用户原始文件名做存储路径 | 高 |
 | 物理删除 | `session.delete()` 用于业务数据 | 中 |
 | Redis 无 TTL | `redis.set()` 没有 `ex` 参数 | 中 |
-| 文件名不安全 | 使用用户原始文件名做存储路径 | 高 |
-| DolphinDB 拼接 | 用户输入直接进 DolphinDB 脚本 | 致命 |

package/templates/claude-global/rules/dwy-python-testing.md

@@ -0,0 +1,53 @@
+---
+description: Python pytest 测试规范
+paths:
+  - "**/tests/**/*.py"
+  - "**/test_*.py"
+  - "**/*_test.py"
+  - "**/conftest.py"
+---
+
+# Python pytest 测试规范
+
+## 十四、测试
+
+### 强制规则
+- 使用 `pytest` + `pytest-asyncio` + `httpx`
+- 使用 `TestClient` 或 `AsyncClient` 测试 API
+
+```python
+# conftest.py
+import pytest
+from httpx import ASGITransport, AsyncClient
+from app.main import app
+
+@pytest.fixture
+async def client():
+    async with AsyncClient(
+        transport=ASGITransport(app=app),
+        base_url="http://test",
+    ) as ac:
+        yield ac
+
+# test_user.py
+@pytest.mark.anyio
+async def test_create_user_returns_201(client: AsyncClient):
+    response = await client.post("/users/", json={
+        "name": "Alice",
+        "email": "alice@example.com",
+        "password": "securepass123",
+    })
+    assert response.status_code == 201
+    data = response.json()
+    assert data["name"] == "Alice"
+    assert "password" not in data  # 响应不包含密码
+
+@pytest.mark.anyio
+async def test_get_nonexistent_user_returns_404(client: AsyncClient):
+    response = await client.get("/users/99999")
+    assert response.status_code == 404
+```
+
+- 测试函数名描述行为而非实现
+- 测试数据使用 `pytest.fixture`，不要硬编码
+- 测试结构遵循 Arrange-Act-Assert

package/templates/claude-global/rules/{server-security.md → dwy-server-security.md}

@@ -1,4 +1,5 @@
 ---
+description: 服务器/容器/Nginx/SSH/CORS/部署安全规范
 paths:
   - "**/docker-compose*.yml"
   - "**/Dockerfile*"
@@ -131,7 +132,6 @@ certbot --nginx -d example.com
 
 **4. 全局限制（server 块）**
 ```nginx
-client_max_body_size 1m;        # 无文件上传业务时默认 1m
 client_body_timeout 10s;
 client_header_timeout 10s;
 limit_conn conn_limit 20;
@@ -202,7 +202,6 @@ if ($is_scanner) {
 ### 违规检测
 如果 Nginx 配置中出现以下情况，必须提示用户：
 - 缺少 `limit_req` 频率限制
-- `client_max_body_size` 大于 10m（除非有文件上传业务）
 - API 路径允许 PUT/DELETE 但业务不需要
 - 缺少 `location ~ /\.` 敏感文件屏蔽
 - 使用 `proxy_pass` 但未设置 `proxy_connect_timeout`

package/templates/claude-global/rules/dwy-tdd-development.md

@@ -0,0 +1,70 @@
+---
+description: TDD 开发流程(新功能/bug 修复/重构的测试先行与回归策略)
+---
+
+# TDD 开发规则
+
+所有代码变更必须遵循测试驱动开发流程。测试不是事后补的，是开发的起点。
+
+## 开发流程
+
+### 新功能
+
+1. 先写测试 — 定义预期行为，测试此时应失败
+2. 再写实现 — 用最简代码让测试通过
+3. 重构优化 — 在测试保护下重构，确保始终通过
+
+### Bug 修复
+
+1. 先写复现测试 — 写一个能暴露 bug 的测试用例，确认它失败
+2. 再修代码 — 修复 bug，确认测试通过
+3. 跑回归 — 确认没有引入新问题
+
+### 重构
+
+1. 先跑现有测试 — 确认当前全部通过
+2. 再重构 — 修改代码
+3. 再跑测试 — 确认行为没变
+
+## 回归测试
+
+### 开发中：只跑受影响的测试
+
+每次代码改动后，只运行受影响的测试文件，提高开发效率：
+
+```bash
+# 后端：只跑改动涉及的测试文件
+uv run pytest tests/test_factor.py -v          # 改了 factor 相关代码
+uv run pytest tests/test_tick.py tests/test_upload.py -v  # 改了多个模块
+
+# 前端：只跑对应目录
+pnpm vitest run tests/stores/               # 改了 store
+pnpm vitest run tests/utils/format.test.ts   # 改了单个工具函数
+```
+
+判断"受影响的测试"的规则：
+- 改了 `services/xxx.py` → 跑 `tests/test_xxx.py`
+- 改了 `routers/xxx.py` → 跑 `tests/test_xxx.py`
+- 改了 `schemas/` 或 `models/` → 跑引用了它们的测试
+- 改了 `conftest.py` 或公共依赖 → 全量回归
+- 不确定影响范围 → 全量回归
+
+### 提交前：跑受影响的测试即可
+
+提交前确保受影响的测试通过即可，不要求全量回归。全量测试留给 CI 或手动触发。
+
+## TEST_CASES.md
+
+每个包/项目维护一份 `TEST_CASES.md`，记录所有测试用例的清单：
+
+- 人类可读，方便审查和手动编辑
+- 新增/修改/删除功能时必须同步更新
+- 内容与实际测试文件保持一致
+- 作为版本回测基准
+
+## 禁止事项
+
+- **禁止**不写测试就提交功能代码
+- **禁止**写完代码再补测试（先测试后代码）
+- **禁止**测试不通过就提交
+- **禁止** TEST_CASES.md 与实际测试不同步