create-dwy 0.8.0 → 0.9.1

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "create-dwy",
-  "version": "0.8.0",
+  "version": "0.9.1",
   "description": "项目脚手架与 Claude Code 配置同步工具",
   "type": "module",
   "bin": {

package/src/create.js

@@ -26,9 +26,10 @@ export async function createProject(name) {
       name: 'template',
       message: '选择项目模板:',
       choices: [
-        { name: 'web      — Vue 3 前端 (pnpm monorepo, eui + ekit + Tailwind)', value: 'web' },
-        { name: 'backend  — FastAPI 后端 (eapi + PostgreSQL + Redis + Docker)', value: 'backend' },
-        { name: 'mobile   — 移动端 (暂未实现)', value: 'mobile', disabled: '即将推出' },
+        { name: 'fullstack-monorepo — Vue 3 + FastAPI 全栈 monorepo (域分包 + Provider 模式)', value: 'fullstack-monorepo' },
+        { name: 'web                — Vue 3 前端 (pnpm monorepo, eui + ekit + Tailwind)', value: 'web' },
+        { name: 'backend            — FastAPI 后端 (eapi + PostgreSQL + Redis + Docker)', value: 'backend' },
+        { name: 'mobile             — 移动端 (暂未实现)', value: 'mobile', disabled: '即将推出' },
       ],
     },
   ])
@@ -76,6 +77,39 @@ export async function createProject(name) {
     ])
   }
 
+  if (common.template === 'fullstack-monorepo') {
+    extra = await inquirer.prompt([
+      {
+        type: 'input',
+        name: 'scopePrefix',
+        message: '业务包前缀 (生成 packages/<prefix>-<domain>/):',
+        default: 'app',
+        validate: (v) => /^[a-z][a-z0-9]*$/.test(v) || '只允许小写字母开头，字母数字',
+      },
+      {
+        type: 'input',
+        name: 'initialDomain',
+        message: '初始业务域 (示例域名):',
+        default: 'core',
+        validate: (v) => /^[a-z][a-z0-9]*$/.test(v) || '只允许小写字母开头，字母数字',
+      },
+      {
+        type: 'confirm',
+        name: 'includeFrontend',
+        message: '是否生成 frontend?',
+        default: true,
+      },
+      {
+        type: 'input',
+        name: 'portPrefix',
+        message: '端口前缀数字 (1-9，避免与其他项目冲突，如 2 → 28001/25173/25432/26379):',
+        default: '2',
+        validate: (v) => /^[1-9]$/.test(v) || '只允许 1-9 的单个数字',
+      },
+    ])
+    extra.apiProxy = `http://127.0.0.1:${extra.portPrefix}8001`
+  }
+
   const answers = { ...common, ...extra }
 
   const context = {
@@ -99,6 +133,10 @@ export async function createProject(name) {
   await fs.ensureDir(destDir)
   await renderTemplate(templateDir, destDir, context)
 
+  if (context.template === 'fullstack-monorepo' && context.includeFrontend === false) {
+    await fs.remove(path.join(destDir, 'frontend'))
+  }
+
   console.log(chalk.green(`\n✅ 项目 ${context.projectName} 创建成功!\n`))
   console.log(chalk.gray('Next steps:'))
   console.log(chalk.gray(`  cd ${context.projectName}`))
@@ -114,4 +152,13 @@ export async function createProject(name) {
     console.log(chalk.gray('  pnpm install'))
     console.log(chalk.gray('  pnpm dev'))
   }
+
+  if (context.template === 'fullstack-monorepo') {
+    console.log(chalk.gray('  cp .env.example .env'))
+    console.log(chalk.gray('  cd backend && uv sync --dev && cd ..'))
+    if (context.includeFrontend) {
+      console.log(chalk.gray('  cd frontend && pnpm install && cd ..'))
+    }
+    console.log(chalk.gray('  ./dev.sh'))
+  }
 }

package/src/utils.js

@@ -34,6 +34,14 @@ export async function renderTemplate(templateDir, destDir, context) {
     const srcPath = path.join(templateDir, entry.name)
     let destName = entry.name
 
+    if (destName.includes('{{')) {
+      destName = Handlebars.compile(destName)(context)
+    }
+
+    if (destName.startsWith('_')) {
+      destName = '.' + destName.slice(1)
+    }
+
     if (entry.isDirectory()) {
       const destPath = path.join(destDir, destName)
       await fs.ensureDir(destPath)

package/templates/claude-global/CLAUDE.md

@@ -10,13 +10,13 @@
 
 任务执行优先使用 agent team 模式执行。
 
-## 减少常见 LLM 编码错误的行为指南 (Behavioral Guidelines)
+## 减少常见 LLM 编码错误的行为指南
 
 与项目特定指令合并使用。
 
 权衡：这些指南偏向谨慎而非速度。对于琐碎任务，自行判断。
 
-### 1. 先思考再编码（Think Before Coding）
+### 1. 先思考再编码
 
 不要假设。不要隐藏困惑。把权衡摊开。
 
@@ -26,7 +26,7 @@
 - 如果有更简单的方案，说出来。在必要时提出异议。
 - 如果有什么不清晰，停下来。说出困惑是什么。然后提问。
 
-### 2. 简单优先（Simplicity First）
+### 2. 简单优先
 
 解决问题的最小代码。没有推测性代码。
 
@@ -37,7 +37,7 @@
 - 如果你写了 200 行但可以写成 50 行，重写它。
 - 问自己："一个资深工程师会说这过于复杂吗？"如果是，简化。
 
-### 3. 精准改动（Surgical Changes）
+### 3. 精准改动
 
 只动必须动的代码。只清理自己造成的混乱。
 
@@ -53,7 +53,7 @@
 
 检验标准：每一行改动的代码都应能直接追溯到用户的需求。
 
-### 4. 目标驱动执行（Goal-Driven Execution）
+### 4. 目标驱动执行
 
 定义成功标准。循环直到验证通过。
 
@@ -90,4 +90,79 @@
 - 安全警告和风险提示
 - 不可逆操作确认（删除、强制推送等）
 - 需要用户决策的复杂多步骤流程
-- 用户明确要求详细解释时
+- 用户明确要求详细解释时
+
+## 优先使用成熟开源方案
+
+开发新功能时，优先选用成熟开源项目/库，而不是手写实现。只有确认没有合适开源方案时才自行实现。
+
+### 决策流程
+
+```
+需要某项功能
+  → 搜索成熟开源库（npm/PyPI/GitHub stars > 1k、近期有维护）
+    → 有 → 评估是否适配当前技术栈
+      → 适配 → 直接使用，不重复造轮子
+      → 不适配 → 寻找替代方案
+    → 没有合适的 → 自行实现，代码注释说明为什么没用现成方案
+```
+
+### 强制规则
+
+- **禁止**手写已有主流开源方案的功能，一律使用社区主流库
+- 选用开源库优先级：项目已在用的依赖 > 社区主流方案 > 小众但适合的方案
+
+## 代码简约原则
+
+只写**必要的逻辑**，不写"以防万一"的冗余代码。信任内部代码和框架保证，只在系统**外边界**（用户输入、外部 API、文件 / 网络读入）做校验。
+
+### 禁止的冗余模式
+
+- **多余 fallback**：值已有明确来源时，不再 `value or default` / `value ?? default`
+- **多余类型转换**：上游已是目标类型时，不再 `int(x)` / `Number(x)` / `String(x)`
+- **多余 else**：上面已 return，下面不再写 else 分支（用 early return）
+- **多余默认值**：调用方都传值时，不写形参默认值 + 空值检查
+- **多余异常兜底**：`try { ... } catch { /* swallow */ }` 掩盖 bug；只捕获**预期**的具体异常，其余让它自然抛出
+- **多余空集合检查**：能直接 `for ... in collection` 时，不要 `if len(x) > 0` 再循环
+
+### 判断标准
+
+写每一行防御代码前问自己：**这个情况在当前上下文真的会发生吗？**
+
+- 会 → 写防御，注释说明触发条件
+- 不会 → 不写，信任上游
+- 不确定 → 查调用链确认，不要"以防万一"
+
+| 位置 | 是否校验 |
+|---|---|
+| 用户输入、外部 API 响应、文件 / 网络读入 | 必须校验 |
+| 内部模块调用（已有类型签名） | 信任，不重复校验 |
+
+## 用户输入长度限制
+
+所有用户输入必须限长 / 限大小，**前端 + 后端双层**：
+
+- 前端：即时反馈，避免无效输入浪费带宽
+- 后端：防绕过、防 DoS、防内存耗尽（前端可被绕过，后端必须再校验一次）
+
+具体数字按业务语义推断（用户名几十字符、描述几百、正文几千、图片几 MB），无须硬编码统一表。
+
+### 前端
+
+凡接收用户输入的控件（`input` / `textarea` / 富文本 / 文件选择 / 批量项）→ 都必须有长度 / 大小上限，并配 schema 层校验兜底（防粘贴绕过原生 maxlength）。
+
+### 后端
+
+凡接收用户数据的字段 / Query / Path / Header → 必须显式声明长度上限。
+
+- 分页 `page_size` 必须有上限
+- 禁止用「松散字典 / map / any 类型」直接接收 body，必须有 schema
+- 图片上传额外校验像素尺寸，防 decompression bomb
+
+### 禁止
+
+- 任一层无限制上线
+- 仅前端限而后端不校验
+- 后端用 dict / map / any 接收 body
+- 分页 `page_size` 无上限
+- 图片只校验文件大小不校验像素

package/templates/claude-global/rules/dwy-postgres.md

@@ -0,0 +1,89 @@
+---
+description: PostgreSQL 安全与配置规范（参数化查询、应用用户最小权限、连接池上限、SSL、敏感字段加密）
+---
+
+# PostgreSQL 安全与配置规范
+
+适用于使用 PostgreSQL 作为主数据库的 Python 后端项目。
+
+---
+
+## 一、强制规则
+
+| 规则 | 说明 |
+|------|------|
+| 参数化查询 | **禁止**字符串拼接 SQL（用 ORM 或 `text(... :param)` 参数绑定） |
+| 应用用户权限 | 只授予 SELECT / INSERT / UPDATE / DELETE，**不给** DROP / CREATE / ALTER / SUPERUSER |
+| 连接池 | `pool_size ≤ 20`，`max_overflow ≤ 10` |
+| SSL 连接 | 生产环境启用 `sslmode=require` |
+| 敏感字段加密 | 身份证号 / 银行卡 / 手机号原文等使用 AES 加密**存储**，不仅展示脱敏 |
+| 迁移 | 通过 Alembic 管理 schema，**禁止**手动执行 DDL（详见 `dwy-db-migration` rule） |
+
+---
+
+## 二、应用专用数据库用户（最小权限）
+
+生产环境**禁止**使用 `postgres` 超级用户跑应用；为每个应用创建独立用户，授权严格限定到 DML。
+
+```sql
+-- 创建应用专用用户（非超级用户）
+CREATE USER app_user WITH PASSWORD 'strong_password';
+
+-- 库与 schema 访问
+GRANT CONNECT ON DATABASE mydb TO app_user;
+GRANT USAGE ON SCHEMA public TO app_user;
+
+-- 现有对象权限
+GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO app_user;
+GRANT USAGE, SELECT ON ALL SEQUENCES IN SCHEMA public TO app_user;
+
+-- 默认权限（迁移新增表自动生效）
+ALTER DEFAULT PRIVILEGES IN SCHEMA public
+  GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO app_user;
+ALTER DEFAULT PRIVILEGES IN SCHEMA public
+  GRANT USAGE, SELECT ON SEQUENCES TO app_user;
+```
+
+### 禁止授予应用用户的权限
+
+- `GRANT ALL PRIVILEGES`
+- `SUPERUSER`
+- `CREATEDB` / `CREATEROLE`
+- 任何能修改 schema 的权限（DROP / CREATE / ALTER）
+
+> 迁移操作使用单独的 migrator 账号（具备 DDL 权限），与应用账号严格区分。
+
+---
+
+## 三、连接串与 SSL
+
+- 连接串必须从环境变量读取，**禁止**硬编码
+- 生产环境必须 `sslmode=require`（或更严的 `verify-full`）
+- 连接池参数走 dwyeapi 引擎工厂（具体 API 查 `dwy-eapi` skill），**禁止**手动 `create_async_engine` 跳过框架约束
+
+---
+
+## 四、敏感字段加密
+
+仅展示脱敏（详见 `dwy-python-backend` 7.4 响应安全）**不足以**保护落库数据。以下字段在写入前必须用 AES 加密：
+
+- 身份证号
+- 银行卡号
+- 手机号（视业务敏感等级）
+- 真实姓名 + 地址组合（PII）
+
+加密密钥从环境变量或 KMS 读取，**禁止**与库一起备份。
+
+---
+
+## 五、违规检测清单
+
+| 检查项 | 违规模式 | 严重程度 |
+|--------|---------|---------|
+| SQL 拼接 | f-string / `%` / 字符串相加构造 SQL | **致命 → STOP** |
+| 应用用户超权 | 应用账号拥有 DROP / CREATE / ALTER / SUPERUSER | **致命 → STOP** |
+| 超级用户跑应用 | 应用以 `postgres` 或其他超级用户身份连接 | **致命 → STOP** |
+| 连接池超限 | `pool_size > 20` 或 `max_overflow > 10` | 高 |
+| 无 SSL | 生产环境连接串无 `sslmode=require` | 高 |
+| 敏感字段明文 | 身份证 / 银行卡等明文落库 | 高 |
+| 硬编码连接串 | 连接串写死在代码中 | **致命 → STOP** |