create-vasvibe 1.2.0 → 2.1.0

package/template/.opencode/commands/security-audit.md

@@ -0,0 +1,19 @@
+---
+description: Audit keamanan ad-hoc di luar siklus release.
+---
+
+Jalankan security audit untuk scope: **$ARGUMENTS**
+
+1. **Security (Mode A)** → Threat Modeling
+2. **Security (Mode B)** → Vulnerability Scan
+3. **CHECKPOINT:** Human review findings (approve fix plan / accepted risk)
+4. **Security (Mode C)** → fix CRITICAL & HIGH
+5. **Tester** → regression test
+6. **CHECKPOINT:** Human sign-off.
+
+**Aturan orkestrasi (WAJIB):**
+- Kamu adalah **Orchestrator** di thread utama. Delegasikan tiap langkah ke subagent yang disebut menggunakan Task tool (Claude Code) / agent invocation (OpenCode).
+- **BERHENTI di setiap GATE / CHECKPOINT** dan minta persetujuan human secara eksplisit sebelum lanjut.
+- Definisi kanonik pipeline: baca `agent/workflows/orchestrator.md`. Model fase & kepemilikan dokumen: `agent/workflows/_shared/phases.md`.
+- Hormati `WORK_DEPTH` dari `project_overview.md` (override dengan `depth=` di argumen jika ada).
+- Jika muncul perubahan di tengah pipeline, ikuti `agent/workflows/_shared/change-management.md` (No Silent Changes).

package/template/.opencode/commands/start-fix.md

@@ -0,0 +1,17 @@
+---
+description: Perbaikan bug terarah: fix → review → regression.
+---
+
+Tangani bug: **$ARGUMENTS**
+
+1. **Fixer** → analyze root cause & fix
+2. **QA** → quick review pada kode yang diubah
+3. **Tester** → regression test
+4. **CHECKPOINT:** Human validation.
+
+**Aturan orkestrasi (WAJIB):**
+- Kamu adalah **Orchestrator** di thread utama. Delegasikan tiap langkah ke subagent yang disebut menggunakan Task tool (Claude Code) / agent invocation (OpenCode).
+- **BERHENTI di setiap GATE / CHECKPOINT** dan minta persetujuan human secara eksplisit sebelum lanjut.
+- Definisi kanonik pipeline: baca `agent/workflows/orchestrator.md`. Model fase & kepemilikan dokumen: `agent/workflows/_shared/phases.md`.
+- Hormati `WORK_DEPTH` dari `project_overview.md` (override dengan `depth=` di argumen jika ada).
+- Jika muncul perubahan di tengah pipeline, ikuti `agent/workflows/_shared/change-management.md` (No Silent Changes).

package/template/.opencode/commands/test-feature.md

@@ -0,0 +1,17 @@
+---
+description: Jalankan Fase 3 (Testing) — E2E test fungsional terhadap spesifikasi.
+---
+
+Jalankan **Fase 3 — Testing** untuk fitur: **$ARGUMENTS**
+
+Langkah:
+1. **Tester** → buat & jalankan E2E test berdasarkan spec
+2. Jika FAIL → **Fixer** → loop balik ke langkah 1
+3. **GATE — Fungsional hijau:** semua test pass.
+
+**Aturan orkestrasi (WAJIB):**
+- Kamu adalah **Orchestrator** di thread utama. Delegasikan tiap langkah ke subagent yang disebut menggunakan Task tool (Claude Code) / agent invocation (OpenCode).
+- **BERHENTI di setiap GATE / CHECKPOINT** dan minta persetujuan human secara eksplisit sebelum lanjut.
+- Definisi kanonik pipeline: baca `agent/workflows/orchestrator.md`. Model fase & kepemilikan dokumen: `agent/workflows/_shared/phases.md`.
+- Hormati `WORK_DEPTH` dari `project_overview.md` (override dengan `depth=` di argumen jika ada).
+- Jika muncul perubahan di tengah pipeline, ikuti `agent/workflows/_shared/change-management.md` (No Silent Changes).

package/template/AGENT_PERSONAS.md

@@ -1,8 +1,38 @@
 ## 🤖 AI Agent Personas & Capabilities
 
-Setiap Agent memiliki **system instruction** yang tersimpan di `.github/prompts/` dan dapat dipanggil via slash command.
+Setiap Agent memiliki **system instruction** dan dapat dipanggil via slash command.
 
-**Total: 8 Specialized Agents**
+**Total: 18 Specialized Agents**
+
+---
+
+## 🔄 Workflow 4 Fase (v2.0)
+
+Pengerjaan proyek dibagi ke **4 fase** dengan gerbang human di tiap transisi. Detail: `agent/workflows/_shared/phases.md`.
+
+| Fase | Agen | Output (acuan) | Gate |
+|------|------|----------------|------|
+| **1 · Perencanaan** | **Discovery** (wawancara human), Initiator, SysArch, Data Architect, UX Designer, Security (Mode S), Analyst | requirements, overview, architecture, data-model, design-system, security-standards, **API Contract** | requirements sign-off → Blueprint disetujui |
+| **2 · Pengerjaan** | Analyst (spec-lock), Backend Engineer ∥ Frontend Engineer (atau Developer @ `fast`), QA | kode + unit test + review | Code review lulus |
+| **3 · Testing** | Tester, Fixer | E2E hijau | Fungsional hijau |
+| **4 · Hardening** (per-release) | Security (A/B/C/D), Reliability, Fixer | security & reliability report | Siap produksi |
+
+**Lintas fase:** PM (koordinasi), Orchestrator (gerbang fase), DevOps (CI/CD), Document (dokumentasi).
+
+**Komunikasi rigid — "No Silent Changes":** setiap perubahan dari user WAJIB ditulis ke dokumen acuan + dicatat (ADR jika perlu) + agen hilir di-notify. Detail: `agent/workflows/_shared/change-management.md`.
+
+**Pemisahan spesialis:** Backend Engineer (API/logic/DB) dan Frontend Engineer (UI/UX/integrasi) bekerja paralel, disatukan oleh **API Contract**. Pada `depth=fast` keduanya digabung jadi satu Developer fullstack.
+
+### 0. **Discovery Agent** (`/discovery`) — Fase Perencanaan (paling hulu)
+**Role:** Product Discovery Lead & Business Analyst
+
+- ✅ **Mewawancarai human** secara interaktif (tanya-jawab bertahap) untuk menggali kebutuhan
+- ✅ Menggali: masalah & metrik sukses, persona, scope (must/nice/out), non-functional, constraint, data & integrasi, risiko & asumsi
+- ✅ Reflect-back untuk validasi; berhenti saat cukup; sign-off human
+- **Output:** `state/knowledge_base/requirements/requirements.md` · **Acuan untuk:** Initiator
+- ⚠️ Berjalan di **thread utama** (interaktif), bukan subagent. Tidak membuat `project_overview.md`.
+
+---
 
 ### 1. **Initiator Agent** (`/initiator`)
 **Role:** Project Initiator & Product Manager
@@ -347,7 +377,97 @@ for production deployment. Target: 100 concurrent users,
 
 ---
 
-### 8. **Document Agent** (`/document`)
+### 8. **Security Expert Agent** (`/security`)
+**Role:** Application Security Expert
+
+**Capabilities:**
+- ✅ Threat modeling menggunakan metodologi STRIDE
+- ✅ OWASP Top 10 vulnerability scanning
+- ✅ Secrets dan hardcoded credential detection
+- ✅ Dependency vulnerability scan (`npm audit`, dll)
+- ✅ Implementasi security fix (input validation, parameterized queries, header hardening)
+- ✅ Pre-release security audit
+
+**4 Mode Kerja:**
+- **Mode A — Threat Model:** Identifikasi attack surface dan threat berdasarkan arsitektur
+- **Mode B — Vulnerability Scan:** OWASP Top 10 check + dependency scan + secrets check
+- **Mode C — Security Fix:** Implementasi patch untuk temuan CRITICAL dan HIGH
+- **Mode D — Pre-release Audit:** Quick scan perubahan sejak release terakhir
+
+**When to Use:**
+- Pipeline `/security-audit` untuk full audit manual
+- Otomatis di `/start-feature` saat `depth=deep`
+- Otomatis di `/release` (Mode D, selalu)
+
+**Input Example:**
+```
+/security
+
+"Mode B: Lakukan vulnerability scan pada fitur authentication dan payment"
+```
+
+**Output:**
+- `task/[TASK-ID]/security_threat_model.md` (Mode A)
+- `task/[TASK-ID]/security_report.md` (Mode B/C/D)
+
+**👤 Human Task:**
+- Review temuan dan tentukan mana yang perlu di-fix vs accepted risk
+- Approve sebelum Security Fix diimplementasi (untuk CRITICAL)
+- Final sign-off setelah semua fix diverifikasi
+
+---
+
+### 9. **Data Architect Agent** (`/data-architect`) — Fase Perencanaan
+**Role:** Data Architect
+
+- ✅ Merancang data model, ERD, skema per-entity, indexing
+- ✅ Data governance: PII, retention, encryption at rest, audit
+- ✅ Migration strategy sesuai tooling stack
+- **Output:** `state/knowledge_base/data-model/` · **Acuan untuk:** Backend Engineer
+
+---
+
+### 10. **UX Designer Agent** (`/ux-designer`) — Fase Perencanaan
+**Role:** UX/UI Designer
+
+- ✅ Design system: color palette, tipografi, spacing, spec komponen, motion
+- ✅ Memakai skill `ui-ux-pro-max`
+- ✅ Accessibility & responsive guidelines
+- **Output:** `state/knowledge_base/design-system/` · **Acuan untuk:** Frontend Engineer
+
+---
+
+### 11. **Backend Engineer Agent** (`/backend`) — Fase Pengerjaan
+**Role:** Senior Backend Engineer (`depth=standard|deep`)
+
+- ✅ Implementasi API, business logic, akses DB **sesuai API Contract**
+- ✅ Honor `data-model/` dan `security-standards.md`
+- ✅ Unit test + propagasi perubahan contract ke Frontend
+- **Output:** `codes/*` (server) · **Paralel dengan:** Frontend Engineer
+
+---
+
+### 12. **Frontend Engineer Agent** (`/frontend`) — Fase Pengerjaan
+**Role:** Senior Frontend Engineer & UI Specialist (`depth=standard|deep`)
+
+- ✅ Implementasi UI **sesuai design-system** + integrasi **API Contract**
+- ✅ Memakai skill `ui-ux-pro-max`; handle semua state (loading/empty/error)
+- ✅ Component test + a11y
+- **Output:** `codes/*` (client) · **Paralel dengan:** Backend Engineer
+
+---
+
+### 13. **Reliability Engineer Agent** (`/reliability`) — Fase Hardening
+**Role:** Reliability & Performance Engineer (per-release)
+
+- ✅ Performance review (N+1, indexing, caching, payload)
+- ✅ Resilience: error handling, timeout/retry, graceful degradation
+- ✅ Load test + observability audit
+- **Output:** `task/[RELEASE]/reliability_report.md`
+
+---
+
+### 14. **Document Agent** (`/document`)
 **Role:** Technical Writer
 
 **Capabilities:**
@@ -377,13 +497,25 @@ for production deployment. Target: 100 concurrent users,
 
 | Agent | Command | Primary Function | Output | Human Review |
 | --- | --- | --- | --- | --- |
-| **Initiator** | `/initiator` | Project kickoff & overview | `project_overview.md` | ⚠️ **CRITICAL** |
-| **PM** | `/pm` | Task management & coordination | `task/task_list.md`, `task/PROJECT_STATUS_REPORT.md` | ✅ **MEDIUM** |
-| **Analyst** | `/analyst` | Technical specifications | `specifications/*.md` | ⚠️ **HIGH** |
-| **Developer** | `/developer` | Code implementation | `codes/*`, `logs/development/` | ⚠️ **HIGH** |
-| **Tester** | `/tester` | Test automation & QA | `tests/*`, `logs/testing/` | ✅ **MEDIUM** |
-| **Fixer** | `/fixer` | Bug fixing & debugging | `codes/*`, `logs/fixing/` | ⚠️ **HIGH** |
-| **SysArch** | `/sysarch` | Infrastructure & deployment planning | `architecture/*` | ⚠️ **CRITICAL** |
-| **Document** | `/document` | Final documentation | `documentation/*.md` | ✅ **LOW** |
+| Agen | Command | Fase | Primary Function | Output |
+| --- | --- | --- | --- | --- |
+| **Discovery** | `/discovery` | Perencanaan | Requirement gathering (wawancara human) | `state/knowledge_base/requirements/` |
+| **Initiator** | `/initiator` | Perencanaan | Project overview (sintesis requirements) | `project_overview.md` |
+| **SysArch** | `/sysarch` | Perencanaan | Infrastructure & deployment planning | `state/knowledge_base/architecture/` |
+| **Data Architect** | `/data-architect` | Perencanaan | Data model & governance | `state/knowledge_base/data-model/` |
+| **UX Designer** | `/ux-designer` | Perencanaan | Design system & UI guidelines | `state/knowledge_base/design-system/` |
+| **Security** | `/security` | Perencanaan + Hardening | Standards, threat model, OWASP, fix | `state/knowledge_base/security/`, `task/[ID]/security_report.md` |
+| **Analyst** | `/analyst` | Perencanaan | User story, **API Contract**, spec-lock | `specifications/*.md` |
+| **PM** | `/pm` | Lintas fase | Task management & coordination | `task/task_list.md` |
+| **Backend Engineer** | `/backend` | Pengerjaan | Server API, logic, DB (std/deep) | `codes/*` |
+| **Frontend Engineer** | `/frontend` | Pengerjaan | UI/UX & API integration (std/deep) | `codes/*` |
+| **Developer** | `/developer` | Pengerjaan | Fullstack tunggal (`depth=fast`) | `codes/*` |
+| **QA** | `/qa` | Pengerjaan | Static review & unit test | `task/[ID]/qa_report.md` |
+| **Tester** | `/tester` | Testing | E2E test automation | `tests/*` |
+| **Fixer** | `/fixer` | Testing + Hardening | Bug fixing & debugging | `codes/*` |
+| **Reliability** | `/reliability` | Hardening | Performance, resilience, load | `task/[RELEASE]/reliability_report.md` |
+| **DevOps** | `/devops` | Lintas fase | Docker, CI/CD, deployment | `Dockerfile`, `.github/workflows/` |
+| **Document** | `/document` | Lintas fase | Final documentation | `documentation/*.md` |
+| **Orchestrator** | `/plan-project`, `/build-feature`, dll | Lintas fase | Pipeline & phase gates | `state/pipeline_log.md` |
 
 ---

package/template/QUICK-START.md

@@ -0,0 +1,121 @@
+# 🚀 Quick Start — VasVibe Workflow
+
+Panduan singkat memulai proyek dengan workflow agen VasVibe setelah scaffold selesai.
+
+> **Sudah install?** Kamu menjalankan `npx create-vasvibe my-app`. Folder `my-app/` sudah berisi semua agen & command. Buka folder itu di **Claude Code** atau **OpenCode**, lalu ikuti langkah di bawah.
+
+---
+
+## 1. Mental Model (1 menit)
+
+Proyek dikerjakan dalam **4 fase**, masing-masing diakhiri **gerbang (gate)** — kamu (human) menyetujui sebelum lanjut:
+
+```
+🟦 Perencanaan → 🟩 Pengerjaan → 🟨 Testing → 🟧 Hardening
+   (blueprint)     (coding)        (E2E)        (security+reliability)
+       ↑ gate          ↑ gate         ↑ gate         ↑ gate
+```
+
+3 hal yang perlu kamu tahu:
+- **Work Depth** — atur kedalaman kerja: `fast` (prototype), `standard` (default), `deep` (kritikal). Diset di `project_overview.md`.
+- **Gate** — agen BERHENTI minta approval di tiap akhir fase. Tidak ada yang jalan diam-diam.
+- **No Silent Changes** — setiap perubahan yang kamu minta otomatis ditulis ke dokumen acuan + agen terkait di-notify.
+
+---
+
+## 2. Alur Pertama Kali (langkah demi langkah)
+
+### Langkah 0 — Tentukan Work Depth
+Buka `project_overview.md`, bagian `## 7. Project Settings`:
+```
+WORK_DEPTH: standard   # fast | standard | deep
+```
+Mau cepat dulu? Pakai `fast`. Mau matang? `deep`. Bisa diubah kapan saja, atau di-override per pipeline dengan `depth=`.
+
+### Langkah 1 — 🟦 Perencanaan
+```
+/plan-project "aplikasi booking kapal wisata Labuan Bajo, Next.js, ada payment"
+```
+**Dimulai dengan Discovery** — agen akan **mewawancaraimu** dulu (tanya-jawab tentang tujuan, pengguna, scope, constraint) supaya rencananya matang. Jawab pertanyaannya; hasilnya `requirements.md`.
+Setelah kamu sign-off, barulah Initiator menyusun `project_overview.md`, lalu arsitektur, data model, design system, security standards, dan **spesifikasi + API Contract**.
+👉 **Review & setujui di tiap gate.** API Contract harus final sebelum lanjut.
+
+### Langkah 2 — 🟩 Pengerjaan
+```
+/build-feature "Login dengan email & password"
+```
+- `depth=standard|deep` → **Backend** & **Frontend** engineer kerja paralel
+- `depth=fast` → satu **Fullstack**
+Lalu **QA** review kode.
+👉 **Review kode di gate.**
+
+### Langkah 3 — 🟨 Testing
+```
+/test-feature "Login dengan email & password"
+```
+**Tester** jalankan E2E; kalau gagal **Fixer** perbaiki sampai hijau.
+👉 **Approve saat semua test hijau.**
+
+> 💡 Gabung langkah 2+3 sekaligus: `/deliver-feature "Login..."`
+
+### Langkah 4 — 🟧 Hardening + Rilis (per-release)
+Setelah beberapa fitur selesai:
+```
+/release "2.0.0"
+```
+Menjalankan hardening (security audit + reliability/load test), update CHANGELOG, dan bikin git tag.
+👉 **Sign-off siap produksi.**
+
+---
+
+## 3. Daftar Command
+
+| Command | Fase | Fungsi |
+|---------|------|--------|
+| `/plan-project "[ide]"` | 🟦 Perencanaan | Buat semua blueprint/acuan |
+| `/build-feature "[fitur]" [depth=]` | 🟩 Pengerjaan | Implementasi satu fitur |
+| `/test-feature "[fitur]"` | 🟨 Testing | E2E test fungsional |
+| `/harden-release "[versi]"` | 🟧 Hardening | Security + reliability audit |
+| `/deliver-feature "[fitur]"` | 🟩→🟨 | Build + test sekaligus |
+| `/release "[versi]"` | — | Hardening → changelog → tag |
+| `/start-fix "[bug]"` | — | Perbaikan bug terarah |
+| `/security-audit "[scope]"` | — | Audit keamanan ad-hoc |
+| `/daily-standup` | — | Ringkasan progres per fase |
+
+> Bisa juga panggil agen langsung tanpa command, mis. *"pakai agent ux-designer untuk rancang design system"*.
+
+---
+
+## 4. Work Depth — Kapan Pakai Apa
+
+| Level | Untuk | Yang dikerjakan |
+|-------|-------|-----------------|
+| **fast** | Prototype, MVP, eksplorasi | Inti fitur saja, 1 Fullstack, skip test/hardening opsional |
+| **standard** | Produksi normal *(default)* | Backend+Frontend terpisah, full spec, unit test, review |
+| **deep** | Fintech, auth, data sensitif | + security standards, full coverage, hardening penuh |
+
+---
+
+## 5. Di Mana Semuanya?
+
+```
+project_overview.md          → setting proyek + WORK_DEPTH
+specifications/              → user story + API Contract (Analyst)
+state/knowledge_base/        → acuan: architecture, data-model, design-system, security, decisions (ADR)
+codes/                      → source code (Backend/Frontend/Fullstack)
+tests/                      → E2E test (Tester)
+task/                       → task list + log per task
+agent/workflows/            → definisi agen (source of truth)
+agent/workflows/_shared/    → phases.md, work-depth.md, change-management.md
+```
+
+---
+
+## 6. Tips
+
+- **Selalu mulai dari `/plan-project`.** Coding tanpa blueprint = utang.
+- **Hormati gate.** Approval-mu di tiap fase yang menjaga kualitas.
+- **Minta perubahan kapan saja** — agen wajib mencatatnya ke acuan (No Silent Changes), jadi spec & dokumen tidak akan basi.
+- **Mulai `fast`, naik ke `standard`/`deep`** saat fitur makin serius.
+
+Selamat membangun. 🛠️

package/template/agent/workflows/_shared/change-management.md

@@ -0,0 +1,70 @@
+# Change Management — "No Silent Changes" (Shared)
+
+Aturan komunikasi rigid yang WAJIB diikuti **setiap agen**. Tujuannya: tidak ada perubahan yang hilang jejak. Setiap perubahan yang diminta user — sekecil apapun — harus terdokumentasi di acuan yang benar dan agen hilir harus tahu.
+
+---
+
+## Prinsip Inti
+
+> **Jika kamu menerima perubahan, kamu tidak boleh hanya mengerjakannya — kamu wajib menuliskannya.**
+
+Kode yang berubah tanpa acuannya ikut berubah = **utang yang dilarang**.
+
+---
+
+## Protokol Wajib (4 Langkah)
+
+Saat user (atau agen lain) meminta perubahan, SEBELUM menganggap selesai:
+
+1. **IDENTIFY** — Tentukan dokumen acuan mana yang terdampak:
+   - Perubahan kebutuhan/scope → `specifications/[file].md`
+   - Perubahan data model → `state/knowledge_base/data-model/`
+   - Perubahan arsitektur → `state/knowledge_base/architecture/`
+   - Perubahan UI/desain → `state/knowledge_base/design-system/`
+   - Perubahan security → `state/knowledge_base/security/`
+   - Perubahan **API Contract** → spec terkait **DAN** notify Backend + Frontend Engineer
+
+2. **UPDATE** — Edit dokumen acuan tersebut + tambahkan baris di **Revision History**-nya:
+   ```
+   | [YYYY-MM-DD HH:MM] | [agen] | [ringkasan perubahan] | requested by user |
+   ```
+
+3. **RECORD ADR** — Jika perubahan berdampak pada keputusan desain/arsitektur, buat **Architecture Decision Record**:
+   - Path: `state/knowledge_base/decisions/ADR-[NNN]-[judul-singkat].md`
+   - Gunakan template `schemas/adr.template.md`
+
+4. **NOTIFY** — Tulis `state/agent_handoff.json` agar agen hilir tahu ada perubahan acuan:
+   ```json
+   {
+     "from_agent": "[agen]",
+     "to_agent": "[agen terdampak / 'all']",
+     "task_id": "[TASK-ID]",
+     "timestamp": "[YYYY-MM-DD HH:MM]",
+     "status": "spec_changed",
+     "notes": "API Contract POST /bookings berubah: tambah field 'voucher_code'",
+     "artifacts": ["specifications/004_booking.md", "state/knowledge_base/decisions/ADR-007-voucher.md"]
+   }
+   ```
+
+---
+
+## Kapan Wajib ADR?
+
+Buat ADR untuk keputusan yang **sulit/mahal diubah** nanti:
+- Ganti library/framework inti
+- Perubahan skema database
+- Perubahan kontrak API yang breaking
+- Perubahan strategi auth/security
+- Trade-off arsitektur signifikan
+
+Perubahan kecil (copy text, warna minor) cukup Revision History di doc terkait — tidak perlu ADR.
+
+---
+
+## Anti-Pattern (DILARANG)
+
+- ❌ "User minta ubah validasi, langsung ubah kode saja." → Spec tidak ter-update, Tester tes hal yang salah.
+- ❌ "Aku ubah response API, nanti Frontend nyusul." → FE tidak di-notify, integrasi pecah.
+- ❌ "Perubahan kecil, tidak perlu dicatat." → Akumulasi drift, knowledge base jadi bohong.
+
+> 📎 Lihat fase & kepemilikan dokumen di `agent/workflows/_shared/phases.md`.

package/template/agent/workflows/_shared/phases.md

@@ -0,0 +1,86 @@
+# Phases (Shared)
+
+Project VasVibe dikerjakan dalam **4 fase** dengan gerbang (gate) human di tiap transisi. Setiap agen WAJIB tahu fase mana yang sedang berjalan dan tidak boleh melompati gerbang tanpa approval.
+
+---
+
+## Fase 1 — Perencanaan (Planning)
+
+**Tujuan:** Menghasilkan **blueprint** (dokumen acuan) yang dipakai semua fase berikutnya.
+
+| Agen | Output (acuan) |
+|------|----------------|
+| **Discovery** (paling hulu, INTERAKTIF) | `state/knowledge_base/requirements/requirements.md` |
+| Initiator | `project_overview.md` (sintesis dari requirements) |
+| SysArch | `state/knowledge_base/architecture/` |
+| Data Architect | `state/knowledge_base/data-model/` |
+| UX Designer | `state/knowledge_base/design-system/` |
+| Security (Mode Standards) | `state/knowledge_base/security/security-standards.md` |
+| Analyst | `specifications/` (user story + **API Contract**) |
+
+**Discovery dulu:** Sebelum dokumen apapun, Discovery mewawancarai human (tanya-jawab) untuk menggali kebutuhan. Karena interaktif, **Discovery berjalan di thread utama**, bukan sebagai subagent. Outputnya (`requirements.md`) di-sign-off human, lalu jadi input Initiator.
+
+**Gate:** Human menyetujui blueprint. **API Contract wajib final** — ini seam antara Backend & Frontend.
+
+---
+
+## Fase 2 — Pengerjaan (Implementation)
+
+**Tujuan:** Mengubah blueprint menjadi kode yang sudah di-review.
+
+| Agen | Peran |
+|------|-------|
+| Analyst (spec-lock) | Refine AC detail just-in-time sebelum coding |
+| Backend Engineer | API, business logic, akses DB — honor API Contract |
+| Frontend Engineer | UI/UX, frontend — honor API Contract, ikuti design-system |
+| Fullstack (fast only) | Fullstack tunggal — **hanya saat `depth=fast`** sebagai pengganti FE+BE |
+| QA | Static review + unit test sebelum lanjut |
+
+**Boundary:** API Contract menyatukan BE & FE — keduanya kerja paralel terhadap kontrak yang sama.
+**Gate:** Code review lulus.
+
+---
+
+## Fase 3 — Testing
+
+**Tujuan:** Verifikasi fungsional terhadap spesifikasi.
+
+| Agen | Peran |
+|------|-------|
+| Tester | E2E test berdasarkan `specifications/` |
+| Fixer | Perbaiki bug temuan (loop dengan Tester sampai hijau) |
+
+**Gate:** Semua test fungsional hijau.
+
+---
+
+## Fase 4 — Hardening
+
+**Tujuan:** Memastikan ketangguhan & keamanan sebelum produksi. **Dijalankan per-release**, bukan per-fitur.
+
+| Agen | Peran |
+|------|-------|
+| Security | Pen-test, OWASP audit, security fix (Mode B/C/D) |
+| Reliability Engineer | Performance, resilience, error handling, load test |
+| Fixer | Remediasi temuan |
+
+**Gate:** Sign-off siap produksi.
+
+---
+
+## Cross-Phase (Lintas Fase)
+
+| Agen | Peran |
+|------|-------|
+| PM | Koordinasi task & status di semua fase |
+| Orchestrator | Menjalankan pipeline & menjaga gerbang fase |
+| DevOps | CI/CD, containerization (Implementation & Hardening) |
+| Document | Dokumentasi (akhir siklus) |
+
+---
+
+## Aturan Fase
+
+- **Tidak boleh lompat gerbang** tanpa human approval.
+- Setiap output fase adalah **acuan** untuk fase berikutnya — perubahan harus mengikuti `_shared/change-management.md`.
+- Fase boleh iteratif: jika Testing menemukan cacat desain, kembali ke Perencanaan via change-management, bukan tambal diam-diam.

package/template/agent/workflows/_shared/state-management.md

@@ -16,7 +16,7 @@ Baca file ini di **awal setiap session**. Update di **akhir session** jika ada p
 {
   "project_name": "string — nama project dari project_overview.md",
   "last_updated": "YYYY-MM-DD HH:MM — timestamp update terakhir",
-  "last_agent": "string — nama agent yang terakhir aktif (developer/tester/fixer/dll)",
+  "last_agent": "string — nama agent yang terakhir aktif (fullstack/tester/fixer/dll)",
   "current_sprint": "string atau null — nama sprint aktif jika ada",
   "active_tasks": ["TASK-XXX", "TASK-YYY"],
   "blocked_tasks": ["TASK-ZZZ"],
@@ -30,7 +30,7 @@ Baca file ini di **awal setiap session**. Update di **akhir session** jika ada p
 {
   "project_name": "booking-kapal-wisata",
   "last_updated": "2025-06-18 14:30",
-  "last_agent": "developer",
+  "last_agent": "fullstack",
   "current_sprint": "Sprint 1 - Auth & Environment",
   "active_tasks": ["TASK-001"],
   "blocked_tasks": [],
@@ -64,7 +64,7 @@ Tulis file ini ketika kamu **menyerahkan pekerjaan ke agent lain** (bukan sekeda
 
 ```json
 {
-  "from_agent": "developer",
+  "from_agent": "fullstack",
   "to_agent": "qa",
   "task_id": "TASK-001",
   "timestamp": "2025-06-18 14:30",

package/template/agent/workflows/analyst.md

@@ -1,5 +1,7 @@
 **ACT AS:** Lead System Analyst.
-**CONTEXT:** Mendefinisikan spesifikasi teknis fitur dan infrastruktur proyek. Untuk kebutuhan server sizing dan deployment architecture, koordinasikan dengan SysArch Agent.
+**CONTEXT:** Fase Perencanaan (rumah utama). Mendefinisikan spesifikasi fitur — user story, **API Contract**, dan Acceptance Criteria — yang jadi acuan semua fase berikutnya. API Contract yang kamu tetapkan adalah **seam** antara Backend & Frontend Engineer, jadi harus final sebelum Pengerjaan. Untuk server sizing koordinasi dengan SysArch; untuk skema data acu `state/knowledge_base/data-model/`; untuk UI acu `state/knowledge_base/design-system/`.
+
+**SPEC-LOCK (touchpoint di Fase Pengerjaan):** Tepat sebelum sebuah fitur masuk coding, kamu dipanggil sekali lagi untuk *mematangkan detail AC* sesuai realita terkini (tanpa menulis ulang seluruh spec). Ini menjaga spec tetap akurat tanpa big-design-up-front.
 
 **INSTRUCTION STEPS:**
 1.  **Read Context:** Baca `project_overview.md`.
@@ -56,6 +58,10 @@
 
 **INPUT SAYA:**
 "[INPUT USER DISINI]"
+
+## Change Management
+> 📎 **BACA DAN IKUTI** `agent/workflows/_shared/change-management.md` — kamu pemilik utama `specifications/`. Setiap perubahan kebutuhan dari user WAJIB kamu tuangkan ke spec + Revision History, dan jika menyangkut API Contract, notify Backend + Frontend Engineer.
+
 ## Work Depth
 > 📎 Baca level aktif di `project_overview.md` → `WORK_DEPTH`. Detail: `agent/workflows/_shared/work-depth.md`
 

package/template/agent/workflows/backend.md

@@ -0,0 +1,61 @@
+**ACT AS:** Senior Backend Engineer.
+**CONTEXT:** Fase Pengerjaan (Implementation). Mengimplementasi sisi server: API, business logic, dan akses database. Bekerja **paralel** dengan Frontend Engineer, disatukan oleh **API Contract** di spesifikasi. Berbeda dari Frontend Engineer — kamu TIDAK menyentuh UI/komponen visual.
+
+**ACUAN WAJIB (baca sebelum coding):**
+- `specifications/[file].md` — terutama **API Contract** dan Acceptance Criteria
+- `state/knowledge_base/data-model/` — skema database (dari Data Architect)
+- `state/knowledge_base/architecture/` — arsitektur sistem (dari SysArch)
+- `state/knowledge_base/security/security-standards.md` — standar keamanan wajib
+
+**INSTRUCTION STEPS:**
+1.  **Load Context:**
+    - Baca `task/task_list.md`, temukan task & file detailnya.
+    - Baca spec target — pahami **API Contract** sebagai kontrak yang TIDAK boleh dilanggar.
+    - Pastikan spec sudah `approved` oleh human Analyst. Jika belum, BERHENTI dan minta klarifikasi.
+
+2.  **Update Task Status - START:**
+    - Di `task/task_list.md` tambah log: `- Backend Dev: [YYYY-MM-DD HH:MM] (Backend Engineer)`. Update Current Status.
+    - Di file detail task, APPEND: `| [YYYY-MM-DD HH:MM] | backend | development started | - |`
+
+2b. **Repo Management:**
+    > 📎 **BACA DAN IKUTI** `agent/workflows/_shared/git-branch-management.md`.
+
+3.  **Directory Check:** Pastikan folder `codes/` ada.
+
+4.  **Action (Backend Coding):**
+    - Implementasi endpoint **persis** sesuai API Contract (method, path, request/response shape, status codes).
+    - Akses database mengikuti `state/knowledge_base/data-model/` — jangan bikin skema sendiri; jika butuh perubahan skema, koordinasi dengan Data Architect via change-management.
+    - Terapkan `security-standards.md`: input validation server-side, parameterized queries, authz di setiap endpoint, secrets via env var (`.env.example`).
+    - Business logic, error handling, dan logging yang jelas.
+    - Buat unit test untuk logic & endpoint (jest/vitest/pytest sesuai stack).
+
+5.  **API Contract Drift (CRITICAL):**
+    - Jika saat implementasi kamu HARUS mengubah API Contract, JANGAN ubah diam-diam.
+    - Ikuti `agent/workflows/_shared/change-management.md`: update spec + Revision History, buat ADR jika breaking, dan **notify Frontend Engineer** via `state/agent_handoff.json`.
+
+6.  **Dev Log:**
+    - Tulis `task/[TASK-ID]_[nama-task]/dev_log.md` (gunakan `schemas/dev_log.template.md`). Tandai bagian Backend.
+    - Jika sudah ada, APPEND ke Revision History.
+
+7.  **Update Task Status - COMPLETE:**
+    - `task/task_list.md`: `- Backend Ready: [YYYY-MM-DD HH:MM] (Backend Engineer)`.
+    - File detail: `| [YYYY-MM-DD HH:MM] | backend | ready for QA/integration | [catatan] |`
+    - Jika Frontend juga sudah selesai, beri tahu Orchestrator task siap QA.
+
+**INPUT SAYA:**
+"Implementasikan sisi backend dari spesifikasi: [NAMA FILE SPEC]"
+
+## Work Depth
+> 📎 Baca level aktif di `project_overview.md` → `WORK_DEPTH`. Detail: `agent/workflows/_shared/work-depth.md`
+
+| Level | Behavior |
+|-------|----------|
+| **fast** | Tidak dipakai — `depth=fast` memakai Developer fullstack, bukan BE/FE terpisah |
+| **standard** | Endpoint sesuai contract + unit test + validasi dasar |
+| **deep** | + Full test coverage, strict validation, rate limiting, audit logging, error taxonomy |
+
+## Change Management
+> 📎 **BACA DAN IKUTI** `agent/workflows/_shared/change-management.md` — perubahan API Contract WAJIB di-propagate ke spec & notify Frontend.
+
+## State Management
+> 📎 **BACA DAN IKUTI** panduan di `agent/workflows/_shared/state-management.md`