create-windy 0.1.0

package/package.json

@@ -0,0 +1,37 @@
+{
+  "name": "create-windy",
+  "version": "0.1.0",
+  "description": "创建单组织、单租户、私有部署优先的 Windy 企业 Dashboard Starter",
+  "type": "module",
+  "bin": {
+    "create-windy": "dist/cli.js"
+  },
+  "files": [
+    "assets",
+    "dist",
+    "template",
+    "README.md"
+  ],
+  "scripts": {
+    "build": "bun build src/cli.ts --target=node --format=esm --outdir=dist",
+    "template:sync": "bun run src/sync-template.ts",
+    "prepack": "bun run template:sync && bun run build",
+    "postpack": "bun run src/clean-template.ts",
+    "typecheck": "tsc --noEmit --project tsconfig.json"
+  },
+  "engines": {
+    "node": ">=20"
+  },
+  "keywords": [
+    "dashboard",
+    "starter",
+    "vue",
+    "bun",
+    "enterprise"
+  ],
+  "license": "UNLICENSED",
+  "publishConfig": {
+    "access": "public"
+  },
+  "private": false
+}

package/template/.dockerignore

@@ -0,0 +1,11 @@
+**/dist
+**/node_modules
+.git
+.gitignore
+.husky
+.DS_Store
+docs
+*.log
+docker-compose*.yml
+deploy/**/secrets
+deploy/**/.env

package/template/.oxfmtrc.json

@@ -0,0 +1,9 @@
+{
+  "$schema": "./node_modules/oxfmt/configuration_schema.json",
+  "singleQuote": false,
+  "semi": true,
+  "trailingComma": "all",
+  "printWidth": 80,
+  "sortPackageJson": false,
+  "ignorePatterns": []
+}

package/template/.oxlintrc.json

@@ -0,0 +1,119 @@
+{
+  "$schema": "./node_modules/oxlint/configuration_schema.json",
+  "plugins": ["typescript"],
+  "categories": {
+    "correctness": "off"
+  },
+  "env": {
+    "builtin": true
+  },
+  "ignorePatterns": ["**/node_modules/**", "**/dist/**"],
+  "rules": {
+    "constructor-super": "error",
+    "for-direction": "error",
+    "getter-return": "error",
+    "no-async-promise-executor": "error",
+    "no-case-declarations": "error",
+    "no-class-assign": "error",
+    "no-compare-neg-zero": "error",
+    "no-cond-assign": "error",
+    "no-const-assign": "error",
+    "no-constant-binary-expression": "error",
+    "no-constant-condition": "error",
+    "no-control-regex": "error",
+    "no-debugger": "error",
+    "no-delete-var": "error",
+    "no-dupe-class-members": "error",
+    "no-dupe-else-if": "error",
+    "no-dupe-keys": "error",
+    "no-duplicate-case": "error",
+    "no-empty": "error",
+    "no-empty-character-class": "error",
+    "no-empty-pattern": "error",
+    "no-empty-static-block": "error",
+    "no-ex-assign": "error",
+    "no-extra-boolean-cast": "error",
+    "no-fallthrough": "error",
+    "no-func-assign": "error",
+    "no-global-assign": "error",
+    "no-import-assign": "error",
+    "no-invalid-regexp": "error",
+    "no-irregular-whitespace": "error",
+    "no-loss-of-precision": "error",
+    "no-misleading-character-class": "error",
+    "no-new-native-nonconstructor": "error",
+    "no-nonoctal-decimal-escape": "error",
+    "no-obj-calls": "error",
+    "no-prototype-builtins": "error",
+    "no-redeclare": "error",
+    "no-regex-spaces": "error",
+    "no-self-assign": "error",
+    "no-setter-return": "error",
+    "no-shadow-restricted-names": "error",
+    "no-sparse-arrays": "error",
+    "no-this-before-super": "error",
+    "no-unassigned-vars": "error",
+    "no-unexpected-multiline": "error",
+    "no-unreachable": "error",
+    "no-unsafe-finally": "error",
+    "no-unsafe-negation": "error",
+    "no-unsafe-optional-chaining": "error",
+    "no-unused-labels": "error",
+    "no-unused-private-class-members": "error",
+    "no-unused-vars": "error",
+    "no-useless-backreference": "error",
+    "no-useless-catch": "error",
+    "no-useless-escape": "error",
+    "no-with": "error",
+    "preserve-caught-error": "error",
+    "require-yield": "error",
+    "use-isnan": "error",
+    "valid-typeof": "error",
+    "no-array-constructor": "error",
+    "no-unused-expressions": "error",
+    "typescript/ban-ts-comment": "error",
+    "typescript/no-duplicate-enum-values": "error",
+    "typescript/no-empty-object-type": "error",
+    "typescript/no-explicit-any": "error",
+    "typescript/no-extra-non-null-assertion": "error",
+    "typescript/no-misused-new": "error",
+    "typescript/no-namespace": "error",
+    "typescript/no-non-null-asserted-optional-chain": "error",
+    "typescript/no-require-imports": "error",
+    "typescript/no-this-alias": "error",
+    "typescript/no-unnecessary-type-constraint": "error",
+    "typescript/no-unsafe-declaration-merging": "error",
+    "typescript/no-unsafe-function-type": "error",
+    "typescript/no-wrapper-object-types": "error",
+    "typescript/prefer-as-const": "error",
+    "typescript/prefer-namespace-keyword": "error",
+    "typescript/triple-slash-reference": "error"
+  },
+  "overrides": [
+    {
+      "files": ["**/*.ts", "**/*.tsx", "**/*.mts", "**/*.cts"],
+      "rules": {
+        "constructor-super": "off",
+        "getter-return": "off",
+        "no-class-assign": "off",
+        "no-const-assign": "off",
+        "no-dupe-class-members": "off",
+        "no-dupe-keys": "off",
+        "no-func-assign": "off",
+        "no-import-assign": "off",
+        "no-new-native-nonconstructor": "off",
+        "no-obj-calls": "off",
+        "no-redeclare": "off",
+        "no-setter-return": "off",
+        "no-this-before-super": "off",
+        "no-unreachable": "off",
+        "no-unsafe-negation": "off",
+        "no-var": "error",
+        "no-with": "off",
+        "prefer-const": "error",
+        "prefer-rest-params": "error",
+        "prefer-spread": "error"
+      }
+    }
+  ]
+}

package/template/.windy-template.json

@@ -0,0 +1,71 @@
+{
+  "schemaVersion": 1,
+  "templateCommit": "978723871860407331aadc164a1d1ed937cd945c",
+  "generatorVersion": "0.1.0",
+  "modules": [
+    {
+      "name": "system",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.identity",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.settings",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.configuration",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.license",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.audit",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.storage",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.agent",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.operations",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.scheduler",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.notification",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.workflow",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.bulk-data",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.search",
+      "version": "0.1.0"
+    },
+    {
+      "name": "system.data-governance",
+      "version": "0.1.0"
+    },
+    {
+      "name": "work-order",
+      "version": "0.1.0"
+    }
+  ]
+}

package/template/AGENTS.md

@@ -0,0 +1,87 @@
+# AGENTS.md
+
+## 语言与产品默认值
+
+- 软件界面、文档和示例数据默认使用中文。
+- 当前阶段暂不支持国际化，不新增 i18n 框架、语言包或翻译抽象。
+- 本项目是企业级 Dashboard 产品基座，不是传统 Admin Template。
+
+## 技术与依赖
+
+- 优先使用 Bun 进行包管理、脚本运行、测试和构建。
+- 代码检查与格式化统一使用 Oxc：Oxlint 和 Oxfmt，不使用 ESLint 或 Prettier。
+- Oxc 是 Starter 默认提供的代码质量方案；项目生成后由项目所有者决定是否保留、替换或并行使用其它工具。
+- TypeScript 安装在根依赖，由 Bun Workspaces 共享。
+- 新增依赖时使用 Bun 解析最新可用版本，不手写猜测版本。
+- 依赖必须服务于当前技术栈或明确的近期架构目标，避免无用占位包。
+- Web UI 默认使用 shadcn-vue + Reka UI + Tailwind CSS，不再使用 Headless UI 作为主组件库。
+- 安装 shadcn-vue 组件必须使用命令，不手写复制组件源码：`bunx --bun shadcn-vue@latest add <component>`。
+- 常用 shadcn-vue 组件可先安装；其它组件按需安装，安装前先检查 `apps/web/src/components/ui` 是否已有。
+- Web 图表默认使用 `@antv/g2`；不要新增 ECharts 依赖或基于 ECharts 的组件封装。
+
+## 架构原则
+
+- 全项目使用 TypeScript，公共 API、DTO、配置和模块 manifest 必须有明确类型。禁止使用 any 类型。
+- 遵循 SOLID、Clean Architecture、轻量 DDD、Repository Pattern、Dependency Injection。
+- 业务能力默认按模块拆分，保持低耦合、高内聚。
+- 禁止跨模块直接访问 Repository；模块间通过 service、公开接口或模块注册机制协作。
+- 新功能默认接入 RBAC、Feature Flag、License、Audit Log，不绕过基础设施。
+- 数据访问统一通过 Repository + Drizzle；业务层不得直接依赖 PostgreSQL、MySQL、达梦或人大金仓方言。
+- 数据库兼容层负责 SQL Dialect、Migration、类型映射、自增策略、JSON、分页和保留字差异。
+- RuoYi-Vue 兼容能力必须做成可插拔 Adapter：新项目默认关闭，不污染平台 canonical schema，不让业务模块直接依赖旧 `sys_*` 表。
+- 旧项目兼容目标包括一次性导入新库，以及客户单机服务器上必要时直连旧 MySQL / Redis 运行；密码可统一重置，不要求兼容旧 hash。
+
+## 功能注册约束
+
+- 每新增一个面向用户或业务的功能，必须在所属 Module Manifest 中同时注册 Feature Flag 与 RBAC 权限，不允许只做页面、路由或后端接口。
+- Feature 与权限共用同一个稳定的能力基础 Key：Feature Key 直接使用基础 Key，例如 `system.audit`；权限 Key 在同一基础 Key 后追加动作，例如 `system.audit.read`、`system.audit.manage`。
+- 菜单、页面路由、按钮、Server API、Agent Tool 和后台任务必须引用 Manifest 中已注册的 Feature / Permission Key，并经过统一 Guard；禁止在各层维护互相漂移的手写 Key 列表。
+- 新能力的 Manifest 注册应同时声明菜单或入口、API 权限绑定、可选 Entitlement 和审计动作，并补充注册重复、未知引用和 Guard 拒绝测试。
+
+## 代码组织
+
+- 非文档文件最多 350 行；新增代码会超过限制时，先拆分文件再继续实现。
+- 优先组件化、模块化和小文件设计，避免把平台核心、业务逻辑和 UI 细节混在一起。
+- Web 通用布局组件放在 `apps/web/src/layout/`。
+- 非组件库提供、但可跨页面复用的业务通用组件放在 `apps/web/src/components/common/`。
+- shadcn-vue 生成的基础 UI 组件保留在 `apps/web/src/components/ui/`，业务代码优先组合使用，不直接改造成业务组件。
+- 组件、服务、仓储、schema、dto、permission、menu、feature 等职责清晰分离。
+- 公共类型、DTO、校验和配置放入共享 package，避免复制粘贴。
+- 只添加必要注释，复杂逻辑前可补充简短说明。
+
+## 未保存编辑保护
+
+- 任何页面、抽屉、Modal 或 Dialog 存在未保存编辑时，用户关闭编辑容器、切换页面、Tab 或路由，以及刷新或关闭浏览器前，都必须得到明确确认；禁止静默丢失用户输入。
+- 应用内确认统一使用 Dialog：取消后留在当前编辑态；保存时按钮必须显示 loading 并阻止重复提交，只有保存成功后才能继续原本的关闭或切换动作；保存失败时保留当前输入并停留原处。
+- 浏览器刷新、关闭窗口或关闭标签页使用原生 `beforeunload` 确认，不尝试用自定义 Dialog 替代浏览器安全提示。
+- 未保存状态必须由当前编辑值与最近一次成功加载或保存的基线比较得出；成功保存、明确重置或重新加载后及时清除，不能只用一次输入事件永久标脏。
+
+## Git Flow
+
+- 当前阶段直接在 `main` 提交，除非用户要求分支、PR 或隔离工作树。
+- 每完成一个功能、修复或文档切片，必须立即提交一个对应 commit。
+- 每个提交保持一个小而完整的功能、修复或文档切片。
+- 使用 Conventional Commits：`feat(scope): summary`、`fix(scope): summary`、`docs(scope): summary`、`chore(scope): summary`。
+- 不回滚无关用户改动。
+- 提交前检查 `git status`，确保没有把无关文件混入提交。
+
+## 验证与测试
+
+- 优先使用 `bun run typecheck`、`bun run build`、`bun test`。
+- 核心模块优先补单元测试。
+- 不使用 Playwright 或 Chrome 做自测，除非用户明确要求。
+- 复杂功能完成后，在 `docs/` 下补充设计、行为、运维和取舍说明。
+
+## Agent skills
+
+### Issue tracker
+
+Issue、PRD 与接力任务保存在仓库的 `.scratch/<feature>/`，不连接外部平台。详见 `docs/agents/issue-tracker.md`。
+
+### Triage labels
+
+使用 `needs-triage`、`needs-info`、`ready-for-agent`、`ready-for-human`、`wontfix` 五种标准状态。详见 `docs/agents/triage-labels.md`。
+
+### Domain docs
+
+采用单上下文布局：根目录 `CONTEXT.md` 与 `docs/adr/`。详见 `docs/agents/domain.md`。

package/template/README.md

@@ -0,0 +1,128 @@
+# windy-starter
+
+windy-starter 是由 create-windy 生成的单组织、单租户企业应用项目。用户功能层位于
+`/`，平台管理控制面位于 `/admin/**`；业务功能可以按自己的产品习惯开发，不需要
+复用 Admin 页面结构。
+
+本项目固定使用 Bun 1.3.14 或更高版本，当前法律许可为 `UNLICENSED`。项目不包含
+软件供应方的 License Authority、内部签名服务、发布密钥或私有源仓库信息。
+创建时包含了 `work-order` 示例模块，用于演示 Module Manifest 接入；它不是生产工单产品，可以在正式开发前替换。
+
+## 环境要求
+
+- Bun 1.3.14+
+- Docker 与 Docker Compose（推荐的本地完整运行方式）
+- Git（创建器默认已经初始化；使用 `--no-git` 时除外）
+
+不要使用 npm、Yarn 或 pnpm 安装本项目依赖，也不要提交它们产生的 lockfile；唯一的
+依赖锁文件是 `bun.lock`。
+
+## 第一次运行
+
+```bash
+bun install
+cp .env.example .env
+# 为 POSTGRES_PASSWORD 和 WINDY_BOOTSTRAP_ADMIN_PASSWORD 设置本地值
+docker compose up --build
+```
+
+| 服务 | 地址 |
+| ---- | ---- |
+| Web | http://localhost:9746 |
+| Server 健康检查 | http://localhost:3000/api/health |
+| PostgreSQL | localhost:5432 |
+
+Docker Web 固定使用 `9746`。只在宿主机运行 Web 时使用：
+
+```bash
+bun run dev:web
+```
+
+本地 Web 从 `8746` 开始探测。同一项目已经运行时会直接输出已有地址；其它服务占用
+时会自动使用后续端口，最多检查 100 个。实际地址始终以终端输出为准。
+
+## 页面与登录
+
+| 路径 | 访问要求 | 说明 |
+| ---- | -------- | ---- |
+| `/login` | 公开 | 登录成功后回到安全的站内目标，默认进入 `/` |
+| `/` | 已登录 | 最小用户首页，也是业务功能开发入口 |
+| `/admin` | Admin 准入能力 | 平台管理首页 |
+| `/admin/**` | 对应 Feature 与 RBAC | 平台配置、身份、审计和运维页面 |
+
+普通用户登录后不会加载 Admin Bootstrap。只有服务端确认 `system.admin` 可用且当前
+账号拥有 `system.admin.access` 时，首页才显示“进入管理后台”；直接访问 Admin 仍会
+独立校验权限。
+
+## 当前生成选择
+
+| 选项 | 当前项目 |
+| ---- | -------- |
+| Profile | `private-enterprise` |
+| Runtime / Package Manager | Bun |
+| 代码质量 | Oxlint + Oxfmt |
+| 示例工单 | 已包含 |
+| 法律许可 | `UNLICENSED` |
+
+平台当前注册的全部模块如下。H0 表示 profile 锁定核心；H2 表示创建时可以物理包含或
+排除，并已有生成、类型检查、测试和构建证据。H2 不代表项目部署后已经支持无损安装、
+升级或卸载；那需要 H3 的生命周期命令与数据处置证据。
+
+| Module Key | 当前项目 | 热插拔可靠度 | 说明 |
+| ---------- | -------- | ------------ | ---- |
+| `system` | 未包含 | H0 | Admin 准入、Feature 与数据库基线。 |
+| `system.identity` | 未包含 | H0 | 认证、用户、角色、组织和数据范围。 |
+| `system.settings` | 未包含 | H2 | 品牌、Logo 与水印。 |
+| `system.configuration` | 未包含 | H2 | 类型化配置、应用和回滚。 |
+| `system.license` | 未包含 | H2 | 离线验签、安装和限制态。 |
+| `system.audit` | 未包含 | H2 | 审计查询、可靠写入和恢复。 |
+| `system.operations` | 未包含 | H2 | 服务、数据库、缓存、磁盘和会话监控。 |
+| `system.storage` | 未包含 | H2 | 上传、下载和对象生命周期。 |
+| `system.agent` | 未包含 | H2 | 受控 Agent 工具宿主。 |
+| `system.scheduler` | 未包含 | H2 | 任务、重试、历史和恢复。 |
+| `system.notification` | 未包含 | H2 | 通知发布、阅读和归档。 |
+| `system.workflow` | 未包含 | H2 | 审批、转交、超时和补偿。 |
+| `system.bulk-data` | 未包含 | H2 | 批量导入导出与结果留存。 |
+| `system.search` | 未包含 | H2 | 权限感知搜索与 Provider 聚合。 |
+| `system.data-governance` | 未包含 | H2 | 敏感字段、明文访问和治理导出。 |
+| `work-order` | 未包含 | H2 | 可替换的业务模块接入示例。 |
+
+精确生成来源和选择记录在 `.windy/generation.json`。当前版本尚未提供通用
+`module add/remove` 或 `windy update`，不要把 Feature Flag 关闭当成模块已经卸载。
+
+## 常用命令
+
+```bash
+bun run dev:web
+bun run dev:server
+bun run typecheck
+bun run test
+bun run build
+bun run lint
+bun run format
+```
+
+## 开发约束
+
+- 新增路由默认需要登录；只有显式 public 的页面允许匿名访问。
+- 新功能必须在 Module Manifest 中使用同一稳定基础 key 注册 Feature、RBAC、API、
+  菜单或入口及审计动作。
+- 业务模块默认不进入 Admin；只有明确声明并通过 Guard 的管理能力才注册到
+  `/admin/**`。
+- 模块之间通过公开 service、Interface 或注册机制协作，不跨模块直连 Repository。
+- 数据访问通过 Repository + Drizzle，不在业务代码中依赖 PostgreSQL 方言。
+
+平台能力、二次开发约束和运维说明从 [docs/README.md](docs/README.md) 开始。
+
+## Git 与后续升级
+
+create-windy 默认建立 `main` 分支并创建 `chore: initialize project` 首次提交。若当时
+没有配置 Git 用户身份，文件会保留在暂存区；配置身份后手动提交即可。
+
+未来的 Windy 更新器会根据 project lock 和文件所有权执行三方合并，不会要求连接
+私有源仓库，也不会静默覆盖项目代码。该更新引擎当前尚未交付。
+
+## License
+
+本项目当前法律许可证为 `UNLICENSED`。项目没有附带开源许可证。法律许可证与 `system.license` 离线运行时授权模块是两个不同概念；更换其中一个
+不会自动更换另一个。

package/template/apps/server/Dockerfile

@@ -0,0 +1,34 @@
+# syntax=docker/dockerfile:1
+
+FROM oven/bun:1.3.14-alpine AS deps
+WORKDIR /app
+
+COPY package.json bun.lock ./
+COPY apps/server/package.json apps/server/package.json
+COPY apps/web/package.json apps/web/package.json
+COPY apps/license/package.json apps/license/package.json
+COPY apps/signing-service/package.json apps/signing-service/package.json
+COPY packages/config/package.json packages/config/package.json
+COPY packages/create-windy/package.json packages/create-windy/package.json
+COPY packages/crud-generator/package.json packages/crud-generator/package.json
+COPY packages/database/package.json packages/database/package.json
+COPY packages/example-work-order/package.json packages/example-work-order/package.json
+COPY packages/license-sdk/package.json packages/license-sdk/package.json
+COPY packages/modules/package.json packages/modules/package.json
+COPY packages/shared/package.json packages/shared/package.json
+COPY packages/storage/package.json packages/storage/package.json
+RUN bun install --frozen-lockfile
+
+FROM deps AS runner
+COPY drizzle.config.ts drizzle.config.ts
+COPY apps/server apps/server
+COPY packages packages
+COPY --chmod=0555 deploy/production/server-entrypoint.sh /usr/local/bin/windy-server-entrypoint
+RUN mkdir -p /app/data/audit /app/data/license && chown -R bun:bun /app/data
+ENV NODE_ENV=production
+ENV PORT=3000
+ENV WINDY_CONTAINERIZED=1
+EXPOSE 3000
+USER bun
+HEALTHCHECK --interval=15s --timeout=3s --start-period=15s --retries=4 CMD ["bun", "-e", "const r=await fetch('http://127.0.0.1:3000/api/ready');process.exit(r.ok?0:1)"]
+CMD ["bun", "run", "--cwd", "apps/server", "start"]

package/template/apps/server/package.json

@@ -0,0 +1,30 @@
+{
+  "name": "@windy/server",
+  "version": "0.1.0",
+  "private": true,
+  "type": "module",
+  "scripts": {
+    "dev": "bun --watch run src/index.ts",
+    "start": "bun run src/index.ts",
+    "typecheck": "tsc --noEmit --project tsconfig.json"
+  },
+  "dependencies": {
+    "@elysiajs/swagger": "^1.3.1",
+    "@windy/config": "workspace:*",
+    "@windy/database": "workspace:*",
+    "@windy/example-work-order": "workspace:*",
+    "@windy/license-sdk": "workspace:*",
+    "@windy/modules": "workspace:*",
+    "@windy/shared": "workspace:*",
+    "@windy/storage": "workspace:*",
+    "@noble/ed25519": "^3.1.0",
+    "argon2": "^0.44.0",
+    "drizzle-orm": "^0.45.2",
+    "elysia": "^1.4.29",
+    "mysql2": "^3.22.6",
+    "pg": "^8.22.0",
+    "pino": "^10.3.1",
+    "zod": "^4.4.3"
+  },
+  "devDependencies": {}
+}

package/template/apps/server/src/access-guards.ts

@@ -0,0 +1,112 @@
+import type { FeatureFlagDefinition } from "@windy/shared";
+import {
+  evaluateEntitlementGuard,
+  evaluateFeatureGuard,
+  evaluateLicenseVersionGuard,
+  evaluateLicenseRestrictionGuard,
+  evaluatePermissionGuard,
+  type GuardDecision,
+  type PermissionGuardRequirement,
+  type RequestGuardContext,
+} from "./guards.js";
+import type { createServerRuntime } from "./runtime.js";
+
+type ServerRuntime = Pick<
+  ReturnType<typeof createServerRuntime>,
+  "recordDecisions" | "resolveFeature"
+>;
+
+export interface AccessGuardPolicy {
+  permission: PermissionGuardRequirement;
+  feature?: FeatureFlagDefinition;
+  restrictedModeAccess?: "backup-export" | "admin-admission";
+}
+
+export interface GuardPipelineResult {
+  decision: GuardDecision;
+  license?: GuardDecision;
+  entitlement?: GuardDecision;
+  licenseVersion?: GuardDecision;
+  feature?: GuardDecision;
+  permission?: GuardDecision;
+}
+
+export async function evaluateAccessGuards(
+  runtime: ServerRuntime,
+  context: RequestGuardContext,
+  policy: AccessGuardPolicy,
+  options: { record?: boolean } = {},
+): Promise<GuardPipelineResult> {
+  const decisions: GuardDecision[] = [];
+  const license = evaluateLicenseRestrictionGuard(
+    context,
+    policy.restrictedModeAccess === "backup-export" ||
+      policy.restrictedModeAccess === "admin-admission",
+  );
+  decisions.push(license);
+  if (!license.allowed) {
+    return finish(runtime, decisions, { license }, options);
+  }
+  let entitlement: GuardDecision | undefined;
+  let licenseVersion: GuardDecision | undefined;
+  let feature: GuardDecision | undefined;
+
+  if (policy.feature) {
+    licenseVersion = evaluateLicenseVersionGuard(context, policy.feature);
+    decisions.push(licenseVersion);
+    if (!licenseVersion.allowed) {
+      return finish(runtime, decisions, { license, licenseVersion }, options);
+    }
+    entitlement = evaluateEntitlementGuard(context, policy.feature);
+    decisions.push(entitlement);
+    if (!entitlement.allowed) {
+      return finish(
+        runtime,
+        decisions,
+        { license, licenseVersion, entitlement },
+        options,
+      );
+    }
+
+    const runtimeFeature = await runtime.resolveFeature(
+      context,
+      policy.feature,
+    );
+    feature = evaluateFeatureGuard(context, runtimeFeature);
+    decisions.push(feature);
+    if (!feature.allowed) {
+      return finish(
+        runtime,
+        decisions,
+        { license, licenseVersion, entitlement, feature },
+        options,
+      );
+    }
+  }
+
+  const permission = evaluatePermissionGuard(context, policy.permission);
+  decisions.push(permission);
+  return finish(
+    runtime,
+    decisions,
+    { license, licenseVersion, entitlement, feature, permission },
+    options,
+  );
+}
+
+function finish(
+  runtime: ServerRuntime,
+  decisions: GuardDecision[],
+  result: Omit<GuardPipelineResult, "decision">,
+  options: { record?: boolean },
+): GuardPipelineResult {
+  if (options.record !== false) {
+    runtime.recordDecisions(decisions);
+  }
+  const decision =
+    decisions.find((current) => !current.allowed) || decisions.at(-1);
+  if (!decision) {
+    throw new Error("Guard pipeline 至少需要一个判定层");
+  }
+  return { ...result, decision };
+}