dsh-desktop-kit 1.0.0 → 2.0.1

package/skills/requirements-and-planning/SKILL.md

@@ -1,115 +1,49 @@
 ---
 name: requirements-and-planning
-description: "Анализ задачи и планирование: требования, критерии приёмки, декомпозиция, риски, варианты решений и проверяемый план — для кода, дизайна, SEO, данных, релизов и любых проектов."
-whenToUse: "Любая новая задача до реализации: понять запрос, уточнить неясное, зафиксировать критерии приёмки, спланировать шаги и проверки; анализ/исследование/сравнение вариантов."
+description: "Любая новая задача до реализации: требования, критерии приёмки, декомпозиция, риски, варианты решений и проверяемый план — для кода, дизайна, SEO, данных, релизов."
+whenToUse: "Перед началом работы, когда запрос расплывчат, нужен план/ТЗ/оценка, сравнение вариантов или критерии «готово» до правок кода."
 user-invocable: true
 ---
 
-# REQUIREMENTS & PLANNING — сначала думать, потом делать
-
-> Цель: не «начать кодить и по ходу разобраться», а **понять задачу, договориться о результате и
-> спланировать проверяемые шаги**. Это снижает переделки, риски и потерю данных — и повышает качество.
-
-## 0. Контракт
-1. **Одно предложение:** переформулируй запрос своими словами — что должно измениться для пользователя.
-2. **Неясное — уточняй** (одним сообщением, 1–3 вопроса), но не блокируйся: если вопрос не критичен,
-   зафиксируй допущение и двигайся; критичное (данные, деньги, права, необратимость) — только после ответа.
-3. **Критерии приёмки — до кода.** «Готово» должно быть проверяемым (Given/When/Then или чек-лист).
-4. **План — до правок:** шаги, затронутые файлы/системы, зависимости, проверки, откат.
-5. **Scope guard:** явно перечисли, что входит и что НЕ входит; не расширяй молча.
-6. **Финал:** отчёт «что сделано / как проверено / риски / что дальше» — по факту критериев.
-
-## 1. Процесс (8 шагов)
-
-### Шаг 1. Понять запрос
-- Кто пользователь и в каком контексте? Что болит? Какая цель (сэкономить время, снизить ошибки, продать, найти)?
-- Что уже есть (текущее поведение/скриншот/код)? Что должно стать?
-- Формат результата: экран? файл? архив? релиз? отчёт? API?
-
-### Шаг 2. Контекст и разведка
-- Прочитай память/досье проекта (`memory/INDEX.md`, `memory/projects/<проект>.md`), `AGENTS.md`.
-- Найди затронутые файлы, маршруты, модели, шаблоны, тесты, конфиги.
-- Проверь ограничения: стек, версии, окружение, права, бэкапы, кэш, SEO, дизайн-система.
-- Не проектируй вслепую: 10 минут разведки экономят часы.
-
-### Шаг 3. Требования и критерии приёмки
-Заполни:
-- **Цель:** <одно предложение>
-- **Пользователь и сценарий:** <кто/что делает/зачем>
-- **Входит:** <...>
-- **Не входит:** <...>
-- **Критерии приёмки:** проверяемые пункты (например: «заявка создаётся с выбранной срочностью», «на 390px нет overflow», «title/description/canonical на странице», «PHPUnit зелёный, +2 теста»).
-- **Ограничения:** <бюджет времени, стек, нельзя ломать…>
-
-### Шаг 4. Варианты решения
-- 2–3 варианта (если выбор неочевиден): плюсы, минусы, риски, трудозатраты.
-- Выбери и обоснуй. Для рискованных — предпочти самый обратимый.
-- Для крупных задач — вертикальный срез (тонкая сквозная реализация), а не «сначала весь бэкенд».
-
-### Шаг 5. План
-```
-1. <шаг> — файлы: ... — проверка: ...
-2. <шаг> — файлы: ... — проверка: ...
-...
-```
-- Декомпозируй до 1–2 часовых шагов; отметь зависимости и параллелизм.
-- Для каждого шага — как проверить (тест/скриншот/запрос/аудит).
-- Зафиксируй порядок: сначала бэкап/подготовка, потом изменения, потом проверка, потом откат-план.
-
-### Шаг 6. Риски и откат
-- Таблица: риск → вероятность/влияние → митигация.
-- Что может сломаться (данные, прод, кэш, SEO, дизайн, интеграции)? Как откатим?
-- Перед необратимым: бэкап, dry-run, копия, feature-флаг.
-
-### Шаг 7. Исполнение с чекпоинтами
-- Двигайся по плану; после каждого блока — быстрая проверка (тест/линт/скриншот).
-- Отклонение от плана — фиксируй и объясняй; scope creep — в отдельный список «потом».
-- Для UI/SEO/БД используй соответствующие скиллы и их гейты.
-
-### Шаг 8. Сдача
-- Сверь результат с критериями приёмки (таблица «критерий → как проверено → результат»).
-- Отчёт: что сделано, как проверено, риски/ограничения, что дальше.
-- Обнови память (`SESSIONS.md`, досье) и версию/документацию, если применимо.
-
-## 2. Шаблон брифа (короткий)
-```
-Задача: <одно предложение>
-Зачем: <польза>
-Пользователь/сценарий: <...>
-Входит / Не входит: <...>
-Критерии приёмки: <3–7 проверяемых пунктов>
-Ограничения: <стек, сроки, нельзя ломать>
-Риски/откат: <...>
-План: <3–7 шагов с проверками>
-```
-
-## 3. Шаблон критериев приёмки
-- Given <контекст>, when <действие>, then <результат>.
-- UI: 1440/768/390, light/dark, состояния, контраст AA, нет overflow.
-- SEO: title/description, один H1, canonical, OG, schema, sitemap/robots (если применимо).
-- API/данные: код ответа, валидация, транзакция, права, отсутствие N+1.
-- Тесты: baseline не ухудшен, новые тесты зелёные.
-- Релиз: артефакт собран, checksum, инструкция, откат.
-
-## 4. Эвристики оценки
-- Небольшая правка — 0,5–2 ч; компонент — 2–6 ч; экран — 0,5–2 дня; фича с БД/тестами — 1–3 дня.
-- Неизвестный стек/чужая кодовая база — ×1,5–2 к оценке.
-- Всегда добавляй время на проверку (тесты/скриншоты/аудит) и на непредвиденное (+20–30%).
-- Если оценка > 2 дней — дели на этапы с отдельной сдачей.
-
-## 5. Антипаттерны
-- Начать с кода, не поняв, что считать «готово».
-- Уточнять «потом», когда уже всё сломано.
-- План из одного пункта «сделать всё».
-- Нет критериев приёмки → бесконечные правки и споры.
-- Нет откат-плана для миграций/релизов/прод-правок.
-- Молча расширить scope («заодно переделал ещё 10 страниц»).
-- Считать «сделал» = «написал код» (без проверки и отчёта).
-
-## 6. Чек-лист перед стартом
-- [ ] Запрос переформулирован одним предложением.
-- [ ] Критичные неясности уточнены или зафиксированы допущения.
-- [ ] Прочитана память/досье, найдены затронутые файлы.
-- [ ] Критерии приёмки зафиксированы.
-- [ ] Есть план с проверками и откатом.
-- [ ] Подобраны скиллы (`skills-router`) под типы работ.
+# Requirements & Planning — ядро
+> ≈1 600 токенов. Это ядро; детали — по ссылкам и только когда реально нужны.
+
+## 0. Когда применять
+- Новая задача: фича, страница, релиз, миграция — до первой правки.
+- Запрос расплывчат: «сделай красиво», «ускорь», «почини», «улучши как-то».
+- Нужны ТЗ, оценка, сравнение вариантов, критерии «готово»; результат — выводы и план, а не осмотр.
+
+## 1. Главное (алгоритм)
+
+**Контракт:**
+1. **Одно предложение:** переформулируй запрос — что изменится для пользователя.
+2. **Неясное уточняй** одним сообщением (1–3 вопроса), но не блокируйся: некритичное — допущение и дальше; критичное (данные, деньги, права, необратимость) — только после ответа.
+3. **Критерии приёмки — до кода**, проверяемые (Given/When/Then или чек-лист).
+4. **План — до правок:** шаги, файлы, зависимости, проверки, откат.
+5. **Scope guard:** явно «входит / не входит»; не расширяй молча.
+6. **Финал:** отчёт «сделано / как проверено / риски / дальше» по критериям.
+
+**8 шагов:**
+1. **Понять запрос:** кто пользователь, что болит, что есть и что должно стать, формат результата.
+2. **Разведка:** память/досье, `AGENTS.md`, затронутые файлы/маршруты/модели/тесты, ограничения (стек, права, бэкапы, SEO, дизайн-система).
+3. **Требования:** цель, сценарий, входит/не входит, критерии, ограничения (шаблон — `references/templates-and-estimates.md`).
+4. **Варианты:** 2–3 с плюсами/минусами/рисками; для рискованного — самый обратимый; крупное — вертикальный срез.
+5. **План:** шаги по 1–2 ч с файлами и проверкой; порядок: бэкап → изменения → проверка → откат.
+6. **Риски:** риск → вероятность/влияние → митигация; перед необратимым — бэкап, dry-run, копия, feature-флаг.
+7. **Исполнение:** чекпоинт после каждого блока; отклонения объясняй; scope creep — в «потом».
+8. **Сдача:** таблица «критерий → проверка → результат», отчёт, память/версия.
+
+## 2. Куда грузить дальше
+| Нужно | Файл | ≈токенов |
+|---|---|---|
+| Детали 8 шагов и что проверять на каждом | references/process-steps.md | ≈1 350 |
+| Бриф, критерии приёмки по типам, эвристики оценки | references/templates-and-estimates.md | ≈630 |
+| Антипаттерны и чек-лист перед стартом | references/antipatterns-and-checklist.md | ≈480 |
+
+## 3. Гейт перед сдачей
+- [ ] Запрос переформулирован; неясности уточнены или допущения зафиксированы.
+- [ ] Прочитаны память/досье, найдены затронутые файлы.
+- [ ] Критерии приёмки зафиксированы до кода и сверены: критерий → проверка → результат.
+- [ ] План с проверками и откатом выполнен; scope не расширен молча, «потом» вынесено.
+- [ ] Подобраны скиллы (`skills-router`), пройдены их гейты: тесты/скриншоты/SEO/бэкап.
+- [ ] Отчёт «сделано / как проверено / риски / дальше»; память и версия обновлены.

package/skills/requirements-and-planning/references/antipatterns-and-checklist.md

@@ -0,0 +1,20 @@
+# Антипаттерны и чек-лист перед стартом
+
+> Часть навыка requirements-and-planning. ≈480 токенов. Читать, когда: проверяешь план на типовые ошибки или начинаешь задачу и нужен стартовый чек-лист.
+
+## Антипаттерны
+- Начать с кода, не поняв, что считать «готово».
+- Уточнять «потом», когда уже всё сломано.
+- План из одного пункта «сделать всё».
+- Нет критериев приёмки → бесконечные правки и споры.
+- Нет откат-плана для миграций/релизов/прод-правок.
+- Молча расширить scope («заодно переделал ещё 10 страниц»).
+- Считать «сделал» = «написал код» (без проверки и отчёта).
+
+## Чек-лист перед стартом
+- [ ] Запрос переформулирован одним предложением.
+- [ ] Критичные неясности уточнены или зафиксированы допущения.
+- [ ] Прочитана память/досье, найдены затронутые файлы.
+- [ ] Критерии приёмки зафиксированы.
+- [ ] Есть план с проверками и откатом.
+- [ ] Подобраны скиллы (`skills-router`) под типы работ.

package/skills/requirements-and-planning/references/process-steps.md

@@ -0,0 +1,52 @@
+# Восемь шагов планирования — детально
+
+> Часть навыка requirements-and-planning. ≈1 350 токенов. Читать, когда: нужен полный разбор шагов — разведка, варианты, план, риски, чекпоинты, сдача.
+
+## Шаг 1. Понять запрос
+- Кто пользователь и в каком контексте? Что болит? Какая цель: сэкономить время, снизить ошибки, продать, найти?
+- Что уже есть (текущее поведение / скриншот / код)? Что должно стать?
+- Формат результата: экран? файл? архив? релиз? отчёт? API?
+
+## Шаг 2. Контекст и разведка
+- Прочитай память/досье проекта (`memory/INDEX.md`, `memory/projects/<проект>.md`), `AGENTS.md`.
+- Найди затронутые файлы, маршруты, модели, шаблоны, тесты, конфиги.
+- Проверь ограничения: стек, версии, окружение, права, бэкапы, кэш, SEO, дизайн-система.
+- Не проектируй вслепую: 10 минут разведки экономят часы.
+
+## Шаг 3. Требования и критерии приёмки
+Заполни:
+- **Цель:** <одно предложение>
+- **Пользователь и сценарий:** <кто / что делает / зачем>
+- **Входит:** <...>
+- **Не входит:** <...>
+- **Критерии приёмки:** проверяемые пункты, например «заявка создаётся с выбранной срочностью», «на 390px нет overflow», «title/description/canonical на странице», «PHPUnit зелёный, +2 теста».
+- **Ограничения:** <бюджет времени, стек, нельзя ломать…>
+
+## Шаг 4. Варианты решения
+- 2–3 варианта (если выбор неочевиден): плюсы, минусы, риски, трудозатраты.
+- Выбери и обоснуй. Для рискованных — предпочти самый обратимый.
+- Для крупных задач — вертикальный срез (тонкая сквозная реализация), а не «сначала весь бэкенд».
+
+## Шаг 5. План
+```
+1. <шаг> — файлы: ... — проверка: ...
+2. <шаг> — файлы: ... — проверка: ...
+```
+- Декомпозируй до шагов на 1–2 часа; отметь зависимости и параллелизм.
+- Для каждого шага — как проверить: тест, скриншот, запрос, аудит.
+- Зафиксируй порядок: сначала бэкап/подготовка, потом изменения, потом проверка, потом откат-план.
+
+## Шаг 6. Риски и откат
+- Таблица: риск → вероятность/влияние → митигация.
+- Что может сломаться: данные, прод, кэш, SEO, дизайн, интеграции? Как откатим?
+- Перед необратимым: бэкап, dry-run, копия, feature-флаг.
+
+## Шаг 7. Исполнение с чекпоинтами
+- Двигайся по плану; после каждого блока — быстрая проверка (тест/линт/скриншот).
+- Отклонение от плана — фиксируй и объясняй; scope creep — в отдельный список «потом».
+- Для UI/SEO/БД используй соответствующие скиллы и их гейты.
+
+## Шаг 8. Сдача
+- Сверь результат с критериями приёмки: таблица «критерий → как проверено → результат».
+- Отчёт: что сделано, как проверено, риски/ограничения, что дальше.
+- Обнови память (`SESSIONS.md`, досье) и версию/документацию, если применимо.

package/skills/requirements-and-planning/references/templates-and-estimates.md

@@ -0,0 +1,29 @@
+# Шаблоны брифа и критериев, эвристики оценки
+
+> Часть навыка requirements-and-planning. ≈630 токенов. Читать, когда: нужно быстро собрать бриф, сформулировать критерии приёмки по типу работы или оценить трудозатраты.
+
+## Шаблон брифа (короткий)
+```
+Задача: <одно предложение>
+Зачем: <польза>
+Пользователь/сценарий: <...>
+Входит / Не входит: <...>
+Критерии приёмки: <3–7 проверяемых пунктов>
+Ограничения: <стек, сроки, нельзя ломать>
+Риски/откат: <...>
+План: <3–7 шагов с проверками>
+```
+
+## Шаблон критериев приёмки
+- Given <контекст>, when <действие>, then <результат>.
+- UI: 1440/768/390, light/dark, состояния, контраст AA, нет overflow.
+- SEO: title/description, один H1, canonical, OG, schema, sitemap/robots (если применимо).
+- API/данные: код ответа, валидация, транзакция, права, отсутствие N+1.
+- Тесты: baseline не ухудшен, новые тесты зелёные.
+- Релиз: артефакт собран, checksum, инструкция, откат.
+
+## Эвристики оценки
+- Небольшая правка — 0,5–2 ч; компонент — 2–6 ч; экран — 0,5–2 дня; фича с БД/тестами — 1–3 дня.
+- Неизвестный стек / чужая кодовая база — ×1,5–2 к оценке.
+- Всегда добавляй время на проверку (тесты/скриншоты/аудит) и на непредвиденное (+20–30%).
+- Если оценка > 2 дней — дели на этапы с отдельной сдачей.

package/skills/security-review/SKILL.md

@@ -1,36 +1,40 @@
 ---
 name: security-review
-description: "Универсальный чек-лист безопасности — аутентификация, авторизация, ввод/вывод, загрузки, секреты, зависимости."
-whenToUse: "При добавлении маршрутов, форм, API, загрузок, прав доступа; перед релизом и ревью."
+description: "Безопасность кода: OWASP-минимум, доступ и IDOR, ввод/вывод, загрузки, секреты, зависимости, реакция на инцидент."
+whenToUse: "Новые маршруты, формы, API, загрузки, права и роли, работа с секретами; перед релизом, ревью и после инцидента."
 user-invocable: true
 ---
 
 # Безопасность (универсальный чек-лист)
 
-## Доступ
-- [ ] Каждый маршрут явно защищён (auth + нужное право/роль); публичными остаются только осознанные.
-- [ ] Нет IDOR: доступ к объекту проверяет владельца/право, а не только «авторизован».
-- [ ] Привилегированные действия (назначить роль, удалить, изменить чужие данные) — отдельное право.
-- [ ] Сессия: регенерация при входе, корректный выход, разумный срок жизни, cookie HttpOnly/Secure.
-
-## Ввод
-- [ ] Валидация на сервере для всех полей (тип, длина, диапазон, формат); клиентская — только UX.
-- [ ] Нет SQL-конкатенации пользовательских данных; только параметры/query builder/ORM.
-- [ ] Массовое присвоение ограничено (`fillable`/явные поля).
-- [ ] Загрузки: whitelist расширений и MIME, лимит размера, хранение вне webroot (или безопасная отдача), уникальные имена.
-- [ ] Нет SSRF/XXE/десериализации недоверенных данных; внешние URL — валидировать.
-
-## Вывод
-- [ ] Экранирование по контексту; «безопасный HTML» — только через санитайзер с whitelist.
-- [ ] Никаких `{!! !!}`/`innerHTML` для пользовательских данных.
-- [ ] Заголовки безопасности: CSP, X-Content-Type-Options, правильный Content-Disposition для файлов.
-- [ ] Персональные данные не попадают в логи/URL/скриншоты.
-
-## Секреты и зависимости
-- [ ] Секреты только в `.env`/секрет-хранилище; `.env` в `.gitignore`; ротация при утечке.
-- [ ] Нет дебаг-флагов в продакшене (`APP_DEBUG=false`), подробные ошибки не отдаются наружу.
-- [ ] Зависимости: аудит (`composer audit`, `npm audit`), обновление критичных.
-- [ ] Ограничение частоты на вход/чувствительные действия; защита от перебора.
-
-## Реакция на инцидент
-- Зафиксировать, изолировать, сменить секреты, выпустить фикс, уведомить по политике; записать в память.
+## 0. Когда применять
+- Новый маршрут/форма/API/загрузка, права и роли, секреты; перед релизом/ревью; инцидент.
+
+## 1. Главное
+
+**OWASP-минимум (A01–A10):**
+- **A01 Доступ:** deny-by-default; `auth` + право на каждом маршруте; IDOR — проверка владельца; привилегированные действия — отдельное право; тест admin/user/guest.
+- **A02+A08 Крипто/целостность:** bcrypt/argon2 (не MD5/SHA1), TLS, секреты не в коде; не десериализовать недоверенное, подписи вебхуков, SRI.
+- **A03 Инъекции:** SQL — параметры/ORM, команды — без shell, XML — без внешних сущностей; `fillable`/явные поля.
+- **A04+A05 Дизайн/конфиг:** лимиты, least privilege, модель угроз (деньги/PII/админка); `APP_DEBUG=false`, без дефолтных паролей, CSP/`X-Content-Type-Options`/frame-ancestors, cookie HttpOnly/Secure/SameSite.
+- **A06 Зависимости:** `composer audit`, `npm audit --omit=dev`; критичное — обновить.
+- **A07 Аутентификация:** регенерация сессии при входе, выход инвалидирует, разумный срок; rate limit на вход/чувствительные действия; MFA админам; парольная политика.
+- **A09+A10 Логи/SSRF:** вход/права/админ-действия без секретов и PII, алерты; allowlist исходящих URL, блок private/metadata IP.
+
+**Ввод/вывод:** серверная валидация всех полей (тип/длина/диапазон/формат), клиент — только UX; экранирование по контексту; HTML — только санитайзер с whitelist; никаких `{!! !!}`/`innerHTML`/`v-html`; ошибки не отдают стек/секреты; PII — не в логах/URL/скриншотах.
+
+**Загрузки:** whitelist расширений и MIME, лимит размера, случайные имена; вне webroot или безопасная отдача; не-изображения — `Content-Disposition: attachment`; изображения перекодировать; запрет path traversal и архивов-бомб.
+
+**Секреты:** `.env`/секрет-хранилище; `.env` в `.gitignore` (`git check-ignore -v .env`); не в коде/логах/коммитах/памяти; утечка → ротация; прод — минимум прав.
+
+**Инцидент:** зафиксировать, изолировать, сменить секреты, выпустить фикс, уведомить по политике, записать в память.
+
+## 2. Куда грузить дальше
+Смежные: `code-review-checklist`, `release-and-deploy`.
+
+## 3. Гейт перед сдачей
+- [ ] OWASP-минимум пройден, проверены admin/user/guest и IDOR.
+- [ ] Ввод валидируется на сервере, вывод экранируется, опасного HTML нет.
+- [ ] Загрузки: whitelist, лимит, безопасное хранение/отдача.
+- [ ] Секретов нет в коде/логах/гите; `.env` игнорируется; аудит зависимостей.
+- [ ] Прод: debug off, cookies/headers, rate limit; PII не в логах/URL/скриншотах.