feihong-code 7.2.0 → 7.6.0

package/templates/skills/code-review/SKILL.md

@@ -0,0 +1,35 @@
+---
+name: "Code Review 代码审查"
+description: "对指定文件/改动进行系统代码审查：定位缺陷、安全问题、可维护性问题，输出分级问题清单。"
+---
+
+# Code Review 代码审查
+
+<!-- 模板占位：使用 `fhcode skill-new <name> --template code-review` 复制并定制 -->
+
+## 触发
+当用户说"审查这段代码/帮我 review / 检查这个 PR 的改动"时使用。
+
+## 执行步骤
+1. 明确审查对象（文件路径或改动范围），必要时用 git diff 获取改动
+2. 按以下维度逐项检查：
+   - 正确性：边界条件、空值、竞态、异常路径
+   - 安全：注入、敏感信息、权限、依赖风险（OWASP Top 10）
+   - 可维护性：命名、重复代码、职责划分、可测试性
+   - 性能：复杂度、不必要的重复计算、I/O 阻塞
+3. 输出分级问题清单：🔴 严重（必修）/ 🟡 建议（应修）/ 🟢 优化（可选）
+4. 每条问题给出：位置（文件:行）、问题说明、修复建议、示例代码
+
+## 输出格式
+```
+审查对象：<文件/范围>
+🔴 严重（N）…
+🟡 建议（N）…
+🟢 优化（N）…
+总体结论：…
+```
+
+## 自检与边界
+- 每条问题给出可定位的证据（文件:行或代码片段），不空泛断言
+- 分级标准固定：严重=必修/建议=应修/优化=可选，不夸大风险
+- 未覆盖范围（如未读文件）明确声明，不声称"全量审查完成"

package/templates/skills/dependency-upgrade/SKILL.md

@@ -0,0 +1,29 @@
+---
+name: "依赖升级检查"
+description: "检查依赖版本、升级风险与兼容性，生成安全升级方案。"
+---
+
+# 依赖升级检查
+
+<!-- 模板占位：使用 `fhcode skill-new <name> --template dependency-upgrade` 复制并定制 -->
+
+## 触发
+当用户说"升级依赖/检查过时包/依赖有漏洞"时使用。
+
+## 执行步骤
+1. 现状盘点：package.json 依赖清单 + 版本范围
+2. 检查：npm outdated / npm audit / osv-scanner 结果
+3. 升级分级：
+   - patch：直接升（低风险）
+   - minor：读 changelog，关注破坏性变更
+   - major：大版本，检查 breaking changes + 迁移指南
+4. 每项升级：当前 → 目标版本、风险、影响面、验证方式
+5. 输出分阶段升级顺序（先安全补丁，后大版本）
+
+## 输出格式
+依赖升级清单（含风险与验证）+ 建议顺序。
+
+## 自检与边界
+- 只给出建议命令，不代替用户实际执行升级
+- 版本号必须来自 package.json / 官方 changelog，禁止编造版本
+- 大版本升级必须附迁移要点；未实际验证前标注"待验证"

package/templates/skills/doc-gen/SKILL.md

@@ -0,0 +1,29 @@
+---
+name: "代码文档生成"
+description: "为代码生成文档：模块说明、函数注释、README、CHANGELOG。"
+---
+
+# 代码文档生成
+
+<!-- 模板占位：使用 `fhcode skill-new <name> --template doc-gen` 复制并定制 -->
+
+## 触发
+当用户说"给这段代码写文档/生成 README/补注释"时使用。
+
+## 执行步骤
+1. 读代码，理解模块职责、公开 API、数据流
+2. 生成内容：
+   - 模块级：职责、使用场景、依赖
+   - 函数级：参数、返回、异常、示例（JSDoc 风格）
+   - 文档风格与项目一致（中文/英文）
+3. 注释只解释"为什么"，不逐行翻译代码
+4. README：一句话定位 + 快速开始 + 配置 + 示例 + FAQ
+5. CHANGELOG：按 Conventional Commits 归类
+
+## 输出格式
+按需交付：API 文档 / README / CHANGELOG 片段。
+
+## 自检与边界
+- 不编造不存在的 API/参数/行为；不确定处标注"待确认"
+- 注释只解释"为什么"，不逐行翻译代码
+- 文档与实现不一致时以代码为准并提示差异

package/templates/skills/git-flow/SKILL.md

@@ -0,0 +1,26 @@
+---
+name: "Git Flow 流程助手"
+description: "Git 提交规范、分支管理、rebase/合并、冲突解决的操作指引。"
+---
+
+# Git Flow 流程助手
+
+<!-- 模板占位：使用 `fhcode skill-new <name> --template git-flow` 复制并定制 -->
+
+## 触发
+当用户涉及 commit / branch / rebase / merge / 冲突解决 / 回滚时使用。
+
+## 执行步骤
+1. 先查看当前状态：git status / git log --oneline -5 / git branch
+2. 提交规范：conventional commits（feat/fix/docs/style/refactor/perf/test/chore），正文说明为什么
+3. 分支操作：新功能用 feat/<name>，修复用 fix/<name>，完成后合并回主分支
+4. rebase 冲突：git rebase --continue 前先解决冲突文件，git add 后继续
+5. 回滚：区分 revert（保留历史）与 reset（丢弃历史），谨慎操作
+
+## 输出格式
+给出可直接执行的命令序列 + 每步说明 + 风险提示。
+
+## 自检与边界
+- 不擅自执行 git reset --hard / force push 等破坏性命令，只给命令并附风险警告
+- 回滚建议区分 revert（保留历史）与 reset（丢弃历史），说明影响面
+- 先 git status 确认当前状态再给操作序列，命令必须与实际状态一致

package/templates/skills/onboarding/SKILL.md

@@ -0,0 +1,27 @@
+---
+name: "新项目上手导读"
+description: "快速理解陌生代码库：架构、目录、入口、构建运行、关键模块。"
+---
+
+# 新项目上手导读
+
+<!-- 模板占位：使用 `fhcode skill-new <name> --template onboarding` 复制并定制 -->
+
+## 触发
+当用户说"这个项目怎么跑/看不懂这个仓库/帮我熟悉代码"时使用。
+
+## 执行步骤
+1. 快速扫描：README、package.json（scripts/deps）、目录结构、配置文件
+2. 产出仓库地图：
+   - 技术栈与运行方式（npm scripts / docker / env）
+   - 目录职责（src 分层、入口、测试）
+   - 核心数据流/请求链路（入口 → 路由 → 业务 → 存储）
+3. 标记关键文件与重要模块（含行号）
+4. 给出"从哪开始读"的路径建议 + 常见任务操作指南（加接口/加页面）
+
+## 输出格式
+仓库导读：技术栈 / 运行 / 目录地图 / 数据流 / 关键文件 / 上手路径。
+
+## 自检与边界
+- 不编造架构信息：所有结论来自实际文件阅读，注明来源文件
+- 未探查到的模块标注"未探查"，不猜测职责

package/templates/skills/performance/SKILL.md

@@ -0,0 +1,29 @@
+---
+name: "性能优化分析"
+description: "定位性能瓶颈并给出优化方案：复杂度、I/O、缓存、并发。"
+---
+
+# 性能优化分析
+
+<!-- 模板占位：使用 `fhcode skill-new <name> --template performance` 复制并定制 -->
+
+## 触发
+当用户说"太慢了/性能问题/优化下速度/内存泄漏"时使用。
+
+## 执行步骤
+1. 先量化：不要凭空优化，指出如何测量（benchmark、profile、日志耗时）
+2. 常见瓶颈排查：
+   - 算法复杂度（O(n²)→O(n log n)）
+   - 重复计算/循环内 I/O
+   - 无缓存/缓存失效策略
+   - 阻塞（同步 I/O、串行请求可并行化）
+   - 内存：大对象、未释放引用、流式处理
+3. 给出：瓶颈定位 → 量化方法 → 优化方案 → 预期收益 → 验证方法
+
+## 输出格式
+瓶颈分析表 + 优化前后对比 + 收益预估。
+
+## 自检与边界
+- 优化建议需给出量化方法（如耗时/内存测量），不凭感觉断言瓶颈
+- 收益预估需注明假设与测量前提，标注"估算"
+- 不为了性能牺牲正确性/可读性，权衡需说明

package/templates/skills/refactor/SKILL.md

@@ -0,0 +1,28 @@
+---
+name: "代码重构建议"
+description: "对既有代码提出可落地的重构方案：保持行为不变的前提下提升可读性、可维护性与性能。"
+---
+
+# 代码重构建议
+
+<!-- 模板占位：使用 `fhcode skill-new <name> --template refactor` 复制并定制 -->
+
+## 触发
+当用户说"这段代码太乱/帮我重构/优化下结构"时使用。
+
+## 执行步骤
+1. 先理解行为：读代码，确定输入输出契约（先写/确认测试覆盖）
+2. 识别坏味道：长函数、重复代码、过度嵌套、魔法数字、职责混乱
+3. 给出重构方案（保持行为不变）：
+   - 提取函数/类、消除重复、简化条件、引入常量/枚举
+   - 每步说明"为什么安全"（有测试兜底）
+4. 提供重构前/后代码对比
+5. 强调：重构 ≠ 加功能，逐步小步提交，每步跑测试
+
+## 输出格式
+问题 → 方案 → 重构前后对比 → 验证方式。
+
+## 自检与边界
+- 不改变行为：重构建议必须配套测试验证，未覆盖路径明确提示
+- 不编造测试结果，验证需实际运行
+- 重构 ≠ 加功能，小步提交，每步跑测试

package/templates/skills/security-audit/SKILL.md

@@ -0,0 +1,28 @@
+---
+name: "安全审计（OWASP）"
+description: "对代码进行安全审计：OWASP Top 10、敏感信息、依赖漏洞、注入风险。"
+---
+
+# 安全审计（OWASP）
+
+<!-- 模板占位：使用 `fhcode skill-new <name> --template security-audit` 复制并定制 -->
+
+## 触发
+当用户说"安全审计/检查安全问题/有没有漏洞"时使用。
+
+## 执行步骤
+1. 静态扫描面：
+   - 注入：SQL/命令/路径/XSS（拼接用户输入处重点）
+   - 敏感信息：密钥/令牌/个人数据是否落库、日志、响应
+   - 认证授权：越权访问、弱校验、会话管理
+   - 依赖：npm audit / osv-scanner 结果解读
+2. 逐项给出：位置、漏洞类型（映射 OWASP Top 10）、风险等级、修复代码
+3. 输出修复优先级：P0（立即修）/ P1（近期）/ P2（规划）
+
+## 输出格式
+审计报告：发现清单（位置+类型+等级+修复方案）+ 优先级 + 未发现项声明（限定检查范围）。
+
+## 自检与边界
+- 只报告已确认的问题，不夸大；每项标注证据位置
+- 敏感信息不得在输出中明文展示完整密钥/令牌（脱敏展示）
+- 明确声明未检查范围，不声称"全库无漏洞"

package/templates/skills/test-gen/SKILL.md

@@ -0,0 +1,30 @@
+---
+name: "单元测试生成"
+description: "为指定函数/模块生成高质量单元测试：覆盖正常/边界/异常路径。"
+---
+
+# 单元测试生成
+
+<!-- 模板占位：使用 `fhcode skill-new <name> --template test-gen` 复制并定制 -->
+
+## 触发
+当用户说"帮这个函数写测试/补测试/覆盖率太低"时使用。
+
+## 执行步骤
+1. 读目标函数/模块，理解输入输出与依赖
+2. 设计测试用例矩阵：
+   - 正常路径（典型输入）
+   - 边界（空、极值、0、超大、类型边界）
+   - 异常（非法输入、依赖抛错、超时）
+   - 纯函数优先测，外部依赖用 mock/stub
+3. 按项目测试框架（node:test / jest / vitest）生成
+4. 用例命名规范：should_<行为>_when_<条件>
+5. 给出运行命令，确认可通过
+
+## 输出格式
+测试代码 + 用例矩阵说明 + 运行结果。
+
+## 自检与边界
+- 测试代码必须可运行：先跑通再交付，不交付未验证用例
+- 不编造测试结果，运行输出需真实
+- 外部依赖用 mock/stub，不依赖真实网络/数据库（除非明确要求集成测试）

package/docs/DEPLOYMENT.md

@@ -1,382 +0,0 @@
-# 飞虹 Code CI/CD 部署指南
-
-> 晋江市飞虹智科技企业管理有限公司 · 飞扬企源研发中心 · 负责人：吴赐虹
-
-## 目录
-
-1. [CI 持续集成](#1-ci-持续集成)
-2. [CD 持续部署](#2-cd-持续部署)
-3. [Docker 部署](#3-docker-部署)
-4. [Node.js 直接部署](#4-nodejs-直接部署)
-5. [环境变量配置](#5-环境变量配置)
-6. [生产环境最佳实践](#6-生产环境最佳实践)
-
----
-
-## 1. CI 持续集成
-
-### 1.1 工作流概览
-
-项目已配置完整的 CI 工作流（`.github/workflows/ci.yml`），包含 4 个并行 Job：
-
-| Job | 说明 | 触发条件 |
-|---|---|---|
-| **build** | 多 Node 版本构建 + 离线冒烟测试 | 每次 push/PR |
-| **enterprise** | M4 企业能力验证（RBAC/审计/多租户/配额） | 每次 push/PR |
-| **security** | 供应链安全 + 密钥扫描 + npm audit | 每次 push/PR |
-| **docker** | Docker 镜像构建校验 + 容器冒烟 | 每次 push/PR |
-
-### 1.2 触发条件
-
-```yaml
-on:
-  push:
-    branches: [master, main]
-  pull_request:
-  workflow_dispatch:  # 手动触发
-```
-
-### 1.3 离线安全设计
-
-CI 全程离线运行，不使用任何 API Key / Secrets：
-
-```yaml
-env:
-  FH_OFFLINE: 'true'
-  FH_PROVIDERS: '[]'
-```
-
-- PR 来自 fork 也能安全跑完
-- 不消耗任何模型 API 额度
-- 所有测试基于本地规则引擎
-
-### 1.4 质量门禁
-
-CI 通过以下检查才能合并：
-
-- ✅ TypeScript 类型检查（`npm run typecheck`）
-- ✅ 项目构建（`npm run build`）
-- ✅ CLI 可用性验证
-- ✅ 离线端到端闭环测试
-- ✅ 企业能力断言（RBAC/审计链/租户隔离/配额）
-- ✅ 发布包安全检查（无密钥/无源码）
-- ✅ 仓库密钥扫描
-- ✅ Docker 镜像构建 + 容器冒烟
-
----
-
-## 2. CD 持续部署
-
-### 2.1 发布工作流
-
-项目配置了自动发布工作流（`.github/workflows/release.yml`），包含 5 个阶段：
-
-| 阶段 | 说明 |
-|---|---|
-| **version** | 准备版本号（从 tag 或手动输入） |
-| **build** | 构建 + 测试 + 上传产物 |
-| **npm-publish** | 发布到 npm registry |
-| **docker-publish** | 构建并推送 Docker 镜像 |
-| **github-release** | 创建 GitHub Release + 变更日志 |
-
-### 2.2 触发方式
-
-**方式一：推送标签（推荐）**
-
-```bash
-# 创建并推送标签
-git tag v1.0.0
-git push origin v1.0.0
-```
-
-**方式二：手动触发**
-
-在 GitHub Actions 页面选择 "Release" 工作流，点击 "Run workflow"，输入版本号（如 `1.0.0`、`patch`、`minor`、`major`）。
-
-### 2.3 所需 Secrets
-
-在 GitHub 仓库 Settings → Secrets and variables → Actions 中配置：
-
-| Secret | 说明 | 获取方式 |
-|---|---|---|
-| `NPM_TOKEN` | npm 发布令牌 | npmjs.com → Access Tokens → Generate New Token |
-| `DOCKERHUB_USERNAME` | Docker Hub 用户名 | hub.docker.com 注册账号 |
-| `DOCKERHUB_TOKEN` | Docker Hub 访问令牌 | Docker Hub → Account Settings → Security |
-
-> `GH_TOKEN` 由 GitHub 自动注入，无需手动配置。
-
-### 2.4 发布产物
-
-每次发布会生成：
-
-1. **npm 包**：`feihong-code@<version>`
-   ```bash
-   npm install -g feihong-code
-   ```
-
-2. **Docker 镜像**：`<username>/feihong-code:<version>` 和 `:latest`
-   ```bash
-   docker pull <username>/feihong-code:latest
-   ```
-
-3. **GitHub Release**：包含变更日志和安装说明
-
----
-
-## 3. Docker 部署
-
-### 3.1 快速启动
-
-```bash
-# 克隆项目
-git clone <repo-url> feihong-code
-cd feihong-code
-
-# 使用 docker-compose 启动
-FH_WEB_TOKEN=$(openssl rand -hex 32) docker compose up -d
-
-# 查看服务状态
-docker compose ps
-
-# 查看日志
-docker compose logs -f
-```
-
-### 3.2 docker-compose.yml 说明
-
-```yaml
-services:
-  fhcode:
-    build: .
-    image: feihong-code:0.1.0
-    container_name: fhcode
-    ports:
-      - "8080:8080"
-    environment:
-      - FH_HOME=/data/fhcode
-      - FH_WEB_PORT=8080
-      - FH_WEB_TOKEN=${FH_WEB_TOKEN:-change-me-in-production}
-      - FH_ENTERPRISE=true
-    volumes:
-      - fhcode-data:/data/fhcode
-    restart: unless-stopped
-```
-
-### 3.3 使用预构建镜像
-
-```bash
-# 拉取官方镜像
-docker pull <username>/feihong-code:latest
-
-# 运行容器
-docker run -d \
-  --name fhcode \
-  --restart unless-stopped \
-  -p 8080:8080 \
-  -e FH_WEB_TOKEN=your-secret-token \
-  -e FH_ENTERPRISE=true \
-  -v fhcode-data:/data/fhcode \
-  <username>/feihong-code:latest
-```
-
-### 3.4 数据持久化
-
-- 容器内数据目录：`/data/fhcode`（对应 `FH_HOME`）
-- Docker 命名卷：`fhcode-data`
-- 包含：会话记录、审计链、租户数据、团队配置
-
-备份数据：
-
-```bash
-docker run --rm -v fhcode-data:/data -v $(pwd):/backup alpine \
-  tar czf /backup/fhcode-backup-$(date +%Y%m%d).tar.gz -C /data fhcode
-```
-
----
-
-## 4. Node.js 直接部署
-
-### 4.1 环境要求
-
-- Node.js >= 18
-- npm >= 9
-- （推荐）pm2 进程管理器
-
-### 4.2 安装与启动
-
-```bash
-# 克隆项目
-git clone <repo-url> feihong-code
-cd feihong-code
-
-# 安装依赖
-npm install --production
-
-# 构建
-npm run build
-
-# 方式一：使用 pm2（推荐）
-npm install -g pm2
-FH_WEB_TOKEN=your-secret-token pm2 start dist/cli/index.js --name fhcode -- serve --port 8080
-pm2 save
-pm2 startup  # 开机自启
-
-# 方式二：直接运行
-FH_WEB_TOKEN=your-secret-token node dist/cli/index.js serve --port 8080
-```
-
-### 4.3 pm2 常用命令
-
-```bash
-pm2 status          # 查看状态
-pm2 logs fhcode     # 查看日志
-pm2 restart fhcode  # 重启
-pm2 stop fhcode     # 停止
-pm2 delete fhcode   # 删除
-```
-
----
-
-## 5. 环境变量配置
-
-### 5.1 核心配置
-
-| 变量 | 默认值 | 说明 |
-|---|---|---|
-| `FH_HOME` | `~/.feihong-code` | 数据目录（会话/审计/租户） |
-| `FH_WEB_PORT` | `8080` | Web 服务端口 |
-| `FH_WEB_TOKEN` | （空） | Web 访问令牌（生产环境必填） |
-| `FH_ENTERPRISE` | `true` | 启用企业级 RBAC/审计 |
-
-### 5.2 企业级配置
-
-| 变量 | 说明 |
-|---|---|
-| `FH_TENANT` | 租户 ID（多租户隔离） |
-| `FH_USER` | 当前用户 ID |
-| `FH_ROLE` | 用户角色（owner/admin/developer/viewer） |
-| `FH_TENANT_BUDGET_USD` | 租户日成本预算上限 |
-
-### 5.3 模型配置
-
-| 变量 | 说明 |
-|---|---|
-| `FH_PROVIDERS` | 模型提供商配置（JSON 数组） |
-| `FH_OFFLINE` | 离线模式（不调用外部 API） |
-
----
-
-## 6. 生产环境最佳实践
-
-### 6.1 安全配置
-
-```bash
-# 1. 使用强随机令牌
-export FH_WEB_TOKEN=$(openssl rand -hex 32)
-
-# 2. 启用企业模式
-export FH_ENTERPRISE=true
-
-# 3. 配置租户隔离
-export FH_TENANT=production-tenant
-export FH_USER=admin
-export FH_ROLE=owner
-
-# 4. 设置成本预算
-export FH_TENANT_BUDGET_USD=50
-```
-
-### 6.2 反向代理（Nginx）
-
-```nginx
-server {
-    listen 80;
-    server_name fhcode.your-domain.com;
-
-    location / {
-        proxy_pass http://127.0.0.1:8080;
-        proxy_http_version 1.1;
-        proxy_set_header Upgrade $http_upgrade;
-        proxy_set_header Connection 'upgrade';
-        proxy_set_header Host $host;
-        proxy_set_header X-Real-IP $remote_addr;
-        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
-        proxy_set_header X-Forwarded-Proto $scheme;
-        proxy_cache_bypass $http_upgrade;
-    }
-}
-```
-
-### 6.3 HTTPS 配置（Let's Encrypt）
-
-```bash
-# 安装 certbot
-sudo apt install certbot python3-certbot-nginx
-
-# 获取证书
-sudo certbot --nginx -d fhcode.your-domain.com
-
-# 自动续期（已内置）
-sudo certbot renew --dry-run
-```
-
-### 6.4 监控与告警
-
-```bash
-# 健康检查
-curl -H "Authorization: Bearer $TOKEN" http://localhost:8080/api/health
-
-# Docker 健康检查
-docker inspect --format='{{.State.Health.Status}}' fhcode
-```
-
-### 6.5 备份策略
-
-```bash
-# 每日备份（添加到 crontab）
-0 2 * * * /path/to/feihong-code/deploy.sh --backup
-
-# 保留最近 30 天
-find /path/to/backups -name "backup-*.tar.gz" -mtime +30 -delete
-```
-
-### 6.6 升级流程
-
-```bash
-# 1. 备份数据
-./deploy.sh --backup
-
-# 2. 拉取最新代码并重新部署
-./deploy.sh --update
-
-# 3. 验证服务
-curl -H "Authorization: Bearer $TOKEN" http://localhost:8080/api/health
-
-# 4. 查看日志确认无异常
-./deploy.sh --logs
-```
-
----
-
-## 附录：一键部署脚本
-
-项目提供 `deploy.sh` 一键部署脚本，支持 Docker 和 Node.js 两种方式：
-
-```bash
-# 部署服务
-./deploy.sh
-
-# 更新并重新部署
-./deploy.sh --update
-
-# 停止服务
-./deploy.sh --stop
-
-# 查看日志
-./deploy.sh --logs
-
-# 备份数据
-./deploy.sh --backup
-```
-
-脚本会自动检测 Docker 是否可用，优先使用 Docker 部署；如不可用则回退到 Node.js 直接部署。