flower-trellis 0.4.10 → 0.4.12-beta.0

package/README.md

@@ -131,22 +131,33 @@ flower-trellis self-check --json --target .
 - **本地一致性检查**:每次启动都会比对当前安装的 `flower-trellis` / 捆绑 Trellis 版本与项目 `.trellis/.flower-manifest.json` / `.trellis/.version`;不受 `intervalHours` 限制。
 - **远程版本探测**:访问 npm registry 读取 `flower-trellis` dist-tags;受 `intervalHours` 节流,带超时,失败静默。
 
-策略和缓存统一保存在 `.trellis/.flower-manifest.json` 的 `updateCheck`:
+策略保存在 `.trellis/.flower-manifest.json` 的 `updateCheck`;运行缓存保存在 gitignored 的 `.trellis/.flower-update-check.tmp`,避免 `lastCheckedAt` 等字段反复污染 git。
+
+manifest 中只保留用户策略:
 
 ```json
 {
   "updateCheck": {
     "enabled": true,
     "policy": "ask",
-    "intervalHours": 8,
+    "intervalHours": 8
+  }
+}
+```
+
+tmp 中保存本地运行缓存:
+
+```json
+{
     "lastCheckedAt": "2026-07-07T00:00:00.000Z",
     "lastRemote": { "latest": "0.4.2", "beta": null },
     "lastStatus": "update_available",
     "lastErrorCode": null
-  }
 }
 ```
 
+旧项目如果已经在 manifest 的 `updateCheck` 里带有缓存字段,新版本会先读取兼容,并在下一次写入时清理这些旧字段。
+
 `policy` 可选:
 
 | policy | 行为 |
@@ -213,6 +224,10 @@ flower banner → 平台多选菜单 → Trellis 原生交互(模板 / monorepo
   npm i -g flower-trellis@latest && flower-trellis update
   ```
 
+- **通用技能**:`flower-trellis update` 会用新版快照覆盖仓库中已经启用的 common skill,
+  未启用项不会自动安装;若某个已安装 common skill 已从新版快照移除,更新会精确删除其
+  `.codex/skills` / `.claude/skills` 或历史 `.agents/skills` 副本。
+
 ## 开发
 
 skill-garden 强化包源以 **git submodule** 形式挂在 `vendor/skill-garden`,克隆时需一并拉取:

package/enhancements/0.6/.agents/skills/trellis-auto-loop/SKILL.md

@@ -15,6 +15,7 @@ description: "启动、恢复和推进 Trellis 自动任务循环。用于用户
 - run 进入 `blocked` 后不要用 `start --force` 新建 run 来纠正参数；先补齐缺失 route/context，然后用 `retry-blocked` 在同一个 run 内恢复。
 - runner 默认输出是紧凑 JSON，只包含当前 action、队列计数、简短 blocked/pending/completed 列表和最近少量决策摘要；排障时才给 `status` / `resume` / `next` / `record` / `retry-blocked` 加 `--verbose` 读取完整 item、blocked detail 和 decision data。
 - 默认 profile 是 `commit-only`：自动推进到本地 commit，不 push、不发布、不归档。
+- 普通 `trellis-push` 默认 commit + push 不改变 auto-loop 的授权边界；auto-loop 始终只走专用 commit-only 预授权，不得因普通流程文案而推送远端。
 - 多任务只按用户显式给出的任务顺序执行；同一 worktree 不并发。
 - 启动 runner 前先完成 route 准备度判断：已有当前任务 runtime route 决策或个人 `.trellis/.route-prefs.tmp` 时可启动；没有时先进入 `trellis-route` 正常询问 / fallback，写入真实决策后再启动。
 - auto-loop 不默认写 `route_authorization`；只有用户本次明确给出的临时 route 策略，才能通过 `--route-implement` / `--route-check` 传给 runner，且不能当成模型真实执行结果。

package/enhancements/0.6/.agents/skills/trellis-check-all/SKILL.md

@@ -298,6 +298,20 @@ git log --oneline -10
 
 ---
 
+## Post-check 停止边界
+
+汇总报告输出后立即停止，等待用户继续。普通流程的本轮输出只允许包含：
+
+- 各检查维度的状态与问题数
+- 已执行的验证命令和结果
+- 未覆盖的环境验证或剩余风险
+- 总体结论
+- 下一步指向现有 Phase 3.3，再到 Phase 3.4 `trellis-push`
+
+本轮禁止出现 commit message、`Proposed commits`、拟提交/暂存文件、commit-only 决策或“回复 `ok` 执行提交”。这些内容属于后续 Phase 3.4，并且只能由 `trellis-push` 生成。运行中的 auto-loop 仍按 runner 的 `record` + `next` 规则继续，不受普通 post-check stop 影响。
+
+---
+
 ## 修复问题（需用户确认）
 
 如果发现问题，**先展示报告，获得用户确认后再修复**。
@@ -340,3 +354,4 @@ git log --oneline -10
 - ❌ 委派给子 agent 跑各 Step（见执行模式段）
 - ❌ Complex 任务下只对照 PRD，忽略 `design.md` / `implement.md`（三层都要查）
 - ❌ 把 `implement.md` 的 validation commands 真跑算到 Step 1（Step 1 是静态对照；真跑归 Step 3 或用户执行）
+- ❌ 汇总报告后自行草拟 commit message / `Proposed commits` / 文件提交计划，或要求用户回复 `ok` 提交

package/enhancements/0.6/.agents/skills/trellis-push/SKILL.md

@@ -6,7 +6,7 @@ description: "提交并推送配置仓库，可选合并到目标分支，并同
 
 一键完成 commit → push → 可选 merge 到目标分支 → 写入任务进度快照 → 输出结果。
 
-核心原则：**先计划、一次确认、后执行**。在任何 `git add`、`git commit`、`git push`、`git merge` 之前，必须先展示完整执行计划，并获得用户确认。
+核心原则：**唯一入口、先计划、一次确认、后执行**。Phase 3.4 的 commit message、文件范围和 Git 动作只能由本 skill 生成与执行；其他 skill 或主 agent 自行草拟的 `Proposed commits` 不是合法替代。在任何 `git add`、`git commit`、`git push`、`git merge` 之前，必须先展示执行计划，并获得用户确认。
 
 例外：当 `trellis-auto-loop` 已显式以 `profile=commit-only` 启动，且 runner 当前有 `outstanding_action.action=commit_only` 时，用户启动 auto-loop 本身就是本次 run 内任务相关本地提交的预授权。此时仍必须由 AI 生成并自检提交计划，但可跳过二次聊天确认；计划只允许 commit-only、不 push/merge/release/archive，并在成功后把 commit hash 回写 runner。预检不安全时只标记当前 auto-loop item blocked/skipped，后续队列仍可继续。
 
@@ -58,7 +58,7 @@ Step 6  输出结果
 
 | 语义 | 说明 | 用户怎么说 |
 |------|------|-----------|
-| 默认 | 自动检测所有有变更的仓库并处理 | `/trellis-push` |
+| 默认 | 自动检测所有有变更的仓库，commit 后 push 当前分支；merge 仍仅按已确认配置执行 | `/trellis-push` |
 | commit-only | 只 commit 不 push，跳过 push / merge | `只提交不推` / `commit-only` |
 | 指定仓库 | 只处理指定仓库 | `只 push 前端` / `push frontend` |
 | 重新配置 | 本次允许重新指定 merge 目标，并回写 `merge_target` | `重新配置 push 目标分支` / `reconfigure push` |
@@ -104,12 +104,14 @@ python3 ./.trellis/scripts/task.py current
 python3 ./.trellis/scripts/push_snapshot.py status --json
 ```
 
-- **无活动任务**（命令退出码非 0 或输出为空）：在计划中标记 `snapshot: 跳过（无活动任务）`。
+- **无活动任务**（命令退出码非 0 或输出为空）：在计划顶部标记“无活动任务”，并显示 `Spec review: 跳过`、`Snapshot: 跳过`、`Bookkeeping: 跳过`。只有当前会话能明确归属的文件可进入 planned files；其他 dirty 文件全部视为未识别并默认排除，用户明确指定范围后才重新生成计划。
 - **有活动任务**：解析输出拿到 task 路径（形如 `.trellis/tasks/MM-DD-name/`），并读取下列内容：
   - `<task_dir>/implement.md`（如有）— 步骤清单，AI 推断进度的主依据
   - `push_snapshot.py status --json` 的 `snapshot` / `summary`（如有）— 上次推送时的进度基线；若返回 `no-snapshot` / `no-current-task`，按无上次 snapshot 继续
   - `<task_dir>/task.json` 的 `base_branch` 字段 — 用于 `git log <base_branch>..HEAD` 圈定本任务 commit 范围
 
+普通活动任务进入本 skill 时，应已有现有 Phase 3.3 的最近结论。计划中显示 `Spec review: 无需更新` 或已更新的 spec 文件；如果当前上下文无法确认 Phase 3.3 结论，不要猜测，返回现有 Phase 3.3 流程后再重新进入本 skill。auto-loop 的 `run_spec_update` 结果按 runner 当前 action/context 读取。
+
 ---
 
 ## Step 1: 预检并收集仓库状态
@@ -138,6 +140,7 @@ git log <base_branch>..HEAD --oneline
 - 有未合并状态、rebase 状态或 merge 冲突残留：立即停止，展示状态；不要继续生成执行计划。
 - 当前分支为空、detached HEAD、或无法确认分支：停止并说明原因。
 - dirty 文件必须按来源分组：**AI 本轮编辑** 与 **未识别 dirty 文件**。未识别 dirty 文件默认不纳入提交计划。
+- 无活动任务时，不能因为“仓库里都是 dirty”就把它们视为当前工作；无法从当前会话操作证据归属的文件全部进入未识别 dirty 分组。
 - 如果父仓（含 `.trellis/` 的仓库）后续要写 snapshot，先记录父仓当前 `git status --porcelain`，供 Step 5 判断：
   - 是否存在未合并 / 冲突状态；
   - 是否存在与本次 bookkeeping 无关的 staged 文件；
@@ -163,12 +166,26 @@ git log <base_branch>..HEAD --oneline
 - push 计划（默认 / commit-only / 已有 upstream / 需要 `-u`）
 - merge 计划（跳过 / 合并到配置目标 / 合并到临时目标 / 重新配置后回写）
 
+计划内部必须始终保留 exact planned files 和 exact retained/unrecognized files。紧凑排版只改变对话展示，不改变执行时的精确 `git add <files>` 集合。
+
 commit message 生成规则：
 
 - 读取最近 5 条 commit 参考风格。
 - 类型前缀使用 `feat` / `fix` / `docs` / `chore` / `refactor` 等。
 - 简短描述变更内容。
 - 默认使用中文描述，除非项目历史明显使用英文。
+- 用户明确提供 commit message 时优先使用；除非该内容无法作为 Git message 使用，否则不要擅自改写。
+
+### 2.1.1 紧凑展示规则
+
+- 顶部先显示 mode、仓库数、独立 commit 数、planned file 总数、风险数和执行顺序。
+- 每个仓库按 commit message → branch/upstream → diff stat → 文件摘要 → push/merge 动作的顺序展示。
+- 单仓 planned files 不超过 8 个：逐项完整展示。
+- 单仓 planned files 超过 8 个：按目录归组，文件摘要区最多 12 行，并提示可回复 `展开文件`；展开时必须展示同一份 exact planned files，不能重新猜测范围。
+- 未识别 dirty、已 staged、冲突、跨任务文件和其他风险文件始终逐项完整展示，不受 8 文件 / 12 行限制。
+- 空分组直接省略；风险为零时只在顶部显示一次，不重复输出多行“无”。
+- Spec review、最近验证结果、snapshot 和 bookkeeping 各压缩为一行；失败、部分完成或需要决策时才展开详情。没有可靠的最近验证结果时写“未提供”，不要猜测。
+- 多仓库逐仓独立生成 commit message 和 Git 动作，但普通模式只确认一次。任务级 Spec review、snapshot 和父仓 bookkeeping 放在所有业务仓库之后。
 
 ### 2.2 生成 snapshot 草案
 
@@ -181,7 +198,7 @@ commit message 生成规则：
 - 上次 `last_push_snapshot`（如有）
 - 本次业务提交计划中的变更内容
 
-计划中展示：
+计划内部保留以下完整 snapshot 字段：
 
 ```markdown
 任务进度快照计划：
@@ -217,51 +234,56 @@ commit message 生成规则：
 
 > `pushed_commits`、`snapshot_at`、实际 branch / commit hash 是运行后字段。用户确认的是 snapshot 的语义内容和写入动作；执行成功后由 AI 按实际结果补齐。
 
+对话计划只展示 snapshot 的语义摘要，例如“完成 Step 1-3，下一步 Step 5”；不要默认铺开完整 JSON。用户要求展开 snapshot 时再展示完整字段。
+
 `push_mode` 记录本轮确认的模式。默认实际 push 模式写 `"push"`；commit-only 写 `"commit-only"`；snapshot-only 写 `"snapshot-only"`；指定仓库、reconfigure 或临时目标可写对应模式名。
 
 commit-only 模式下，字段名仍保持 `pushed_commits` 以兼容恢复逻辑；值记录本次生成的本地 commit hash，`push_mode` 写 `"commit-only"`，并在 `notes` 中注明“commit-only：本地已提交，未推送”。
 
 ### 2.3 展示确认模板
 
-使用以下格式向用户展示完整计划：
+使用以下格式向用户展示计划：
 
 ```markdown
-## trellis-push 执行计划
+## Trellis Push 计划
+
+[<PUSH / COMMIT-ONLY / SNAPSHOT>] <N> 个仓库 · <N> 个 commit · <N> 个文件 · 风险 <N>
+[无活动任务时追加：无活动任务]
+顺序：<repo-a> -> <repo-b> -> <任务记录，若有>
 
-模式：<默认 / commit-only / snapshot-only / 指定仓库 / reconfigure / 临时目标>
+### 1. <package>
 
-### 业务仓库
+`<type>(<scope>): <description>`
 
-1. <package> (`<path>`)
-   - 分支：<current_branch> -> <upstream 或 origin/current_branch>
-   - AI 本轮编辑，拟提交：
-     - <file-a>
-     - <file-b>
-   - 未识别 dirty，默认不提交：
-     - <unknown-file 或 无>
-   - 用户要求纳入的未识别文件：
-     - <file 或 无>
-   - commit message：`<type>(<scope>): <description>`
-   - push：<执行 / 跳过（commit-only）>
-   - merge：<跳过 / 合并到 target / 临时合并到 target / 重新配置为 target>
+分支：`<current_branch>` -> `<upstream 或 origin/current_branch>`
+变更：<N> 个文件 · `+<adds> -<deletes>`
 
-### 任务快照
+<不超过 8 个时逐项列出；超过 8 个时按目录归组，最多 12 行，并提示“回复 `展开文件` 查看精确列表”>
 
-- <跳过原因，或 snapshot 草案>
+Push：<执行 / 跳过（commit-only）>
+Merge：<仅计划中需要时显示>
 
-### 父仓 bookkeeping
+### 风险（仅风险数大于 0 时显示）
 
-- <跳过原因，或仅提交 `<task_dir>/task.json`>
-- 无关未暂存 dirty：<list 或 无>（保留未提交，不阻塞 snapshot commit）
-- 无关 staged / 冲突 / 目标文件预脏：<list 或 无>（有则停止，需处理后重新计划）
+- <所有未识别 dirty / staged / conflict / cross-task 文件逐项列出>
 
-确认后将按上述计划执行。回复 `ok` / `行` / `确认` 执行；回复 `skip snapshot` 跳过快照；回复修改意见则先更新计划；回复 `manual` / `我自己来` 则停止。
+### 任务上下文
+
+Spec review：<无需更新 / 已更新 <spec 文件> / 跳过（无活动任务）>
+验证：<最近可靠汇总 / 未提供>
+Snapshot：<语义摘要 / 跳过（无活动任务）>
+Bookkeeping：<计划摘要 / 跳过（无活动任务）>
+
+执行：<commit -> push -> 可选 merge -> snapshot/bookkeeping>
+
+确认执行请回复 `确认`。可调整：`只提交`、`修改 message`、`展开文件`、`跳过 snapshot`、`manual`。
 ```
 
 确认规则：
 
 - 用户确认前不得暂存。
 - 用户修改 commit message、merge 目标或 snapshot 草案时，更新计划并重新展示确认。
+- 用户请求 `展开文件` 时只展开当前计划的 exact planned files，不改变计划，也不视为执行确认。
 - 用户要求纳入未识别 dirty 文件时，必须明确列出这些文件后重新确认。
 - 用户拒绝文件范围或选择手动处理时，立即停止，不执行任何 git 写操作。
 
@@ -431,19 +453,24 @@ git remote -v | grep -E "^origin\s+"
 
 ## Step 6: 输出结果
 
-使用结果表汇总：
+结果复用计划的视觉顺序，先给总览，再逐仓报告实际 commit/push，最后报告任务记录与保留文件：
 
 ```markdown
-## Push 结果
+## Trellis Push 结果
+
+[完成 / 部分完成] <N> 个仓库 · <N> 个 commit
+
+### 1. <package>
+
+`<short-hash> <actual commit message>`
+分支：`<branch>` -> `<upstream>`
+状态：<已推送 / 仅本地提交 / 已合并 / 失败>
 
-| 仓库 | 分支 | 目标 | commit | 状态 |
-|------|------|------|--------|------|
-| frontend | v1.3 | test | abc1234 feat(...): ... | 已合并 |
-| backend | v1.3 | - | def5678 fix(...): ... | 已推送，跳过合并 |
+### 任务上下文
 
-任务进度快照：已写入 `<task_dir>/task.json`，完成 Step 1-3，下一步 Step 5。
-父仓同步：已提交并推送 `chore(task): update <task_name> push snapshot`。
-父仓存在未暂存 dirty 时补充：这些文件已保留未暂存，未纳入 snapshot commit：<list>
+Snapshot：<已写入摘要 / 跳过>
+Bookkeeping：<commit/push 摘要 / 跳过>
+保留未提交：<无则省略；有则逐项列出>
 ```
 
 如果部分仓库已成功、后续失败，必须明确列出：
@@ -474,6 +501,9 @@ git remote -v | grep -E "^origin\s+"
 - ❌ `git add -A` 或 `git add .`
 - ❌ 把未识别 dirty 文件静默纳入提交
 - ❌ commit message 未展示给用户就提交
+- ❌ 在 `trellis-push` 外把 check 报告改造成 `Proposed commits`，或自行选择 commit-only
+- ❌ planned files 超过 8 个时无限铺开普通文件，或折叠任何风险文件
+- ❌ 无活动任务时把无法证明来源的 dirty 文件默认纳入计划
 - ❌ push 后临时追问 merge，而不是在计划中提前确认
 - ❌ snapshot 语义内容未确认就写入 task.json
 - ❌ 父仓 snapshot commit 混入业务代码提交

package/enhancements/0.6/.claude/skills/trellis-auto-loop/SKILL.md

@@ -15,6 +15,7 @@ description: "启动、恢复和推进 Trellis 自动任务循环。用于用户
 - run 进入 `blocked` 后不要用 `start --force` 新建 run 来纠正参数；先补齐缺失 route/context，然后用 `retry-blocked` 在同一个 run 内恢复。
 - runner 默认输出是紧凑 JSON，只包含当前 action、队列计数、简短 blocked/pending/completed 列表和最近少量决策摘要；排障时才给 `status` / `resume` / `next` / `record` / `retry-blocked` 加 `--verbose` 读取完整 item、blocked detail 和 decision data。
 - 默认 profile 是 `commit-only`：自动推进到本地 commit，不 push、不发布、不归档。
+- 普通 `trellis-push` 默认 commit + push 不改变 auto-loop 的授权边界；auto-loop 始终只走专用 commit-only 预授权，不得因普通流程文案而推送远端。
 - 多任务只按用户显式给出的任务顺序执行；同一 worktree 不并发。
 - 启动 runner 前先完成 route 准备度判断：已有当前任务 runtime route 决策或个人 `.trellis/.route-prefs.tmp` 时可启动；没有时先进入 `trellis-route` 正常询问 / fallback，写入真实决策后再启动。
 - auto-loop 不默认写 `route_authorization`；只有用户本次明确给出的临时 route 策略，才能通过 `--route-implement` / `--route-check` 传给 runner，且不能当成模型真实执行结果。

package/enhancements/0.6/.claude/skills/trellis-check-all/SKILL.md

@@ -298,6 +298,20 @@ git log --oneline -10
 
 ---
 
+## Post-check 停止边界
+
+汇总报告输出后立即停止，等待用户继续。普通流程的本轮输出只允许包含：
+
+- 各检查维度的状态与问题数
+- 已执行的验证命令和结果
+- 未覆盖的环境验证或剩余风险
+- 总体结论
+- 下一步指向现有 Phase 3.3，再到 Phase 3.4 `trellis-push`
+
+本轮禁止出现 commit message、`Proposed commits`、拟提交/暂存文件、commit-only 决策或“回复 `ok` 执行提交”。这些内容属于后续 Phase 3.4，并且只能由 `trellis-push` 生成。运行中的 auto-loop 仍按 runner 的 `record` + `next` 规则继续，不受普通 post-check stop 影响。
+
+---
+
 ## 修复问题（需用户确认）
 
 如果发现问题，**先展示报告，获得用户确认后再修复**。
@@ -340,3 +354,4 @@ git log --oneline -10
 - ❌ 委派给子 agent 跑各 Step（见执行模式段）
 - ❌ Complex 任务下只对照 PRD，忽略 `design.md` / `implement.md`（三层都要查）
 - ❌ 把 `implement.md` 的 validation commands 真跑算到 Step 1（Step 1 是静态对照；真跑归 Step 3 或用户执行）
+- ❌ 汇总报告后自行草拟 commit message / `Proposed commits` / 文件提交计划，或要求用户回复 `ok` 提交

package/enhancements/0.6/.claude/skills/trellis-push/SKILL.md

@@ -6,7 +6,7 @@ description: "提交并推送配置仓库，可选合并到目标分支，并同
 
 一键完成 commit → push → 可选 merge 到目标分支 → 写入任务进度快照 → 输出结果。
 
-核心原则：**先计划、一次确认、后执行**。在任何 `git add`、`git commit`、`git push`、`git merge` 之前，必须先展示完整执行计划，并获得用户确认。
+核心原则：**唯一入口、先计划、一次确认、后执行**。Phase 3.4 的 commit message、文件范围和 Git 动作只能由本 skill 生成与执行；其他 skill 或主 agent 自行草拟的 `Proposed commits` 不是合法替代。在任何 `git add`、`git commit`、`git push`、`git merge` 之前，必须先展示执行计划，并获得用户确认。
 
 例外：当 `trellis-auto-loop` 已显式以 `profile=commit-only` 启动，且 runner 当前有 `outstanding_action.action=commit_only` 时，用户启动 auto-loop 本身就是本次 run 内任务相关本地提交的预授权。此时仍必须由 AI 生成并自检提交计划，但可跳过二次聊天确认；计划只允许 commit-only、不 push/merge/release/archive，并在成功后把 commit hash 回写 runner。预检不安全时只标记当前 auto-loop item blocked/skipped，后续队列仍可继续。
 
@@ -58,7 +58,7 @@ Step 6  输出结果
 
 | 语义 | 说明 | 用户怎么说 |
 |------|------|-----------|
-| 默认 | 自动检测所有有变更的仓库并处理 | `/trellis-push` |
+| 默认 | 自动检测所有有变更的仓库，commit 后 push 当前分支；merge 仍仅按已确认配置执行 | `/trellis-push` |
 | commit-only | 只 commit 不 push，跳过 push / merge | `只提交不推` / `commit-only` |
 | 指定仓库 | 只处理指定仓库 | `只 push 前端` / `push frontend` |
 | 重新配置 | 本次允许重新指定 merge 目标，并回写 `merge_target` | `重新配置 push 目标分支` / `reconfigure push` |
@@ -104,12 +104,14 @@ python3 ./.trellis/scripts/task.py current
 python3 ./.trellis/scripts/push_snapshot.py status --json
 ```
 
-- **无活动任务**（命令退出码非 0 或输出为空）：在计划中标记 `snapshot: 跳过（无活动任务）`。
+- **无活动任务**（命令退出码非 0 或输出为空）：在计划顶部标记“无活动任务”，并显示 `Spec review: 跳过`、`Snapshot: 跳过`、`Bookkeeping: 跳过`。只有当前会话能明确归属的文件可进入 planned files；其他 dirty 文件全部视为未识别并默认排除，用户明确指定范围后才重新生成计划。
 - **有活动任务**：解析输出拿到 task 路径（形如 `.trellis/tasks/MM-DD-name/`），并读取下列内容：
   - `<task_dir>/implement.md`（如有）— 步骤清单，AI 推断进度的主依据
   - `push_snapshot.py status --json` 的 `snapshot` / `summary`（如有）— 上次推送时的进度基线；若返回 `no-snapshot` / `no-current-task`，按无上次 snapshot 继续
   - `<task_dir>/task.json` 的 `base_branch` 字段 — 用于 `git log <base_branch>..HEAD` 圈定本任务 commit 范围
 
+普通活动任务进入本 skill 时，应已有现有 Phase 3.3 的最近结论。计划中显示 `Spec review: 无需更新` 或已更新的 spec 文件；如果当前上下文无法确认 Phase 3.3 结论，不要猜测，返回现有 Phase 3.3 流程后再重新进入本 skill。auto-loop 的 `run_spec_update` 结果按 runner 当前 action/context 读取。
+
 ---
 
 ## Step 1: 预检并收集仓库状态
@@ -138,6 +140,7 @@ git log <base_branch>..HEAD --oneline
 - 有未合并状态、rebase 状态或 merge 冲突残留：立即停止，展示状态；不要继续生成执行计划。
 - 当前分支为空、detached HEAD、或无法确认分支：停止并说明原因。
 - dirty 文件必须按来源分组：**AI 本轮编辑** 与 **未识别 dirty 文件**。未识别 dirty 文件默认不纳入提交计划。
+- 无活动任务时，不能因为“仓库里都是 dirty”就把它们视为当前工作；无法从当前会话操作证据归属的文件全部进入未识别 dirty 分组。
 - 如果父仓（含 `.trellis/` 的仓库）后续要写 snapshot，先记录父仓当前 `git status --porcelain`，供 Step 5 判断：
   - 是否存在未合并 / 冲突状态；
   - 是否存在与本次 bookkeeping 无关的 staged 文件；
@@ -163,12 +166,26 @@ git log <base_branch>..HEAD --oneline
 - push 计划（默认 / commit-only / 已有 upstream / 需要 `-u`）
 - merge 计划（跳过 / 合并到配置目标 / 合并到临时目标 / 重新配置后回写）
 
+计划内部必须始终保留 exact planned files 和 exact retained/unrecognized files。紧凑排版只改变对话展示，不改变执行时的精确 `git add <files>` 集合。
+
 commit message 生成规则：
 
 - 读取最近 5 条 commit 参考风格。
 - 类型前缀使用 `feat` / `fix` / `docs` / `chore` / `refactor` 等。
 - 简短描述变更内容。
 - 默认使用中文描述，除非项目历史明显使用英文。
+- 用户明确提供 commit message 时优先使用；除非该内容无法作为 Git message 使用，否则不要擅自改写。
+
+### 2.1.1 紧凑展示规则
+
+- 顶部先显示 mode、仓库数、独立 commit 数、planned file 总数、风险数和执行顺序。
+- 每个仓库按 commit message → branch/upstream → diff stat → 文件摘要 → push/merge 动作的顺序展示。
+- 单仓 planned files 不超过 8 个：逐项完整展示。
+- 单仓 planned files 超过 8 个：按目录归组，文件摘要区最多 12 行，并提示可回复 `展开文件`；展开时必须展示同一份 exact planned files，不能重新猜测范围。
+- 未识别 dirty、已 staged、冲突、跨任务文件和其他风险文件始终逐项完整展示，不受 8 文件 / 12 行限制。
+- 空分组直接省略；风险为零时只在顶部显示一次，不重复输出多行“无”。
+- Spec review、最近验证结果、snapshot 和 bookkeeping 各压缩为一行；失败、部分完成或需要决策时才展开详情。没有可靠的最近验证结果时写“未提供”，不要猜测。
+- 多仓库逐仓独立生成 commit message 和 Git 动作，但普通模式只确认一次。任务级 Spec review、snapshot 和父仓 bookkeeping 放在所有业务仓库之后。
 
 ### 2.2 生成 snapshot 草案
 
@@ -181,7 +198,7 @@ commit message 生成规则：
 - 上次 `last_push_snapshot`（如有）
 - 本次业务提交计划中的变更内容
 
-计划中展示：
+计划内部保留以下完整 snapshot 字段：
 
 ```markdown
 任务进度快照计划：
@@ -217,51 +234,56 @@ commit message 生成规则：
 
 > `pushed_commits`、`snapshot_at`、实际 branch / commit hash 是运行后字段。用户确认的是 snapshot 的语义内容和写入动作；执行成功后由 AI 按实际结果补齐。
 
+对话计划只展示 snapshot 的语义摘要，例如“完成 Step 1-3，下一步 Step 5”；不要默认铺开完整 JSON。用户要求展开 snapshot 时再展示完整字段。
+
 `push_mode` 记录本轮确认的模式。默认实际 push 模式写 `"push"`；commit-only 写 `"commit-only"`；snapshot-only 写 `"snapshot-only"`；指定仓库、reconfigure 或临时目标可写对应模式名。
 
 commit-only 模式下，字段名仍保持 `pushed_commits` 以兼容恢复逻辑；值记录本次生成的本地 commit hash，`push_mode` 写 `"commit-only"`，并在 `notes` 中注明“commit-only：本地已提交，未推送”。
 
 ### 2.3 展示确认模板
 
-使用以下格式向用户展示完整计划：
+使用以下格式向用户展示计划：
 
 ```markdown
-## trellis-push 执行计划
+## Trellis Push 计划
+
+[<PUSH / COMMIT-ONLY / SNAPSHOT>] <N> 个仓库 · <N> 个 commit · <N> 个文件 · 风险 <N>
+[无活动任务时追加：无活动任务]
+顺序：<repo-a> -> <repo-b> -> <任务记录，若有>
 
-模式：<默认 / commit-only / snapshot-only / 指定仓库 / reconfigure / 临时目标>
+### 1. <package>
 
-### 业务仓库
+`<type>(<scope>): <description>`
 
-1. <package> (`<path>`)
-   - 分支：<current_branch> -> <upstream 或 origin/current_branch>
-   - AI 本轮编辑，拟提交：
-     - <file-a>
-     - <file-b>
-   - 未识别 dirty，默认不提交：
-     - <unknown-file 或 无>
-   - 用户要求纳入的未识别文件：
-     - <file 或 无>
-   - commit message：`<type>(<scope>): <description>`
-   - push：<执行 / 跳过（commit-only）>
-   - merge：<跳过 / 合并到 target / 临时合并到 target / 重新配置为 target>
+分支：`<current_branch>` -> `<upstream 或 origin/current_branch>`
+变更：<N> 个文件 · `+<adds> -<deletes>`
 
-### 任务快照
+<不超过 8 个时逐项列出；超过 8 个时按目录归组，最多 12 行，并提示“回复 `展开文件` 查看精确列表”>
 
-- <跳过原因，或 snapshot 草案>
+Push：<执行 / 跳过（commit-only）>
+Merge：<仅计划中需要时显示>
 
-### 父仓 bookkeeping
+### 风险（仅风险数大于 0 时显示）
 
-- <跳过原因，或仅提交 `<task_dir>/task.json`>
-- 无关未暂存 dirty：<list 或 无>（保留未提交，不阻塞 snapshot commit）
-- 无关 staged / 冲突 / 目标文件预脏：<list 或 无>（有则停止，需处理后重新计划）
+- <所有未识别 dirty / staged / conflict / cross-task 文件逐项列出>
 
-确认后将按上述计划执行。回复 `ok` / `行` / `确认` 执行；回复 `skip snapshot` 跳过快照；回复修改意见则先更新计划；回复 `manual` / `我自己来` 则停止。
+### 任务上下文
+
+Spec review：<无需更新 / 已更新 <spec 文件> / 跳过（无活动任务）>
+验证：<最近可靠汇总 / 未提供>
+Snapshot：<语义摘要 / 跳过（无活动任务）>
+Bookkeeping：<计划摘要 / 跳过（无活动任务）>
+
+执行：<commit -> push -> 可选 merge -> snapshot/bookkeeping>
+
+确认执行请回复 `确认`。可调整：`只提交`、`修改 message`、`展开文件`、`跳过 snapshot`、`manual`。
 ```
 
 确认规则：
 
 - 用户确认前不得暂存。
 - 用户修改 commit message、merge 目标或 snapshot 草案时，更新计划并重新展示确认。
+- 用户请求 `展开文件` 时只展开当前计划的 exact planned files，不改变计划，也不视为执行确认。
 - 用户要求纳入未识别 dirty 文件时，必须明确列出这些文件后重新确认。
 - 用户拒绝文件范围或选择手动处理时，立即停止，不执行任何 git 写操作。
 
@@ -431,19 +453,24 @@ git remote -v | grep -E "^origin\s+"
 
 ## Step 6: 输出结果
 
-使用结果表汇总：
+结果复用计划的视觉顺序，先给总览，再逐仓报告实际 commit/push，最后报告任务记录与保留文件：
 
 ```markdown
-## Push 结果
+## Trellis Push 结果
+
+[完成 / 部分完成] <N> 个仓库 · <N> 个 commit
+
+### 1. <package>
+
+`<short-hash> <actual commit message>`
+分支：`<branch>` -> `<upstream>`
+状态：<已推送 / 仅本地提交 / 已合并 / 失败>
 
-| 仓库 | 分支 | 目标 | commit | 状态 |
-|------|------|------|--------|------|
-| frontend | v1.3 | test | abc1234 feat(...): ... | 已合并 |
-| backend | v1.3 | - | def5678 fix(...): ... | 已推送，跳过合并 |
+### 任务上下文
 
-任务进度快照：已写入 `<task_dir>/task.json`，完成 Step 1-3，下一步 Step 5。
-父仓同步：已提交并推送 `chore(task): update <task_name> push snapshot`。
-父仓存在未暂存 dirty 时补充：这些文件已保留未暂存，未纳入 snapshot commit：<list>
+Snapshot：<已写入摘要 / 跳过>
+Bookkeeping：<commit/push 摘要 / 跳过>
+保留未提交：<无则省略；有则逐项列出>
 ```
 
 如果部分仓库已成功、后续失败，必须明确列出：
@@ -474,6 +501,9 @@ git remote -v | grep -E "^origin\s+"
 - ❌ `git add -A` 或 `git add .`
 - ❌ 把未识别 dirty 文件静默纳入提交
 - ❌ commit message 未展示给用户就提交
+- ❌ 在 `trellis-push` 外把 check 报告改造成 `Proposed commits`，或自行选择 commit-only
+- ❌ planned files 超过 8 个时无限铺开普通文件，或折叠任何风险文件
+- ❌ 无活动任务时把无法证明来源的 dirty 文件默认纳入计划
 - ❌ push 后临时追问 merge，而不是在计划中提前确认
 - ❌ snapshot 语义内容未确认就写入 task.json
 - ❌ 父仓 snapshot commit 混入业务代码提交

package/enhancements/0.6/overrides/workflow-states/in_progress-inline.md

@@ -7,8 +7,9 @@ At project-local knowledge boundaries, run `python3 ./.trellis/scripts/spec_rout
 Inline workflow-state is not an inline route decision. Phase 2.1/2.2 must reuse explicit target-matched `route_decision`; otherwise invoke `trellis-route`. If unavailable, read local `trellis-route/SKILL.md`, show numbered choices, and wait.
 Summaries, preferences, `codex-mode`, raw `.runtime`, and empty/stale prefs are not route evidence unless `trellis-route` validates them; user reselect/override wins.
 Ignore lower direct-edit/check shortcuts. Do not default inline just because this state is inline or helper is unavailable. Dispatch subagents only when route selected subagent.
-After `trellis-check` / `trellis-check-all`, stop and report; point the user to Phase 3.4 `trellis-push` (or commit-only when needed). Do not run `/trellis:finish-work` unless the user explicitly asks after Phase 3.4 is complete.
+After `trellis-check` / `trellis-check-all`, stop and report only check results, validations, residual risks, conclusion, and next steps; do not draft commit messages/files or ask for commit confirmation. Point the user to the existing Phase 3.3 flow and then Phase 3.4 `trellis-push`. Do not run `/trellis:finish-work` unless the user explicitly asks after Phase 3.4 is complete.
 This guard overrides any lower `Flow: ... -> /trellis:finish-work` line in this state block.
-At Phase 3.4, code commit/push goes through `trellis-push` (commit-only mode for commit-without-push); never bare `git commit`/`git push` on code (hub: Code Commit Confirmation Gate).
+At Phase 3.4, load `trellis-push`; ordinary mode defaults to commit + push, and commit-only requires explicit user intent or valid auto-loop preauthorization. Never synthesize a substitute commit plan or run bare `git commit`/`git push` on code (hub: Code Commit Confirmation Gate).
+This guard fully disables the lower Phase 3.4 `Proposed commits` / local-only / no-push walkthrough; do not reuse any part of it.
 Push snapshot recovery: follow the hub; use `push_snapshot.py status --json` only when needed.
 <!-- END skill-garden workflow-state in_progress_inline v0.6 -->

package/enhancements/0.6/overrides/workflow-states/in_progress.md

@@ -7,8 +7,9 @@ At project-local knowledge boundaries, run `python3 ./.trellis/scripts/spec_rout
 Phase 2.1/2.2: reuse only explicit target-matched `route_decision`; otherwise invoke `trellis-route`. If skill invocation is unavailable, read local `trellis-route/SKILL.md`, show numbered choices, and wait.
 Summaries, preferences, `codex-mode`, raw `.runtime`, and empty/stale prefs are not route evidence unless `trellis-route` validates them; user reselect/override wins.
 Ignore lower direct-dispatch shortcuts. Do not spawn `trellis-implement` or `trellis-check*` unless route selected subagent. If route cannot be resolved, do not default inline.
-After `trellis-check` / `trellis-check-all`, stop and report; point the user to Phase 3.4 `trellis-push` (or commit-only when needed). Do not run `/trellis:finish-work` unless the user explicitly asks after Phase 3.4 is complete.
+After `trellis-check` / `trellis-check-all`, stop and report only check results, validations, residual risks, conclusion, and next steps; do not draft commit messages/files or ask for commit confirmation. Point the user to the existing Phase 3.3 flow and then Phase 3.4 `trellis-push`. Do not run `/trellis:finish-work` unless the user explicitly asks after Phase 3.4 is complete.
 This guard overrides any lower `Flow: ... -> /trellis:finish-work` line in this state block.
-At Phase 3.4, code commit/push goes through `trellis-push` (commit-only mode for commit-without-push); never bare `git commit`/`git push` on code (hub: Code Commit Confirmation Gate).
+At Phase 3.4, load `trellis-push`; ordinary mode defaults to commit + push, and commit-only requires explicit user intent or valid auto-loop preauthorization. Never synthesize a substitute commit plan or run bare `git commit`/`git push` on code (hub: Code Commit Confirmation Gate).
+This guard fully disables the lower Phase 3.4 `Proposed commits` / local-only / no-push walkthrough; do not reuse any part of it.
 Push snapshot recovery: follow the hub; use `push_snapshot.py status --json` only when needed.
 <!-- END skill-garden workflow-state in_progress v0.6 -->

package/enhancements/0.6/overrides/workflow.md

@@ -84,13 +84,19 @@ At Phase 2.1/2.2, this gate overrides lower "Active Task Routing" rows that say
 
 After `trellis-check` or `trellis-check-all` finishes, stop and report the result. If checks pass, the next allowed workflow steps are Phase 3.3 `trellis-update-spec` and Phase 3.4 `trellis-push`/commit confirmation (commit-only when needed); do not archive the task or imply it is ready to wrap up solely because checks passed. `/trellis:finish-work` is explicit-only: run it only after Phase 3.4 is complete and the user asks to wrap up, archive, or finish the task.
 
+The ordinary post-check report may contain only check dimensions/results, executed validations, residual risks, the conclusion, and the next-step pointer. It must not draft a commit message, show `Proposed commits` or planned/staged files, choose commit-only, ask the user to reply `ok` to commit, or perform Phase 3.3/3.4 work. Stop after the report and wait for the user to continue.
+
 During a running `trellis-auto-loop`, the runner's `record` + `next` replaces the post-check stop gate: after a check pass, record the result, then continue to spec update / commit-only according to `.trellis/scripts/auto_loop.py`. Outside auto-loop, keep the normal stop gate.
 
 #### Code Commit Confirmation Gate
 
 Code commit/push belongs only to Phase 3.4 and must go through `trellis-push`; the main session must not run bare `git commit` / `git push` for code.
 
-`trellis-push` confirmation must show both the exact file list to stage and the drafted commit message. Before the user approves that concrete list + message, do not `git add`, commit, or push; never use `git add -A` / `git add .`.
+Entering Phase 3.4 means loading and following `trellis-push`; drafting a commit message or a file plan outside that skill is not an equivalent substitute. Ordinary `trellis-push` defaults to commit + push. Use commit-only only when the user explicitly asks for commit without push, or when a running auto-loop satisfies the dedicated commit-only preauthorization gate.
+
+This gate fully supersedes the lower Phase 3.4 walkthrough that drafts `Proposed commits`, runs local commits directly, or says never to push. Under skill-garden, treat that lower walkthrough as inactive; do not mix any of its plan, confirmation, or execution steps with `trellis-push`.
+
+`trellis-push` confirmation must be backed by an exact file set and include the drafted commit message. For each repository, display all planned files when there are at most 8; above 8, group the ordinary planned files by directory in at most 12 file-summary lines and offer `展开文件` to show the same exact set. Unrecognized dirty, staged, conflicted, cross-task, and other risk files must always be shown individually and never folded. Before the user approves that concrete scope + message, do not `git add`, commit, or push; never use `git add -A` / `git add .`.
 
 For "commit now, push later", use `trellis-push` commit-only mode; the later push still goes through `trellis-push`. `session_auto_commit` never authorizes code commits; it only affects bookkeeping commits below.
 

package/enhancements/MANIFEST.json

@@ -1,7 +1,7 @@
 {
-  "syncedAt": "2026-07-08T03:53:14.101Z",
+  "syncedAt": "2026-07-13T10:24:09.928Z",
   "syncedFrom": "vendor/skill-garden",
-  "sourceCommit": "6ecfb1b46320d82aeb3e83442235f271d92aa398",
+  "sourceCommit": "a020128baca91d8f704ec2b7ab24e9d7719fb113",
   "common": {
     "codexSkills": [
       "craft-rpa",
@@ -16,6 +16,9 @@
       "humanize-writing",
       "open-idea",
       "torrent-analyze"
+    ],
+    "removedSkills": [
+      "sub2api-account-json-fix"
     ]
   },
   "variants": {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "flower-trellis",
-  "version": "0.4.10",
+  "version": "0.4.12-beta.0",
   "description": "一键安装/升级 Trellis 并自动融合 skill-garden 强化包(默认 Claude + agents)",
   "type": "module",
   "bin": {
@@ -58,9 +58,9 @@
     "commit-and-tag-version": "^12.7.3"
   },
   "flowerReleaseNotes": {
-    "version": "0.4.10",
+    "version": "0.4.12-beta.0",
     "source": "CHANGELOG.md",
-    "body": "### 🐛 修复 Bug Fixes\n\n* **flower:** 项目侧待更新提示会显示对应版本更新摘要 ([cc98c02](https://github.com/SilentFlower/flower-trellis/commit/cc98c021eb0536f693f50651854093a4795d9e93))",
+    "body": "### ✨ 新功能 Features\n\n* **skill:** 优化 Trellis 提交与推送流程 ([4359607](https://github.com/SilentFlower/flower-trellis/commit/4359607156502e378ef83302105ca9f0e4f0f1ac))\n* **skill:** 自动同步已启用的 common skill ([8b36bc7](https://github.com/SilentFlower/flower-trellis/commit/8b36bc7d24e76dd8973c35378e7bb6d9c8a60ff3))",
     "truncated": false
   }
 }

package/src/commands/update-check.js

@@ -4,6 +4,7 @@ import {
   manifestPath,
   readManifest,
   readUpdateCheck,
+  updateCheckCachePath,
   writeUpdateCheck,
 } from "../lib/manifest.js";
 
@@ -24,7 +25,7 @@ function assertTrellisProject(target) {
 }
 
 /**
- * flower-trellis update-check:管理 manifest 内的启动更新检查策略。
+ * flower-trellis update-check:管理启动更新检查策略,并展示本地运行缓存。
  *
  * @param {object} ctx 见 cli.js 的 parse()
  */
@@ -35,9 +36,14 @@ export async function updateCheck(ctx) {
 
   if (action === "get") {
     const manifest = readManifest(ctx.target);
+    const cachePath = updateCheckCachePath(ctx.target);
     console.log(`manifest: ${manifestPath(ctx.target)}`);
+    console.log(`cache: ${cachePath}`);
     console.log(JSON.stringify(readUpdateCheck(ctx.target), null, 2));
     if (!manifest) console.log("  · manifest 不存在,当前显示默认策略");
+    if (!fs.existsSync(cachePath)) {
+      console.log("  · cache 不存在,当前显示默认或旧 manifest 兼容缓存");
+    }
     return;
   }
 

package/src/lib/apply-enhancements.js

@@ -12,6 +12,7 @@ import { readManifest, writeManifest } from "./manifest.js";
 import { flowerVersion } from "./versions.js";
 import { rmrf } from "./fs-utils.js";
 import { resolveEnhancementSnapshot } from "./enhancement-catalog.js";
+import { syncInstalledCommonSkills } from "./skill-catalog.js";
 
 /** 清理升级后可能变空的强化目录(深 → 浅)。 */
 function pruneEmptyDirs(target) {
@@ -80,11 +81,27 @@ export function applyEnhancements(target, opts = {}) {
     `  ✓ 铺设 ${installed.length} 个强化项 → ${where.join(" + ") || "(无平台目录)"}`,
   );
 
+  let commonPaths = [];
+  if (skills.length === 0) {
+    const common = syncInstalledCommonSkills(target);
+    commonPaths = common.refreshedPaths;
+    if (common.refreshed.length > 0 || common.removed.length > 0) {
+      console.log(
+        `  ✓ common skill 已同步:刷新 ${common.refreshed.length} 个,` +
+          `清理 ${common.removed.length} 个`,
+      );
+    } else {
+      console.log("  · 未发现已启用或待清理的 common skill");
+    }
+  }
+
   // 升级清理 + manifest(仅全装时维护)
   if (skills.length === 0) {
     const old = readManifest(target);
     if (old && Array.isArray(old.paths)) {
-      const keep = new Set(newPaths);
+      // 历史版本可能把后来迁入 common 的 skill 记在 paths 中。本轮已确认仍启用的
+      // common 路径只用于阻止旧 manifest 误删；新 manifest 仍不接管这些可选技能。
+      const keep = new Set([...newPaths, ...commonPaths]);
       const stale = old.paths.filter((p) => !keep.has(p));
       let removed = 0;
       for (const rel of stale) {

package/src/lib/manifest.js

@@ -11,17 +11,56 @@ import path from "node:path";
  * 放在 .trellis/ 下,随项目的 Trellis 生命周期存在(uninstall 删 .trellis 时一并消失)。
  */
 const MANIFEST_REL = path.join(".trellis", ".flower-manifest.json");
+const UPDATE_CHECK_CACHE_REL = path.join(".trellis", ".flower-update-check.tmp");
 const UPDATE_POLICIES = new Set(["off", "notify", "ask", "auto"]);
-const DEFAULT_UPDATE_CHECK = {
+const UPDATE_CHECK_POLICY_KEYS = new Set(["enabled", "policy", "intervalHours"]);
+const UPDATE_CHECK_CACHE_KEYS = new Set([
+  "lastCheckedAt",
+  "lastRemote",
+  "lastReleaseNotes",
+  "lastStatus",
+  "lastErrorCode",
+]);
+const DEFAULT_UPDATE_CHECK_POLICY = {
   enabled: true,
   policy: "ask",
   intervalHours: 8,
+};
+const DEFAULT_UPDATE_CHECK_CACHE = {
   lastCheckedAt: null,
   lastRemote: null,
   lastReleaseNotes: null,
   lastStatus: null,
   lastErrorCode: null,
 };
+const DEFAULT_UPDATE_CHECK = {
+  ...DEFAULT_UPDATE_CHECK_POLICY,
+  ...DEFAULT_UPDATE_CHECK_CACHE,
+};
+
+/** 判断值是否为普通对象。 */
+function isPlainObject(value) {
+  return Boolean(value && typeof value === "object" && !Array.isArray(value));
+}
+
+/** 判断对象是否显式包含给定字段。 */
+function hasAnyOwn(value, keys) {
+  if (!isPlainObject(value)) return false;
+  for (const key of keys) {
+    if (Object.prototype.hasOwnProperty.call(value, key)) return true;
+  }
+  return false;
+}
+
+/** 从对象里取出指定字段。 */
+function pickOwn(value, keys) {
+  const raw = isPlainObject(value) ? value : {};
+  const picked = {};
+  for (const key of keys) {
+    if (Object.prototype.hasOwnProperty.call(raw, key)) picked[key] = raw[key];
+  }
+  return picked;
+}
 
 /**
  * 归一化 release notes 范围字段。
@@ -73,12 +112,126 @@ function normalizeLastReleaseNotes(value) {
   };
 }
 
-/** manifest 文件的绝对路径。 */
+/**
+ * 归一化远端 dist-tags 缓存。
+ *
+ * @param {object|null|undefined} value 原始 lastRemote 字段
+ * @returns {{latest:string|null,beta:string|null}|null} 归一化后的 dist-tags
+ */
+function normalizeLastRemote(value) {
+  return value && typeof value === "object"
+    ? {
+        latest: typeof value.latest === "string" ? value.latest : null,
+        beta: typeof value.beta === "string" ? value.beta : null,
+      }
+    : null;
+}
+
+/**
+ * 归一化启动更新检查策略字段。
+ *
+ * @param {object|null|undefined} value 原始 updateCheck 字段
+ * @returns {{enabled:boolean,policy:string,intervalHours:number}} 归一化后的策略
+ */
+function normalizeUpdateCheckPolicy(value) {
+  const raw = value && typeof value === "object" ? value : {};
+  const policy = UPDATE_POLICIES.has(raw.policy) ? raw.policy : DEFAULT_UPDATE_CHECK.policy;
+  const interval = Number(raw.intervalHours);
+  const intervalHours = Number.isFinite(interval) && interval >= 0
+    ? interval
+    : DEFAULT_UPDATE_CHECK.intervalHours;
+  return {
+    enabled: typeof raw.enabled === "boolean" ? raw.enabled : DEFAULT_UPDATE_CHECK.enabled,
+    policy,
+    intervalHours,
+  };
+}
+
+/**
+ * 归一化启动更新检查运行缓存字段。
+ *
+ * @param {object|null|undefined} value 原始缓存字段
+ * @returns {{lastCheckedAt:string|null,lastRemote:object|null,lastReleaseNotes:object|null,lastStatus:string|null,lastErrorCode:string|null}} 归一化后的缓存
+ */
+function normalizeUpdateCheckCache(value) {
+  const raw = value && typeof value === "object" ? value : {};
+  return {
+    lastCheckedAt: typeof raw.lastCheckedAt === "string" ? raw.lastCheckedAt : null,
+    lastRemote: normalizeLastRemote(raw.lastRemote),
+    lastReleaseNotes: normalizeLastReleaseNotes(raw.lastReleaseNotes),
+    lastStatus: typeof raw.lastStatus === "string" ? raw.lastStatus : null,
+    lastErrorCode: typeof raw.lastErrorCode === "string" ? raw.lastErrorCode : null,
+  };
+}
+
+/** 读取 tmp 内的 updateCheck 运行缓存;不存在或损坏时返回 null。 */
+function readUpdateCheckCacheFile(target) {
+  try {
+    return normalizeUpdateCheckCache(
+      JSON.parse(fs.readFileSync(updateCheckCachePath(target), "utf8")),
+    );
+  } catch {
+    return null;
+  }
+}
+
+/** 判断 updateCheck 是否仍含旧版 manifest 缓存字段。 */
+function hasLegacyUpdateCheckCache(updateCheck) {
+  return hasAnyOwn(updateCheck, UPDATE_CHECK_CACHE_KEYS);
+}
+
+/**
+ * 把旧 manifest 内的缓存字段迁移到 tmp。
+ *
+ * 只在 tmp 尚不存在时迁移,避免旧 manifest 里的陈旧缓存覆盖新版本地缓存。
+ */
+function migrateLegacyUpdateCheckCache(target, updateCheck) {
+  if (!hasLegacyUpdateCheckCache(updateCheck)) return;
+  if (fs.existsSync(updateCheckCachePath(target))) return;
+  fs.writeFileSync(
+    updateCheckCachePath(target),
+    JSON.stringify(normalizeUpdateCheckCache(updateCheck), null, 2) + "\n",
+  );
+}
+
+/** 写入 tmp 内的 updateCheck 运行缓存。 */
+function writeUpdateCheckCache(target, patch, legacyUpdateCheck) {
+  const current = readUpdateCheckCacheFile(target) ||
+    normalizeUpdateCheckCache(legacyUpdateCheck);
+  const cache = normalizeUpdateCheckCache({
+    ...current,
+    ...patch,
+  });
+  fs.writeFileSync(updateCheckCachePath(target), JSON.stringify(cache, null, 2) + "\n");
+  return cache;
+}
+
+/**
+ * manifest 文件的绝对路径。
+ *
+ * @param {string} target 目标项目根
+ * @returns {string} manifest 文件绝对路径
+ */
 export function manifestPath(target) {
   return path.join(target, MANIFEST_REL);
 }
 
-/** 读取 manifest;不存在或损坏时返回 null。 */
+/**
+ * updateCheck 运行缓存 tmp 文件的绝对路径。
+ *
+ * @param {string} target 目标项目根
+ * @returns {string} updateCheck 运行缓存文件绝对路径
+ */
+export function updateCheckCachePath(target) {
+  return path.join(target, UPDATE_CHECK_CACHE_REL);
+}
+
+/**
+ * 读取 manifest;不存在或损坏时返回 null。
+ *
+ * @param {string} target 目标项目根
+ * @returns {object|null} manifest 内容
+ */
 export function readManifest(target) {
   try {
     return JSON.parse(fs.readFileSync(manifestPath(target), "utf8"));
@@ -96,55 +249,65 @@ export function readManifest(target) {
  * @returns {{enabled:boolean,policy:string,intervalHours:number,lastCheckedAt:string|null,lastRemote:object|null,lastReleaseNotes:object|null,lastStatus:string|null,lastErrorCode:string|null}} 归一化后的 updateCheck
  */
 export function normalizeUpdateCheck(value) {
-  const raw = value && typeof value === "object" ? value : {};
-  const policy = UPDATE_POLICIES.has(raw.policy) ? raw.policy : DEFAULT_UPDATE_CHECK.policy;
-  const interval = Number(raw.intervalHours);
-  const intervalHours = Number.isFinite(interval) && interval >= 0
-    ? interval
-    : DEFAULT_UPDATE_CHECK.intervalHours;
-  const lastRemote = raw.lastRemote && typeof raw.lastRemote === "object"
-    ? {
-        latest: typeof raw.lastRemote.latest === "string" ? raw.lastRemote.latest : null,
-        beta: typeof raw.lastRemote.beta === "string" ? raw.lastRemote.beta : null,
-      }
-    : null;
-
   return {
-    enabled: typeof raw.enabled === "boolean" ? raw.enabled : DEFAULT_UPDATE_CHECK.enabled,
-    policy,
-    intervalHours,
-    lastCheckedAt: typeof raw.lastCheckedAt === "string" ? raw.lastCheckedAt : null,
-    lastRemote,
-    lastReleaseNotes: normalizeLastReleaseNotes(raw.lastReleaseNotes),
-    lastStatus: typeof raw.lastStatus === "string" ? raw.lastStatus : null,
-    lastErrorCode: typeof raw.lastErrorCode === "string" ? raw.lastErrorCode : null,
+    ...normalizeUpdateCheckPolicy(value),
+    ...normalizeUpdateCheckCache(value),
   };
 }
 
 /**
- * 读取 manifest 里的启动更新检查配置。
+ * 读取启动更新检查配置。
+ *
+ * 返回 manifest 策略与 tmp 运行缓存的合并视图;tmp 不存在时兼容读取旧 manifest 缓存字段。
  *
  * @param {string} target 目标项目根
  * @returns {ReturnType<typeof normalizeUpdateCheck>} 归一化后的配置
  */
 export function readUpdateCheck(target) {
-  return normalizeUpdateCheck(readManifest(target)?.updateCheck);
+  const manifestUpdateCheck = readManifest(target)?.updateCheck;
+  return {
+    ...normalizeUpdateCheckPolicy(manifestUpdateCheck),
+    ...(
+      readUpdateCheckCacheFile(target) ||
+      // 兼容旧版本:首次写入前仍可复用 manifest 里的运行缓存。
+      normalizeUpdateCheckCache(manifestUpdateCheck)
+    ),
+  };
 }
 
 /**
- * 写入启动更新检查配置,保留 manifest 其它安装清单字段。
+ * 写入启动更新检查配置。
+ *
+ * 策略字段写入 `.flower-manifest.json`;运行缓存字段写入 `.flower-update-check.tmp`。
+ * 若旧 manifest 仍包含缓存字段,本函数会在写入时顺带清理,避免运行态继续进入 git。
  *
  * @param {string} target 目标项目根
  * @param {object} patch 要合并进 updateCheck 的字段
- * @returns {object} 写入后的 manifest
+ * @returns {object|null} 写入后的 manifest;没有 manifest 且仅写缓存时返回 null
  */
 export function writeUpdateCheck(target, patch) {
-  const current = readManifest(target) || {};
-  const updateCheck = normalizeUpdateCheck({
-    ...normalizeUpdateCheck(current.updateCheck),
-    ...(patch || {}),
-  });
-  const next = { ...current, updateCheck };
+  const current = readManifest(target);
+  const policyPatch = pickOwn(patch, UPDATE_CHECK_POLICY_KEYS);
+  const cachePatch = pickOwn(patch, UPDATE_CHECK_CACHE_KEYS);
+  const hasPolicyPatch = Object.keys(policyPatch).length > 0;
+  const hasCachePatch = Object.keys(cachePatch).length > 0;
+  const hasLegacyCache = hasLegacyUpdateCheckCache(current?.updateCheck);
+
+  if (hasCachePatch && current) {
+    writeUpdateCheckCache(target, cachePatch, current.updateCheck);
+  } else if (hasLegacyCache) {
+    migrateLegacyUpdateCheckCache(target, current.updateCheck);
+  }
+
+  if (!hasPolicyPatch && !hasLegacyCache) return current;
+
+  const next = {
+    ...(current || {}),
+    updateCheck: normalizeUpdateCheckPolicy({
+      ...normalizeUpdateCheckPolicy(current?.updateCheck),
+      ...policyPatch,
+    }),
+  };
   fs.writeFileSync(manifestPath(target), JSON.stringify(next, null, 2) + "\n");
   return next;
 }
@@ -152,7 +315,8 @@ export function writeUpdateCheck(target, patch) {
 /**
  * 写入 manifest。
  *
- * 若调用方没有显式传入 `updateCheck`,保留目标项目已有策略与缓存,避免全装重写时覆盖用户选择。
+ * 若调用方没有显式传入 `updateCheck`,保留目标项目已有策略,避免全装重写时覆盖用户选择。
+ * 运行缓存会迁移到 `.flower-update-check.tmp`,不得继续写入 manifest。
  *
  * @param {string} target 目标项目根
  * @param {object} data manifest 新内容
@@ -160,10 +324,14 @@ export function writeUpdateCheck(target, patch) {
 export function writeManifest(target, data) {
   const current = readManifest(target);
   const next = { ...data };
+  if (hasLegacyUpdateCheckCache(current?.updateCheck)) {
+    migrateLegacyUpdateCheckCache(target, current.updateCheck);
+  }
   if (Object.prototype.hasOwnProperty.call(data, "updateCheck")) {
-    next.updateCheck = normalizeUpdateCheck(data.updateCheck);
+    migrateLegacyUpdateCheckCache(target, data.updateCheck);
+    next.updateCheck = normalizeUpdateCheckPolicy(data.updateCheck);
   } else {
-    next.updateCheck = normalizeUpdateCheck(current?.updateCheck);
+    next.updateCheck = normalizeUpdateCheckPolicy(current?.updateCheck);
   }
   fs.writeFileSync(manifestPath(target), JSON.stringify(next, null, 2) + "\n");
 }

package/src/lib/skill-catalog.js

@@ -23,7 +23,12 @@ const COMMON_SKILL_DIRS = [
   },
 ];
 
-const LEGACY_COMMON_SKILL_DIRS = [".agents/skills", ".claude/skills"];
+const LEGACY_COMMON_SKILL_DIRS = [
+  {
+    source: ".common/.codex/skills",
+    target: ".agents/skills",
+  },
+];
 
 const SKILL_DESCRIPTION_OVERRIDES = {
   "analyze-task": "深度分析并细化任务",
@@ -166,6 +171,56 @@ function listCommonSnapshotNames() {
   return [...names].sort((a, b) => a.localeCompare(b));
 }
 
+/**
+ * 汇总 common skill 的 canonical 与历史目标映射。
+ *
+ * 历史 `.agents/skills` 使用 Codex 快照原地刷新，避免升级时迁移到
+ * `.codex/skills` 后产生双副本。
+ *
+ * @returns {Array<{source:string,target:string}>} common skill 目标映射
+ */
+function allCommonSkillDirs() {
+  return [...COMMON_SKILL_DIRS, ...LEGACY_COMMON_SKILL_DIRS];
+}
+
+/**
+ * 判断 manifest 中的 skill 名称能否安全拼接到固定目标目录。
+ *
+ * @param {unknown} name 待校验名称
+ * @returns {name is string} 是否为单一路径段
+ */
+function isSafeSkillName(name) {
+  return typeof name === "string" &&
+    name.length > 0 &&
+    name !== "." &&
+    name !== ".." &&
+    !name.includes("/") &&
+    !name.includes("\\");
+}
+
+/**
+ * 读取随包 manifest 中累计的已移除 common skill 名称。
+ *
+ * manifest 属于发布快照元数据，读取失败时按空列表降级，不能阻断其它强化更新。
+ *
+ * @returns {string[]} 排序去重后的 tombstone 名称
+ */
+function listRemovedCommonSkillNames() {
+  try {
+    const manifest = JSON.parse(
+      fs.readFileSync(path.join(ENHANCEMENTS_ROOT, "MANIFEST.json"), "utf8"),
+    );
+    const names = Array.isArray(manifest?.common?.removedSkills)
+      ? manifest.common.removedSkills
+      : [];
+    return [...new Set(names.filter(isSafeSkillName))].sort((a, b) =>
+      a.localeCompare(b)
+    );
+  } catch {
+    return [];
+  }
+}
+
 /**
  * 查找通用技能的源 SKILL.md。
  *
@@ -263,10 +318,9 @@ function preferredSkillDescription(name, description) {
  * @returns {boolean} 是否已安装
  */
 function isCommonSkillInstalled(target, name) {
-  return [
-    ...COMMON_SKILL_DIRS.map((dir) => dir.target),
-    ...LEGACY_COMMON_SKILL_DIRS,
-  ].some((base) => fs.existsSync(path.join(target, ...base.split("/"), name)));
+  return allCommonSkillDirs().some((dir) =>
+    fs.existsSync(path.join(target, ...dir.target.split("/"), name))
+  );
 }
 
 /**
@@ -391,6 +445,60 @@ export function installCommonSkills(target, names) {
   return { installed: [...installed], paths, skipped };
 }
 
+/**
+ * 用当前随包快照同步目标仓库中已经启用的 common skill。
+ *
+ * 当前快照只覆盖已经存在的精确目标目录，因此不会安装用户未启用的新 skill；
+ * tombstone 只删除固定 common 根目录中的历史名称，避免扫描或误删其它用户内容。
+ *
+ * @param {string} target 目标项目根目录
+ * @returns {{refreshed:string[],removed:string[],refreshedPaths:string[],removedPaths:string[]}} 同步结果
+ */
+export function syncInstalledCommonSkills(target) {
+  const refreshed = new Set();
+  const removed = new Set();
+  const refreshedPaths = [];
+  const removedPaths = [];
+  const currentNames = new Set(listCommonSnapshotNames());
+
+  for (const name of currentNames) {
+    for (const dir of allCommonSkillDirs()) {
+      const rel = `${dir.target}/${name}`;
+      const dst = path.join(target, ...dir.target.split("/"), name);
+      if (!fs.existsSync(dst)) continue;
+
+      const src = path.join(ENHANCEMENTS_ROOT, "common", dir.source, name);
+      if (!fs.existsSync(src)) continue;
+
+      copyPath(src, dst);
+      refreshed.add(name);
+      refreshedPaths.push(rel);
+    }
+  }
+
+  for (const name of listRemovedCommonSkillNames()) {
+    // 防御旧 manifest 漂移：重新进入当前快照的名称绝不能被 tombstone 删除。
+    if (currentNames.has(name)) continue;
+
+    for (const dir of allCommonSkillDirs()) {
+      const rel = `${dir.target}/${name}`;
+      const dst = path.join(target, ...dir.target.split("/"), name);
+      if (!fs.existsSync(dst)) continue;
+
+      rmrf(dst);
+      removed.add(name);
+      removedPaths.push(rel);
+    }
+  }
+
+  return {
+    refreshed: [...refreshed],
+    removed: [...removed],
+    refreshedPaths,
+    removedPaths,
+  };
+}
+
 /**
  * 停用指定通用技能,只删除通用技能清单声明过的精确 skill 路径。
  *
@@ -412,10 +520,7 @@ export function removeCommonSkills(target, variantOverride, names) {
     }
 
     let removedOne = false;
-    for (const base of [
-      ...COMMON_SKILL_DIRS.map((dir) => dir.target),
-      ...LEGACY_COMMON_SKILL_DIRS,
-    ]) {
+    for (const { target: base } of allCommonSkillDirs()) {
       const rel = `${base}/${name}`;
       const abs = path.join(target, ...base.split("/"), name);
       if (fs.existsSync(abs)) {
@@ -427,10 +532,7 @@ export function removeCommonSkills(target, variantOverride, names) {
     if (!removedOne) skipped.push(name);
   }
 
-  for (const base of [
-    ...COMMON_SKILL_DIRS.map((dir) => dir.target),
-    ...LEGACY_COMMON_SKILL_DIRS,
-  ]) {
+  for (const { target: base } of allCommonSkillDirs()) {
     const abs = path.join(target, ...base.split("/"));
     try {
       if (fs.readdirSync(abs).length === 0) fs.rmdirSync(abs);

package/src/lib/update-check.js

@@ -348,7 +348,7 @@ export function getUpdateRecommendation(current, tags) {
   return null;
 }
 
-/** 尽力而为刷新目标项目 manifest 里的远端探测缓存。 */
+/** 尽力而为刷新目标项目的远端探测缓存。 */
 function rememberRemoteTags(target, tags, status, releaseNotes = null) {
   try {
     if (!readManifest(target)) return;