mm_ai 1.0.0

package/common/work/develop/python_backend/prompt/trick.md

@@ -0,0 +1,108 @@
+# Python后端开发技巧
+
+## 1. 使用Pydantic模型做参数校验（FastAPI）
+
+**适用场景**：使用FastAPI框架时，需要自动校验请求参数。
+
+**具体做法**：定义Pydantic模型作为请求体的类型注解。
+
+**对比说明**：
+
+| 维度 | 手动校验 | Pydantic自动校验 |
+|------|---------|----------------|
+| 代码量 | 每个字段写if判断 | 声明式模型定义 |
+| 错误信息 | 需手动返回 | 自动生成清晰错误信息 |
+| 类型转换 | 需手动转换 | 自动类型转换 |
+
+**示例**：
+```python
+from pydantic import BaseModel, EmailStr
+
+class CreateUserRequest(BaseModel):
+    name: str
+    email: EmailStr
+    age: int = 18  # 默认值
+
+@app.post("/users")
+async def create_user(req: CreateUserRequest):
+    # req 已经过自动校验
+    return {"name": req.name, "email": req.email}
+```
+
+**注意事项**：Pydantic v2 性能更好，推荐使用。
+
+---
+
+## 2. 使用异步数据库驱动
+
+**适用场景**：需要处理高并发IO操作时。
+
+**具体做法**：使用异步数据库驱动（如 `databases`、`asyncpg`、`aiomysql`）配合 `async/await`。
+
+**对比说明**：
+
+| 维度 | 同步驱动 | 异步驱动 |
+|------|---------|---------|
+| 并发性能 | 阻塞等待IO | 等待IO时处理其他请求 |
+| 代码风格 | 同步代码 | async/await |
+| 框架兼容 | 需额外配置线程池 | FastAPI原生支持 |
+
+**示例**：
+```python
+from databases import Database
+
+database = Database('postgresql://user:pass@localhost/db')
+
+@app.on_event("startup")
+async def startup():
+    await database.connect()
+
+@app.get("/users")
+async def get_users():
+    query = "SELECT * FROM users"
+    return await database.fetch_all(query)
+```
+
+**注意事项**：异步驱动需要数据库连接池支持，且ORM（如SQLAlchemy）需要异步版本。
+
+---
+
+## 3. 使用依赖注入管理共享资源
+
+**适用场景**：需要共享数据库连接、配置等资源时。
+
+**具体做法**：使用FastAPI的 `Depends` 或Flask的依赖注入扩展。
+
+**示例**：
+```python
+# FastAPI依赖注入
+from fastapi import Depends, FastAPI
+
+app = FastAPI()
+
+async def get_db():
+    db = Database()
+    try:
+        await db.connect()
+        yield db
+    finally:
+        await db.disconnect()
+
+@app.get("/users")
+async def get_users(db = Depends(get_db)):
+    return await db.fetch_all("SELECT * FROM users")
+```
+
+**注意事项**：依赖注入的生命周期管理很重要，确保资源正确释放。
+
+---
+
+## 4. 常见问题速查
+
+| 问题 | 原因 | 解决方案 |
+|------|------|---------|
+| 模块导入失败 | 路径问题或循环导入 | 检查 `sys.path` 和导入顺序，使用延迟导入 |
+| 跨域错误 | 前后端域名不一致 | 使用 `CORSMiddleware` 配置允许的origin |
+| 数据库连接泄漏 | 未关闭连接 | 使用上下文管理器或依赖注入自动管理 |
+| 异步函数同步调用报错 | 在同步代码中调用了async函数 | 使用 `asyncio.run()` 或在async函数中调用 |
+| requirements版本冲突 | 依赖版本不兼容 | 使用 `pip-compile` 管理依赖版本 |

package/common/work/develop/python_backend/work.json

@@ -0,0 +1 @@
+{"name":"python_backend","description":"使用Python进行Web后端开发，包括FastAPI/Django/Flask框架、API实现和业务逻辑","type":"dynamic","group":"develop"}

package/common/work/develop/python_script/prompt/method.md

@@ -0,0 +1,21 @@
+# Python脚本开发方法
+
+## 前置条件
+
+- [ ] 已明确输入数据格式
+- [ ] 已了解处理逻辑和输出要求
+
+## 流程概览
+
+分析需求 → 初始化项目 → 编写脚本 → 验证结果
+
+## 详细步骤
+
+### 步骤1：分析需求
+分析需求，明确输入数据格式、处理逻辑和输出要求。
+
+### 步骤2：初始化项目
+创建脚本目录结构。
+
+### 步骤3：编写脚本
+编写Python脚本实现功能逻辑。

package/common/work/develop/python_script/prompt/rule.md

@@ -0,0 +1,44 @@
+# Python脚本开发规范
+
+## 适用对象和范围
+
+本规范适用于所有使用Python编写数据处理脚本、自动化脚本和数据分析工具的场景。
+
+---
+
+## 1. 缩进规范
+
+**规则**：统一使用4个空格缩进，遵循PEP8规范。
+
+**违反后果**：Python依赖缩进定义代码块，缩进不一致会导致语法错误。
+
+---
+
+## 2. 命名规范
+
+**规则**：函数名和变量名使用snake_case，常量名使用SCREAMING_SNAKE_CASE。
+
+- ✅ 正确：`def process_data():`、`user_name = '张三'`
+- ❌ 错误：`def processData():`、`userName = '张三'`
+
+**违反后果**：命名不符合PEP8规范。
+
+---
+
+## 3. 注释规范
+
+**规则**：函数必须使用docstring格式注释。
+
+```python
+def process_data(file_path: str) -> dict:
+    """处理数据文件
+    
+    Args:
+        file_path: 文件路径
+        
+    Returns:
+        处理后的数据字典
+    """
+```
+
+**违反后果**：缺少docstring导致代码可读性差。

package/common/work/develop/python_script/prompt/trick.md

@@ -0,0 +1,56 @@
+# Python脚本开发技巧
+
+## 1. 使用argparse处理命令行参数
+
+**适用场景**：脚本需要接收命令行参数时。
+
+**示例**：
+```python
+import argparse
+
+parser = argparse.ArgumentParser(description='数据处理脚本')
+parser.add_argument('--input', required=True, help='输入文件路径')
+parser.add_argument('--output', default='result.csv', help='输出文件路径')
+parser.add_argument('--verbose', action='store_true', help='显示详细信息')
+args = parser.parse_args()
+```
+
+**注意事项**：必填参数用 `required=True`，可选参数设置默认值。
+
+---
+
+## 2. 使用pandas处理结构化数据
+
+**适用场景**：处理CSV、Excel等结构化数据时。
+
+**示例**：
+```python
+import pandas as pd
+
+# 读取数据
+df = pd.read_csv('input.csv')
+
+# 数据清洗
+df = df.dropna()
+df['date'] = pd.to_datetime(df['date'])
+
+# 统计分析
+result = df.groupby('category').agg({
+    'amount': ['sum', 'mean', 'count']
+})
+
+# 输出结果
+result.to_csv('output.csv')
+```
+
+**注意事项**：大数据集使用 `chunksize` 参数分批读取。
+
+---
+
+## 3. 常见问题速查
+
+| 问题 | 原因 | 解决方案 |
+|------|------|---------|
+| 编码错误 | 文件编码不一致 | 指定 `encoding='utf-8'` |
+| 内存不足 | 数据量过大 | 使用分块处理或迭代器 |
+| 依赖缺失 | 未安装所需库 | 检查 `requirements.txt` |

package/common/work/develop/python_script/work.json

@@ -0,0 +1 @@
+{"name":"python_script","title":"Python脚本开发","description":"使用Python编写数据处理脚本、自动化脚本和数据分析工具","version":"1.0.0","prompt_files":["./prompt/rule.md","./prompt/method.md","./prompt/trick.md"]}

package/common/work/develop/security_basics/prompt/method.md

@@ -0,0 +1,51 @@
+# 安全编码 - 方法
+
+## 前置条件
+- [ ] 已确认项目中使用的加密/哈希库
+- [ ] 已确认安全 HTTP 头配置
+
+## 流程概览
+```
+检查输入 → 处理密码 → 配置认证 → 安全传输 → 审计日志
+```
+
+## 1. 密码处理（bcrypt）
+```javascript
+const bcrypt = require('bcrypt');
+
+// 注册时哈希密码
+const hash = await bcrypt.hash(password, 10);
+
+// 登录时验证密码
+const isValid = await bcrypt.compare(inputPassword, hash);
+```
+
+## 2. JWT 配置
+```javascript
+const token = jwt.sign(payload, secret, {
+  expiresIn: '15m',       // Access Token 短时效
+  algorithm: 'HS256'      // 不少于 HS256
+});
+```
+
+## 3. CSRF 防护
+- 使用 Token 验证：每个表单/请求携带 CSRF Token
+- 使用 SameSite Cookie 属性：`SameSite=Strict`
+- 验证 Referer/Origin 头
+
+## 4. 敏感信息脱敏
+```javascript
+function maskSensitive(data) {
+  if (data.password) data.password = '***';
+  if (data.token) data.token = data.token.slice(0, 4) + '***';
+  if (data.phone) data.phone = data.phone.replace(/(\d{3})\d{4}(\d{4})/, '$1****$2');
+  if (data.email) data.email = data.email.replace(/(.{2}).*(@.*)/, '$1***$2');
+  return data;
+}
+```
+
+## 5. 依赖安全
+```bash
+# 每周检查依赖漏洞
+npm audit
+```

package/common/work/develop/security_basics/prompt/rule.md

@@ -0,0 +1,53 @@
+# 安全编码 - 规范
+
+## SQL 注入防护
+```javascript
+// ❌ 错误：字符串拼接
+const sql = `SELECT * FROM users WHERE name = '${name}'`;
+
+// ✅ 正确：参数化查询
+const sql = 'SELECT * FROM users WHERE name = ?';
+db.query(sql, [name]);
+```
+
+## XSS 防护
+```html
+<!-- ❌ 错误：直接输出用户输入 -->
+<div>{{ user_input }}</div>
+<!-- ✅ 正确：HTML 转义输出 -->
+<div>{{ escapeHtml(user_input) }}</div>
+```
+
+```javascript
+// 安全 HTTP 头
+res.setHeader('X-Content-Type-Options', 'nosniff');
+res.setHeader('X-Frame-Options', 'DENY');
+res.setHeader('X-XSS-Protection', '1; mode=block');
+res.setHeader('Content-Security-Policy', "default-src 'self'");
+```
+
+## 敏感信息处理
+
+| 数据类型 | 处理方式 |
+|:---------|:---------|
+| 密码 | bcrypt 哈希（成本因子 ≥ 10） |
+| Token/JWT | 设置过期时间（Access Token ≤ 15min） |
+| 身份证/手机号 | 加密存储（AES-256），前端脱敏显示 |
+| API Key | 环境变量注入，不硬编码 |
+
+## 文件上传安全
+
+| 规则 | 要求 |
+|:-----|:-----|
+| 文件类型白名单 | 只允许 `jpg/png/pdf/doc` 等 |
+| 文件大小限制 | 普通上传 ≤ 10MB |
+| 文件名重命名 | 使用 UUID 重命名 |
+| 内容校验 | 校验文件头部魔数 |
+
+## 禁止行为
+- ❌ 禁止硬编码密钥、密码、Token
+- ❌ 禁止使用 `eval()` 或类似动态执行
+- ❌ 禁止将用户输入直接拼接到 HTML/SQL/Shell 中
+- ❌ 禁止返回密码/密钥给客户端
+- ❌ 禁止使用 `http://`（必须 `https://`）
+- ❌ 禁止 CORS 配置 `Access-Control-Allow-Origin: *`

package/common/work/develop/security_basics/prompt/trick.md

@@ -0,0 +1,28 @@
+# 安全编码 - 技巧
+
+## 1. 环境变量管理
+将密钥/密码放在 `.env` 文件，不要提交到 Git。
+```bash
+# .env（添加 .gitignore）
+API_SECRET=xxx
+DB_PASSWORD=xxx
+```
+
+## 2. JWT 密钥定期轮换
+每 90 天更换一次 JWT 签名密钥，旧密钥保留 24 小时过渡期。
+
+## 3. CSP 策略逐步收紧
+从宽松策略开始，通过监控发现违规逐步收紧：
+```
+Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline';
+→
+Content-Security-Policy: default-src 'self'; script-src 'self';
+```
+
+## 4. 依赖安全检查
+```bash
+# 加入 CI 流程
+npm audit --production
+# 查看过时依赖
+npm outdated
+```

package/common/work/develop/security_basics/work.json

@@ -0,0 +1 @@
+{"name":"security_basics","title":"安全编码","description":"开发过程中必须遵守的安全编码实践和防漏洞措施","version":"1.0.0","group":"develop","type":"dynamic","prompt_files":["./prompt/rule.md","./prompt/method.md","./prompt/trick.md"]}

package/common/work/develop/select_technology/prompt/method.md

@@ -0,0 +1,18 @@
+# 技术选型 - 方法
+
+## 流程概览
+```
+梳理技术需求 → 调研候选方案 → 方案评估 → 输出选型报告
+```
+
+## 步骤1：梳理技术需求
+读取需求文档，明确技术需求和约束条件（性能要求、预算限制、团队技能）。
+
+## 步骤2：调研候选方案
+列出每个技术领域的候选方案（至少2个），收集优缺点和适用场景。
+
+## 步骤3：方案评估
+从功能完整性、性能表现、社区活跃度、学习成本、维护成本5个维度评分。
+
+## 步骤4：输出选型报告
+包含技术需求说明、候选方案对比、评估维度评分、推荐方案及理由。

package/common/work/develop/select_technology/prompt/rule.md

@@ -0,0 +1,14 @@
+# 技术选型 - 规范
+
+## 1. 评估维度
+从以下维度评估每个候选方案（1-5分制）：
+- 功能完整性：是否满足功能需求
+- 性能表现：是否满足性能指标
+- 社区活跃度：GitHub Star数、更新频率
+- 学习成本：团队上手难度
+- 维护成本：长期运维投入
+
+## 2. 选型原则
+- 禁止仅凭个人偏好做出选型决策（必须基于多维度评分）
+- 禁止忽略技术方案的长期维护成本
+- 每个技术领域至少评估2个候选方案

package/common/work/develop/select_technology/prompt/trick.md

@@ -0,0 +1,10 @@
+# 技术选型 - 技巧
+
+## 1. 团队优先
+在同等条件下，优先选择团队已有经验的技术栈，降低学习成本。
+
+## 2. 生态考量
+选择社区活跃、文档完善、第三方库丰富的技术方案。
+
+## 3. PoC验证
+对不确定的技术方案，先做概念验证（PoC）再决策。

package/common/work/develop/select_technology/work.json

@@ -0,0 +1 @@
+{"name":"select_technology","description":"技术选型评估","type":"dynamic","group":"develop"}

package/common/work/develop/system_architecture/prompt/method.md

@@ -0,0 +1,20 @@
+# 系统架构设计方法
+
+## 前置条件
+
+- [ ] 已获取需求文档（含功能需求和非功能需求）
+
+## 流程概览
+
+分析需求 → 设计系统模块划分 → 技术选型 → 设计接口规范 → 输出架构设计文档
+
+## 详细步骤
+
+### 步骤1：分析需求
+分析需求文档，提取功能需求和非功能需求。
+
+### 步骤2：设计系统模块划分
+将系统划分为前端层、API网关层、业务服务层、数据访问层和基础设施层。创建架构设计文档。
+
+### 步骤3：技术选型
+对每个模块选择技术栈。

package/common/work/develop/system_architecture/prompt/rule.md

@@ -0,0 +1,37 @@
+# 系统架构设计规范
+
+## 适用对象和范围
+
+本规范适用于所有设计系统架构的场景，包括模块划分、技术栈选型、接口设计。
+
+---
+
+## 1. 模块划分规范
+
+**规则**：系统必须按分层架构划分为前端层、API网关层、业务服务层、数据访问层和基础设施层。
+
+**违反后果**：缺少分层导致模块耦合度高，难以维护和扩展。
+
+---
+
+## 2. 技术选型规范
+
+**规则**：必须在文档中列出选型理由和备选方案，禁止在未评估风险的情况下选择技术方案。
+
+**违反后果**：未评估风险的技术选型可能导致项目后期遇到不可预见的困难。
+
+---
+
+## 3. 非功能需求规范
+
+**规则**：架构设计必须体现性能、安全和可扩展性等非功能需求。
+
+**违反后果**：忽略非功能需求导致系统上线后无法满足性能和安全性要求。
+
+---
+
+## 4. 文档命名规范
+
+**规则**：核心架构文档必须固定使用 `架构设计文档(ADD).md`。
+
+**违反后果**：动态命名的文档导致查找困难，无法建立统一的文档体系。

package/common/work/develop/system_architecture/prompt/trick.md

@@ -0,0 +1,19 @@
+# 系统架构设计技巧
+
+## 1. 遵循KISS原则
+
+**适用场景**：架构设计趋于复杂时。
+
+**具体做法**：只在必要时引入复杂度，能用简单方案就不用复杂方案。
+
+**注意事项**：过度设计是架构设计的常见问题，先满足当前需求，预留扩展点即可。
+
+---
+
+## 2. 常见问题速查
+
+| 问题 | 原因 | 解决方案 |
+|------|------|---------|
+| 架构过于复杂 | 过度设计 | 简化设计，非核心功能拆分到后续迭代 |
+| 技术选型有风险 | 选用了不成熟的技术 | 准备备选方案，标注风险等级 |
+| 模块边界不清 | 职责划分不明确 | 重新划分模块职责和边界 |

package/common/work/develop/system_architecture/work.json

@@ -0,0 +1 @@
+{"name":"system_architecture","description":"设计系统架构，包括模块划分、技术栈选型、接口设计和性能优化","type":"dynamic","group":"develop"}

package/common/work/develop/technical_selection/prompt/method.md

@@ -0,0 +1,29 @@
+# 技术选型方法
+
+## 前置条件
+
+- [ ] 已获取需求文档，了解技术需求和约束条件
+
+---
+
+## 流程概览
+
+```
+梳理技术需求 → 调研候选方案 → 方案评估 → 输出选型报告
+```
+
+---
+
+## 详细步骤
+
+### 步骤1：梳理技术需求
+
+分析需求文档，明确技术需求和约束条件。
+
+### 步骤2：调研候选方案
+
+列出每个技术领域的候选方案（至少2个），收集优缺点和适用场景。
+
+### 步骤3：方案评估
+
+从功能完整性、性能表现、社区活跃度、学习成本、维护成本5个维度评分。

package/common/work/develop/technical_selection/prompt/rule.md

@@ -0,0 +1,29 @@
+# 技术选型规范
+
+## 适用对象和范围
+
+本规范适用于所有评估和选择技术方案的场景。
+
+---
+
+## 1. 多维度评估规范
+
+**规则**：必须从功能完整性、性能表现、社区活跃度、学习成本、维护成本5个维度进行评分。
+
+**违反后果**：单维度评估导致选型决策片面。
+
+---
+
+## 2. 客观决策规范
+
+**规则**：禁止仅凭个人偏好做出选型决策，必须基于多维度评分数据。
+
+**违反后果**：主观决策可能导致技术方案不适合项目实际需求。
+
+---
+
+## 3. 长期维护规范
+
+**规则**：必须评估技术方案的长期维护成本，包括社区活跃度和版本更新频率。
+
+**违反后果**：忽略长期维护成本可能导致项目后期面临技术债务。

package/common/work/develop/technical_selection/prompt/trick.md

@@ -0,0 +1,28 @@
+# 技术选型技巧
+
+## 1. 优先考虑团队熟悉的技术
+
+**适用场景**：多个候选方案评分接近时。
+
+**具体做法**：优先选择团队已有经验的技术，降低学习成本和风险。
+
+**注意事项**：如果新技术带来显著收益（性能提升50%以上），可以考虑引入。
+
+---
+
+## 2. 关注社区生态
+
+**适用场景**：评估第三方库或框架时。
+
+**具体做法**：查看GitHub Star数、Issue响应速度、版本更新频率、文档质量。
+
+**注意事项**：Star数高不一定代表质量好，需要结合项目实际需求判断。
+
+---
+
+## 3. 常见问题速查
+
+| 问题 | 原因 | 解决方案 |
+|------|------|---------|
+| 候选方案不满足需求 | 调研范围不够 | 扩大调研，补充更多候选方案 |
+| 评估数据不足 | 信息不充分 | 标注不确定性，建议PoC验证 |

package/common/work/develop/technical_selection/work.json

@@ -0,0 +1 @@
+{"name":"technical_selection","title":"技术选型","description":"评估和选择技术方案，包括框架、数据库、中间件和第三方服务","version":"1.0.0","prompt_files":["./prompt/rule.md","./prompt/method.md","./prompt/trick.md"]}

package/common/work/develop/test_e2e_fe/prompt/method.md

@@ -0,0 +1,21 @@
+# 前端E2E测试方法
+
+## 步骤
+
+### 1. 分析页面结构
+搜索前端页面文件，提取页面路由。
+
+### 2. 设计测试场景
+基于页面路由设计核心操作流程：登录 → 业务操作 → 页面导航 → 表单提交。
+
+### 3. 编写测试用例
+编写Playwright测试脚本。
+
+### 4. 执行测试
+执行测试用例。
+
+### 5. 浏览器兼容性测试
+在Chromium、Firefox、WebKit上分别执行核心测试场景。
+
+### 6. 生成报告
+生成测试报告。

package/common/work/develop/test_e2e_fe/prompt/rule.md

@@ -0,0 +1,22 @@
+# 前端E2E测试规范
+
+## 1. 多浏览器覆盖
+
+必须覆盖至少两种浏览器引擎（Chromium、Firefox、WebKit）。
+
+✅ 配置projects同时测试Chromium和Firefox
+❌ 只测试Chrome就判定通过
+
+## 2. 智能等待
+
+禁止硬编码等待时间，必须使用智能等待。
+
+✅ `page.waitForSelector('.result')`、`page.waitForURL('**/dashboard')`
+❌ `page.waitForTimeout(3000)`
+
+## 3. 核心流程覆盖
+
+必须覆盖用户核心操作流程：登录、核心业务操作、页面导航、表单提交。
+
+✅ 测试完整的"登录→创建订单→查看订单→退出"流程
+❌ 只测试页面打开，不测试交互操作

package/common/work/develop/test_e2e_fe/prompt/trick.md

@@ -0,0 +1,13 @@
+# 前端E2E测试技巧
+
+## 1. 使用Page Object模式
+
+为每个页面创建Page Object类，封装页面元素和操作方法，提高复用性。
+
+## 2. 常见问题
+
+| 问题 | 原因 | 解决 |
+|------|------|------|
+| 元素定位失败 | 选择器错误或元素未加载 | 使用 `waitForSelector` 等待 |
+| 测试不稳定 | 网络波动或异步渲染 | 使用智能等待替代固定超时 |
+| 跨域问题 | 前端服务与测试环境不同源 | 配置Playwright的baseURL |

package/common/work/develop/test_e2e_fe/work.json

@@ -0,0 +1 @@
+{"name":"test_e2e_fe","description":"前端E2E端到端测试","type":"dynamic","group":"develop"}