repo-audit-tool 1.2.0

package/templates/categories/go-service/.github/workflows/release.yml

@@ -0,0 +1,58 @@
+# Go Release 工作流（GoReleaser v2）
+#
+# 触发 = v* tag（semver）；GoReleaser 负责：跨平台矩阵构建 → 归档 → checksum →
+# 分组 changelog → GitHub Release 上传。
+# permissions：contents: write 必需（建 Release/传产物）；启用 cosign keyless 时加
+# id-token: write；推 GHCR 镜像时加 packages: write。
+# 验证链前置：ci.yml（make verify）应在 main/PR 上已把住质量关——发布 job 只做构建上传。
+name: release
+
+on:
+  push:
+    tags:
+      - 'v*'
+
+permissions:
+  contents: write
+  # id-token: write    # 启用 cosign keyless 签名时解开
+  # packages: write    # 推 GHCR 镜像时解开
+
+concurrency:
+  group: go-release
+  cancel-in-progress: false
+
+jobs:
+  goreleaser:
+    runs-on: ubuntu-latest
+    steps:
+      - name: Checkout
+        uses: actions/checkout@<commit-SHA> # actions/checkout@v7
+        with:
+          fetch-depth: 0          # GoReleaser changelog 需要全量历史
+      - name: Setup Go
+        uses: actions/setup-go@<commit-SHA> # actions/setup-go@v7
+        with:
+          go-version: stable
+          cache: true
+      # —— 可选：供应链加固工具（GoReleaser 不会自动安装）——
+      # - name: Install cosign        # 启用 .goreleaser.yaml signs 段时解开
+      #   uses: sigstore/cosign-installer@<commit-SHA> # cosign-installer@v4
+      # - name: Install syft          # 启用 sboms 段时解开
+      #   uses: anchore/sbom-action/download-syft@<commit-SHA> # v0.24
+      # —— 可选：容器镜像（GoReleaser dockers_v2；与 .goreleaser.yaml dockers_v2 段配套）——
+      # - name: Set up Docker Buildx
+      #   uses: docker/setup-buildx-action@<commit-SHA> # v4
+      # - name: Login to GHCR
+      #   uses: docker/login-action@<commit-SHA> # v4
+      #   with:
+      #     registry: ghcr.io
+      #     username: ${{ github.actor }}
+      #     password: ${{ secrets.GITHUB_TOKEN }}
+      - name: Run GoReleaser
+        uses: goreleaser/goreleaser-action@<commit-SHA> # goreleaser-action@v7
+        with:
+          distribution: goreleaser
+          version: '~> v2'
+          args: release --clean
+        env:
+          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

package/templates/categories/go-service/.goreleaser.yaml

@@ -0,0 +1,86 @@
+# .goreleaser.yaml — GoReleaser v2 最小可用配置（Go 服务发布）
+#
+# 本地验证：goreleaser check && goreleaser release --snapshot --clean
+# 来源依据：goreleaser.com/customization（v2.18，2026-09 核实）
+# 使用提示：project_name 与 main 路径按本库实际改；可选段（SBOM/cosign/容器）按需解开。
+
+version: 2
+
+project_name: <name>
+
+before:
+  hooks:
+    - go mod tidy
+
+builds:
+  - id: <name>
+    main: ./cmd/<name>
+    binary: <name>
+    env:
+      - CGO_ENABLED=0
+    goos: [linux, darwin, windows]
+    goarch: [amd64, arm64]
+    # 默认 ldflags 已注入 -s -w 与 main.version={{.Version}} / main.commit / main.date；
+    # 需要显式控制时解开：
+    # ldflags:
+    #   - -s -w -X main.version={{.Version}} -X main.commit={{.Commit}} -X main.date={{.Date}}
+
+archives:
+  - id: <name>
+    formats: [tar.gz]          # v2.6+ 用复数 formats（单数 format 已废弃）
+    format_overrides:
+      - goos: windows
+        format: zip    # goreleaser v2：override 内为单数 format（外层才是复数 formats）
+    name_template: >-
+      {{ .ProjectName }}_{{ .Version }}_{{ .Os }}_{{ .Arch }}
+    files:
+      - README*
+      - LICENSE*
+
+checksum:
+  name_template: "{{ .ProjectName }}_{{ .Version }}_checksums.txt"
+  algorithm: sha256
+
+changelog:
+  # 按 conventional commits 分组（与 CONTRIBUTING 提交规范同源）
+  sort: asc
+  filters:
+    exclude:
+      - "^docs:"
+      - "^test:"
+      - "^chore:"
+      - Merge pull request
+      - Merge branch
+  groups:
+    - title: Features
+      regexp: '^.*?feat(\([[:word:]]+\))??!?:.+$'
+      order: 0
+    - title: Bug fixes
+      regexp: '^.*?fix(\([[:word:]]+\))??!?:.+$'
+      order: 1
+    - title: Others
+      order: 999
+
+release:
+  # GoReleaser 用 GITHUB_TOKEN 建 GitHub Release 并上传全部产物
+  # draft: true   # 想人工确认后再发布就打开
+
+# ── 可选段（小库务实取舍：默认注释；启用需同步改 release.yml）──
+# SBOM（需 workflow 装 anchore/sbom-action/download-syft）：
+# sboms:
+#   - artifacts: archive        # 每个 archive 生成 .sbom.json（syft）
+
+# cosign keyless 签名：只签 checksum 文件（业界惯例，一份覆盖全链）
+# 需 workflow 装 sigstore/cosign-installer + permissions 加 id-token: write
+# signs:
+#   - cmd: cosign
+#     signature: "${artifact}.sigstore.json"
+#     artifacts: checksum
+#     args: ["sign-blob", "--bundle=${signature}", "${artifact}", "--yes"]
+
+# 容器镜像（dockers_v2，GoReleaser ≥ v2.12；buildx 一次 build --push 出多平台 manifest）
+# 需 workflow 装 buildx + login GHCR；与下方 buildx 独立方案二选一，不要同时开
+# dockers_v2:
+#   - images: [ghcr.io/<org>/<name>]
+#     tags: ["v{{ .Version }}", latest]
+#     platforms: [linux/amd64, linux/arm64]

package/templates/categories/go-service/AGENTS-append.md

@@ -0,0 +1,7 @@
+<!-- ===== append：go-service 分类纪律（拼接到 AGENTS-core 之后） ===== -->
+
+## 构建纪律（本分类硬性）
+
+1. **提交前门**：`make verify`（gofmt → vet → test → build）全绿；pre-commit 钩子自动执行（启用：`git config core.hooksPath .githooks`）。gofmt/go vet 是 Go 社区强约定，CI required，本地无借口。
+2. **格式与静态检查不绕过**：gofmt -l 有输出即 FAIL。
+3. `deploy/` 下配置只写模板不写真值（机密红线见上方 AI 协作守则第 3 条）。

package/templates/categories/go-service/CATEGORY.md

@@ -0,0 +1,33 @@
+<!-- 模板说明（用后删除）：D 类"Go 服务"分类 delta 模板（语言基类）。
+     叠加规则同 python-app：通用文档层照用；npm/TS 专属文件删除。 -->
+
+# D 类 · Go 服务（语言基类）
+
+> 实证来源：jinteng（go.mod + cmd/ + Makefile + deploy/docs/examples；个人自用服务）。
+
+## 文件 delta（相对 repo-root 基类）
+
+| 动作 | 文件 | 说明 |
+|---|---|---|
+| **新增** | `go.mod`（`go mod init github.com/<org>/<repo>` 自生成，不模板化） | 模块路径按实际仓库 |
+| **新增** | `cmd/<svc>/main.go`（自写） | 服务入口 |
+| **新增** | `Makefile`（本目录提供骨架） | build/test/lint/run 四件套 |
+| **替换** | `.github/workflows/ci.yml`（本目录提供） | go test/go vet/gofmt 验证 |
+| **删除** | npm/TS 专属全套（package.json/tsconfig*/src TS/scripts/*.mjs） | — |
+| **保留** | 通用文档层 + LICENSE/.gitignore（Go 版） | .gitignore 需补 `bin/`（构建产物） |
+
+## 验证链
+
+```sh
+gofmt -l . | grep -q . && exit 1   # 格式
+go vet ./...                        # 静态检查
+go test ./...                       # 单测
+go build ./...                      # 编译
+```
+
+## 发布面
+
+- **制品 = 二进制/容器**（jinteng 实况：deploy/ + docs/ + examples/）——无 npm/PyPI 段；
+  PUBLISHING.md 收敛为：版本 tag → GitHub Release（附二进制或镜像说明）→ CHANGELOG
+- AGENTS.md：无部署纪律/无 npm 段；保留机密纪律 + `make verify` 提交前门
+- gofmt/go vet 是 Go 社区强约定，CI 必须 required

package/templates/categories/go-service/CONTRIBUTING-append.md

@@ -0,0 +1,13 @@
+<!-- ===== append：go-service 分类段（拼接到 CONTRIBUTING-core 之后） ===== -->
+
+## 开发环境
+
+```sh
+go mod download        # 或 go mod tidy（go.sum 必须入库）
+make verify            # 验证链单源：gofmt → vet → test → build（本地与 CI 同一入口）
+go run ./cmd/<name>    # 本地起服务
+```
+
+## 发版流程
+
+见 [PUBLISHING.md](PUBLISHING.md)（tag v* → GoReleaser 矩阵构建 → GitHub Release）。

package/templates/categories/go-service/DEVELOPMENT-append.md

@@ -0,0 +1,21 @@
+<!-- ===== append：go-service 分类段（拼接到 DEVELOPMENT-core 之后） ===== -->
+
+## 分类纪律：Go 实现规范
+
+- 布局：cmd/<name>/ 入口 + 内部包按域拆分；入口声明 `var version = "dev"`（GoReleaser 默认 ldflags 注入）
+- gofmt/go vet 零容忍（Makefile verify 单源第一、二步）；公共函数带注释（godoc 惯例）
+- 提交前门：`make verify`（gofmt → vet → test → build）全绿；pre-commit 钩子已指向它
+- go.sum 必须入库（go mod tidy 生成）
+
+## 分类 DoD 补充（Go）
+
+- [ ] `make verify` 全绿；`go vet` 零告警
+- [ ] 发布前 `goreleaser check && goreleaser release --snapshot --clean` 本地演练通过
+- [ ] deploy/ 配置只写模板不写真值
+
+## 速查表预置（回顾追加）
+
+| 坑 | 症状 | 拦截环节 |
+|---|---|---|
+| 忘记 go mod tidy，go.sum 漂移 | CI `go build` 失败 | Makefile build 步 + PR 检查 |
+| tag 与代码内版本不一致 | 二进制 --version 错报 | GoReleaser ldflags 注入（以 tag 为准） |

package/templates/categories/go-service/Makefile

@@ -0,0 +1,21 @@
+# <name>（Go 服务）
+
+# Makefile 四件套：verify 为验证链单源（CI 与本地同入口）
+.PHONY: verify fmt lint test build run
+
+verify: fmt lint test build
+
+fmt:
+	@out="$$(gofmt -l .)"; if [ -n "$$out" ]; then echo "✗ 需 gofmt：$$out"; exit 1; fi
+
+lint:
+	go vet ./...
+
+test:
+	go test ./...
+
+build:
+	go build ./...
+
+run:
+	go run ./cmd/<name>

package/templates/categories/go-service/PUBLISHING-append.md

@@ -0,0 +1,48 @@
+<!-- ===== append：go-service 分类段（拼接到 PUBLISHING-core 之后） ===== -->
+
+## 发布通道（GoReleaser → GitHub Release）
+
+**制品**：跨平台二进制/归档（GoReleaser）→ GitHub Release；可选 GHCR 容器镜像。
+**前置验证**：ci.yml（make verify）把住质量关——release 只做构建上传。
+
+## 日常发布流程
+
+```sh
+# ① 发布前本地演练（必跑——配置错误本地暴露，不烧 CI）
+goreleaser check
+goreleaser release --snapshot --clean     # 产物进 dist/，不建 Release
+
+# ② 显式 tag + push（发布是人的决定）
+git commit -am "chore: release v<x.y.z> — <一句话主旨>"
+git tag v<x.y.z>
+git push && git push --tags               # ③ release.yml 接手：矩阵构建 → GitHub Release
+```
+
+- **版本注入**：GoReleaser 默认 ldflags 注入 `main.version`（tag 去 v 前缀）/`main.commit`/`main.date`
+- **changelog**：GoReleaser 按 conventional commits 分组生成（与 CONTRIBUTING 提交规范同源）
+- 可选人工确认：`.goreleaser.yaml` release.draft: true
+
+## 首次发布前置（一次性）
+
+1. `go mod init github.com/<org>/<repo>`；`cmd/<name>/main.go` 入口就位
+2. workflow 的 `<commit-SHA>` 固定（checkout@v7、setup-go@v7、goreleaser-action@v7 对应 SHA）
+3. 可选启用项（.goreleaser.yaml + release.yml 成对解开）：SBOM（syft）/ cosign keyless 签名 / GHCR 镜像（dockers_v2）
+4. 首发验证：GitHub Release 页产物齐全（各平台归档 + checksums.txt）；`shasum -a 256 -c` 本地复核
+
+## 应急手动发布（CI 不可用时）
+
+```sh
+make verify
+goreleaser release --snapshot --clean     # 本地产物
+gh release create v<x.y.z> dist/* --generate-notes   # 本机 gh 登录态手工上传
+```
+
+## 与 release-please 的分工（可选升级，B 类多人协作时）
+
+小库最省事路线 = 手工打 `v*` tag + GoReleaser changelog 分组（本模板现状）。
+需要严格 CHANGELOG.md 文件与自动版本号时引入 release-please（v5）：它管**版本晋升**
+（开 Release PR、合并时打 tag），GoReleaser 跑在它打的 tag 上构建上传（Release 已存在会更新，不撞车）。
+
+## 维护要点
+
+- GoReleaser v2 配置变更先过 `goreleaser check`；deprecated 字段盯 goreleaser.com/resources/deprecations（v3 将移除 dockers 旧写法，用 dockers_v2）

package/templates/categories/go-service/PUBLISHING.md

@@ -0,0 +1,59 @@
+# 发布记录：<repo>（Go 服务）
+
+**发布制品**：跨平台二进制/归档（GoReleaser）→ GitHub Release；可选 GHCR 容器镜像。
+**验证链前置**：ci.yml（make verify）把住质量关——release 只做构建上传。
+
+## 发布状态（<日期> 更新）
+
+| 项 | 状态 |
+|---|---|
+| GitHub Release | <最新 tag / Release 链接> |
+| 产物 | tar.gz（linux/darwin/windows × amd64/arm64）+ zip（windows）+ checksums.txt |
+| 本地验证 | <make verify + goreleaser snapshot 实测> |
+
+## 日常发布流程
+
+```sh
+# ① 发布前本地演练（必跑——配置错误本地暴露，不烧 CI）
+goreleaser check
+goreleaser release --snapshot --clean     # 产物进 dist/，不建 Release
+
+# ② 显式 bump + tag + push（发布是人的决定）
+npm 式 bump 在 Go 里手工做：
+V=<x.y.z>
+# 改代码内版本（若引用 main.version 则以 tag 注入为准，无需改源码）
+git commit -am "chore: release v$V — <一句话主旨>"
+git tag v$V
+git push && git push --tags               # ③ release.yml 接手：矩阵构建 → Release
+```
+
+- **版本注入**：GoReleaser 默认 ldflags 注入 `main.version`（tag 去 v 前缀）/`main.commit`/`main.date`——入口文件声明 `var version = "dev"` 即可自动获得
+- **changelog**：GoReleaser 按 conventional commits 分组生成（feat/fix/Others），与 CONTRIBUTING 提交规范同源
+- 可选人工确认：`.goreleaser.yaml` release.draft: true
+
+## 首次发布前置（一次性）
+
+1. `go mod init github.com/<org>/<repo>`；`cmd/<name>/main.go` 入口就位
+2. workflow 的 `<commit-SHA>` 固定（actions/checkout@v7、setup-go@v7、goreleaser-action@v7 对应 SHA）
+3. 可选启用项（.goreleaser.yaml + release.yml 成对解开）：SBOM（syft）/ cosign keyless 签名 / GHCR 镜像（dockers_v2）
+4. 首发验证：GitHub Release 页产物齐全（各平台归档 + checksums.txt）；`shasum -a 256 -c` 本地复核
+
+## 应急手动发布（CI 不可用时）
+
+```sh
+make verify
+goreleaser release --snapshot --clean     # 本地产物
+gh release create v$V dist/* --generate-notes   # 本机 gh 登录态手工上传
+```
+
+## 与 release-please 的分工（可选升级）
+
+小库最省事路线 = 手工打 `v*` tag + GoReleaser changelog 分组（本模板现状）。
+当需要严格 CHANGELOG.md 文件与自动版本号时引入 release-please（v5）：它负责**版本晋升**
+（从 conventional commits 算 next version、开 Release PR、合并时打 tag），GoReleaser 跑在
+它打出的 tag 上构建上传（Release 已存在时会更新而非报错，不撞车）。
+
+## 维护要点
+
+- GoReleaser v2 配置变更先过 `goreleaser check`；deprecated 字段盯 goreleaser.com/resources/deprecations（v3 会移除 dockers 旧写法，用 dockers_v2）
+- 应急发布无 checksum 分组生成？——snapshot 产物含 checksums.txt，保持一致

package/templates/categories/go-service/README-append.md

@@ -0,0 +1,26 @@
+<!-- ===== append：go-service 分类段（拼接到 README-core 之后） ===== -->
+
+
+
+- <功能点 1：一句话说清用户得到什么>
+- <功能点 2>
+
+## 安装
+
+> 要求 Go >= <版本>（见 go.mod）；或直接下载 Release 二进制。
+
+```sh
+go install github.com/<org>/<repo>/cmd/<name>@latest
+# 或从 GitHub Release 下载对应平台归档（含 checksums.txt 校验）
+# 服务部署：deploy/ 下模板 + docs/ 说明
+```
+
+## 使用
+
+<最小可复制示例：启动命令 / 配置文件最小样例。示例代码块必须可直接粘贴执行。>
+
+## 配置
+
+| 配置项 | 默认 | 说明 |
+|---|---|---|
+| `<field>` | `<default>` | <作用与生效方式（重启生效 /热更新）> |

package/templates/categories/go-service/README.en.md

@@ -0,0 +1,43 @@
+# <name>
+
+<One-line English description>（与中文版 README 首句同义）.
+
+[中文](README.md) ｜ English is a mirror; the Chinese README is authoritative and may lag behind.
+
+## Features
+
+- <Feature 1>
+- <Feature 2>
+
+## Install
+
+> Requires Go >= <version> (see go.mod); or grab a binary from GitHub Releases.
+
+```sh
+go install github.com/<org>/<repo>/cmd/<name>@latest
+# Or download the platform archive from GitHub Releases (checksums.txt included)
+# Deployment: templates under deploy/ + docs/
+```
+
+## Usage
+
+<Minimal copy-paste example: launch command / minimal config sample.>
+
+## Configuration
+
+| Option | Default | Description |
+|---|---|---|
+| `<field>` | `<default>` | <What it does; restart or hot-reload> |
+
+## Docs
+
+- [Design](docs/DESIGN.md) <!-- remove this line if no docs/ directory -->
+- [Development & verification discipline](DEVELOPMENT.md) · [Publishing](PUBLISHING.md)
+
+## Contributing
+
+See [CONTRIBUTING.md](CONTRIBUTING.md). AI collaborators read [AGENTS.md](AGENTS.md) first (AI-collaboration rules).
+
+## License
+
+[MIT](LICENSE)

package/templates/categories/go-service/gitignore-append.md

@@ -0,0 +1,13 @@
+# ===== append：go-service 分类忽略（拼接到通用段之后） =====
+
+# 本机私有钩子（commit-msg 含身份检查）不追踪；pre-commit 随仓库分发
+.githooks/commit-msg
+
+# Go
+bin/
+*.test
+*.out
+# 如启用 vendor 目录（go mod vendor），删除下行
+# vendor/
+
+# （v2.1 升级实测段）F3 回归验证。

package/templates/categories/product-oss/.github/CODEOWNERS

@@ -0,0 +1,6 @@
+# 默认 owner：所有文件的兜底（最后一行匹配优先，越靠后越具体；owner 须有 write 权限）
+*                                        @<org>/maintainers
+
+# 关键路径单独锁定（按本库实际调整；org 团队按实际替换）
+/.github/                                @<org>/maintainers
+/.github/CODEOWNERS                      @<org>/maintainers

package/templates/categories/product-oss/.github/ISSUE_TEMPLATE/bug_report.yml

@@ -0,0 +1,52 @@
+name: Bug report（缺陷报告）
+description: 报告一个可复现的问题
+labels: [bug]
+body:
+  - type: markdown
+    attributes:
+      value: |
+        感谢反馈！请先搜索已有 issue 避免重复。
+        安全漏洞**不要**在此报告——请使用 Security 标签页的
+        "Report a vulnerability"（私密报告）。
+  - type: textarea
+    id: repro
+    attributes:
+      label: 复现步骤
+      description: 一步一步描述如何触发问题；附最小复现代码更好
+      placeholder: |
+        1. 运行 '...'
+        2. 看到 '...'
+    validations:
+      required: true
+  - type: textarea
+    id: expected
+    attributes:
+      label: 期望行为与实际行为
+    validations:
+      required: true
+  - type: input
+    id: version
+    attributes:
+      label: 版本
+      placeholder: "例如 v1.2.3 或 commit sha"
+    validations:
+      required: true
+  - type: dropdown
+    id: os
+    attributes:
+      label: 运行环境
+      options:
+        - Linux
+        - macOS
+        - Windows
+        - 其他（请在补充说明中注明）
+    validations:
+      required: true
+  - type: textarea
+    id: logs
+    attributes:
+      label: 日志/截图
+      description: 拖拽文件或直接粘贴
+      render: shell
+    validations:
+      required: false

package/templates/categories/product-oss/.github/ISSUE_TEMPLATE/config.yml

@@ -0,0 +1,8 @@
+blank_issues_enabled: false
+contact_links:
+  - name: 问题咨询
+    url: https://github.com/<org>/<repo>/discussions
+    about: 使用讨论区提问，不要用 issue 提问
+  - name: 安全漏洞（私密报告）
+    url: https://github.com/<org>/<repo>/security/advisories/new
+    about: 请通过私密漏洞报告提交，不要公开披露

package/templates/categories/product-oss/.github/dependabot.yml

@@ -0,0 +1,28 @@
+# Dependabot：依赖与 CI action 的自动升级（分组合 PR，控制噪音）
+# 起点配置；库类可加 versioning-strategy: widen；schedule 错开到周初
+version: 2
+updates:
+  - package-ecosystem: "github-actions"
+    directory: "/"
+    schedule:
+      interval: "weekly"
+      day: "monday"
+    groups:
+      actions-minor-and-patch:
+        update-types:
+          - "minor"
+          - "patch"
+    open-pull-requests-limit: 10
+
+  # 按语言基类增删 ecosystem：npm（dsh-plugin）/ pip（python-app）/ gomod（go-service）
+  - package-ecosystem: "npm"
+    directory: "/"
+    schedule:
+      interval: "weekly"
+      day: "tuesday"
+    groups:
+      deps-minor-and-patch:
+        update-types:
+          - "minor"
+          - "patch"
+    open-pull-requests-limit: 10

package/templates/categories/product-oss/.github/workflows/dependency-review.yml

@@ -0,0 +1,18 @@
+# PR 依赖安全审查：新增依赖引入已知漏洞时拦下（fail-on-severity 从 high 起步，避免误伤阻塞）
+name: dependency-review
+
+on: [pull_request]
+
+permissions:
+  contents: read
+
+jobs:
+  dependency-review:
+    runs-on: ubuntu-latest
+    steps:
+      - name: Checkout
+        uses: actions/checkout@<commit-SHA> # actions/checkout@v7
+      - name: Dependency Review
+        uses: actions/dependency-review-action@<commit-SHA> # dependency-review-action@v5
+        with:
+          fail-on-severity: high

package/templates/categories/product-oss/.github/workflows/release-please.yml

@@ -0,0 +1,39 @@
+# Release PR + tag + GitHub Release 全自动：解析 Conventional Commits
+# （release-please-action 最新 v5.0.0（node24）；保守可 pin @v4；正式仓库 uses 固定到 <commit-SHA>）
+name: release-please
+
+on:
+  push:
+    branches: [main]
+
+permissions:
+  contents: write        # 更新 CHANGELOG/版本号、打 tag、发 Release
+  issues: write
+  pull-requests: write   # 创建/更新 Release PR
+
+jobs:
+  release-please:
+    runs-on: ubuntu-latest
+    steps:
+      - name: Release Please
+        uses: googleapis/release-please-action@v5   # TODO: 固定 SHA
+        id: release
+        with:
+          config-file: release-please-config.json
+          manifest-file: .release-please-manifest.json
+          # 默认 GITHUB_TOKEN 即可建 Release PR/tag/Release；但 GITHUB_TOKEN 触发的事件
+          # 不会再触发其他 workflow——Release PR 合并后要自动跑发布（npm/PyPI/GoReleaser）
+          # 时改用 PAT：token: ${{ secrets.RELEASE_PLEASE_TOKEN }}
+
+      # ——（可选）Release 合并后自动发布（按语言基类的 publish/release 工作流衔接）——
+      # 方式 A：这里直接跑发布步骤（需 PAT 触发下游）；
+      # 方式 B（推荐）：release-please 打的 tag 天然触发语言基类的 publish/release.yml——
+      #   此时无需本段，且 token 不必换 PAT。二选一，避免双发布。
+      # - uses: actions/checkout@<commit-SHA>
+      #   if: ${{ steps.release.outputs.release_created }}
+      # - uses: actions/setup-node@<commit-SHA>   # 按语言替换
+      #   if: ${{ steps.release.outputs.release_created }}
+      # - run: npm ci && npm publish
+      #   if: ${{ steps.release.outputs.release_created }}
+      #   env:
+      #     NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}

package/templates/categories/product-oss/.release-please-manifest.json

@@ -0,0 +1,3 @@
+{
+  ".": "0.1.0"
+}

package/templates/categories/product-oss/CATEGORY.md

@@ -0,0 +1,27 @@
+<!-- 模板说明（用后删除）：B 类"产品/多人协作 OSS"叠加规范（overlay）。
+     用法：先用语言基类（python-app / go-service / dsh-plugin）脚手架建库，
+     再把本目录文件叠加（CHANGELOG.md / PULL_REQUEST_TEMPLATE.md 覆盖或新增），
+     并按 SUPPORT.md 修订 CONTRIBUTING（PR 流）与 AGENTS/DEVELOPMENT（门禁从 pre-commit 扩展为 CI required）。 -->
+
+# B 类 · 产品/多人协作 OSS（overlay）
+
+适用实证：qingfu-envoy（PR #23）/ neonforge / fuyao-nomad / Voyage。
+
+## 叠加内容（scaffold `--overlay product-oss` 全部自动落位）
+
+| 文件 | 动作 | 说明 |
+|---|---|---|
+| `CHANGELOG.md` | 覆盖/新增 | 变更唯一事实源（Keep a Changelog） |
+| `.github/PULL_REQUEST_TEMPLATE.md` | 新增 | 自检清单（验证链/机密/文档/兼容性） |
+| `.github/ISSUE_TEMPLATE/bug_report.yml` + `config.yml` | 新增 | YAML issue forms（复现步骤/环境）+ 私密漏洞报告指路 |
+| `.github/CODEOWNERS` | 新增 | 评审责任人锁定（自身必须有 owner） |
+| `.github/dependabot.yml` | 新增 | 依赖与 action 自动升级（minor/patch 成组） |
+| `.github/workflows/release-please.yml` + `release-please-config.json` + `.release-please-manifest.json` | 新增 | **版本晋升自动化**：conventional commits → Release PR → 合并即 tag + Release + CHANGELOG |
+| `.github/workflows/dependency-review.yml` | 新增 | PR 依赖安全审查（fail-on-severity: high 起步） |
+| `SUPPORT.md` | 供人读（不进产物） | 协作流/发布节奏/红线差异说明 |
+
+## 与语言基类的联动
+
+- 基类的验证链单源（verify.mjs/verify.py/Makefile）不变——CI required 是 PR 门禁本体
+- pre-commit 部署纪律（dsh 插件）保留在库内；贡献者无法执行时由维护者发版前代跑（SUPPORT.md 已注明）
+- ROADMAP.md：从语言基类的 DEVELOPMENT「核心循环」延展为阶段收口文档（实践库惯例：阶段末评审报告入库）

package/templates/categories/product-oss/CHANGELOG.md

@@ -0,0 +1,14 @@
+# Changelog
+
+本仓所有对外可见变更的唯一事实源。格式遵循 [Keep a Changelog](https://keepachangelog.com/zh-CN/1.1.0/)，
+版本遵循 [SemVer](https://semver.org/lang/zh-CN/)；PR 合并即在此登记（分类：Added/Changed/Deprecated/Removed/Fixed/Security）。
+
+## [Unreleased]
+
+### Added
+- 初始结构。
+
+<!-- 模板说明（用后删除）：
+- 与 PUBLISHING.md 的分工：PUBLISHING 管"发布状态与流程"，本文件管"变更事实"——Release 文案从对应版本段落取，不复制全文
+- 版本行格式：## [x.y.z] - YYYY-MM-DD
+-->

package/templates/categories/product-oss/PULL_REQUEST_TEMPLATE.md

@@ -0,0 +1,15 @@
+<!-- PR 标题即 conventional commits：feat(scope): 中文描述 —— 合并后作为 CHANGELOG 素材 -->
+
+## 变更说明
+
+<改了什么 + 为什么（用户视角一句话 + 实现要点）>
+
+## 自检清单
+
+- [ ] CI 绿（ci.yml 验证链通过；本机 `npm test` / `make verify` / `python scripts/verify.py` 同源复跑过）
+- [ ] 无本机私有信息（绝对路径/邮箱/token/部署实况）——`git grep -nE '/home/[a-z]|/mnt/[a-z]|/Users/[a-z]'`
+- [ ] CHANGELOG.md 已登记（Unreleased 段）
+- [ ] 文档同步（README / DEVELOPMENT 速查表 / SECURITY 支持面，按影响面）
+- [ ] 兼容性：breaking 在标题加 `!` 并在描述中给出迁移路径
+
+<!-- 维护者注意：无法本地跑 check:deploy 的贡献者在 PR 说明注明，由维护者发版前代跑部署纪律自检 -->