sillyspec 3.26.15 → 3.27.2

package/.claude/skills/sillyspec-explore/SKILL.md

@@ -1,6 +1,6 @@
 ---
 name: sillyspec:explore
-description: 用于自由讨论、代码库调研、方案比较、画 ASCII 图、澄清问题。适合用户说"分析下、讨论下、看看怎么设计、先别写代码、调研一下、画个结构图、帮我再分析下"。只读，不修改文件，不实现功能。
+description: 用于自由讨论、代码库调研、方案比较、画 ASCII 图、澄清问题、生成 HTML 原型。适合用户说"分析下、讨论下、看看怎么设计、先别写代码、调研一下、画个结构图、帮我再分析下、画个原型、出个原型图、做个 demo 页"。默认只读不修改文件（仅用户明确要求时保存结论或生成原型），不实现功能。
 ---
 
 ## 交互规范
@@ -33,7 +33,7 @@ sillyspec run explore --status                     # 查看阶段状态
 
 ## 这是什么模式
 
-**探索模式用于思考，不用于实现。** 你可以读文件、搜代码、调查代码库，但绝对不能写代码或实现功能。如果用户要求实现，提醒他们先退出探索模式。
+**探索模式用于思考，不用于实现。** 你可以读文件、搜代码、调查代码库，但默认不写任何文件（用户明确要求保存结论或生成原型时除外），也绝不写实现代码。如果用户要求实现，提醒他们先退出探索模式。
 
 **这不是一个工作流，是一种姿态。** 没有固定步骤、没有必需的输出。你是一个帮助用户思考的伙伴。
 
@@ -66,6 +66,12 @@ sillyspec run explore --status                     # 查看阶段状态
 └─────────────────────────────────┘
 ```
 
+**生成 HTML 原型**（仅用户明确要求时）：讨论 UI/交互方案时，用户说"画个原型、出个原型图、做个 demo 页"才动手，平时最多提议。生成要求与 brainstorm 阶段原型对齐：
+- 单文件 HTML（内联 CSS + JS），浏览器直接打开
+- 高保真呈现讨论中的布局/组件/交互流程，风格对齐项目现有界面（先读 scan 文档与前端代码）
+- 保存到 `.sillyspec/explore/prototype-<名称>.html`（用户指定其他位置则从其指定）
+- 探索原型是讨论工具、不是交付物，也不是实现代码；后续进入 brainstorm 时可复制到变更目录复用
+
 **暴露风险**：识别可能出错的地方、发现理解空白
 
 ## OpenSpec 上下文感知
@@ -90,6 +96,7 @@ cat .sillyspec/ROADMAP.md 2>/dev/null
 
 - ❌ 写实现代码
 - ❌ 安装依赖
-- ❌ 修改任何文件（除非用户明确要求保存发现）
+- ❌ 修改任何文件（除非用户明确要求保存发现或生成原型）
+- ❌ 主动生成原型（必须用户明确要求；最多提议）
 - ❌ 强行下结论
 - ❌ 强行结构化（让模式自然涌现）

package/.claude/skills/sillyspec-verify/SKILL.md

@@ -52,6 +52,8 @@ verify 是只读阶段（**禁止改代码/改 git 状态**，只检查 + 写报
 ## verify-result.md 格式
 
 > 🔧 **机械探针 + 报告骨架一条命令**：`sillyspec verify-probes --change <变更名> --init`——探针 1（TODO 标记）/3（测试覆盖）/5（API 契约对账）/6（删除对账）CLI 跑完并预填进 verify-result.md 骨架（七章节、已存在不覆盖）；探针 2/4（关键词/决策追踪）与断言抽查、集成盲区标注是语义判断，替换骨架里的 `<!--TODO-->` 完成。结论必须写明 PASS/FAIL——留「待填」会被 gate 判不过。
+>
+> 🔧 **test/lint 实测对账**：`--done` 时 CLI 亲自执行 local.yaml 的 `commands.test`（实测失败阻断 verify 完成）与 `commands.lint`（advisory 对账，实测失败会明示）——自报告与实测不符时以实测为准，勿谎报跑过。
 
 ```markdown
 # 验证报告

package/README.md

@@ -109,7 +109,7 @@ SillySpec 进度库使用 SQLite 持久化（基于 Node.js 内置的 `node:sqli
 |---|---|
 | `/sillyspec:status` · `/sillyspec:state` | 查看进度 / 当前工作状态 |
 | `/sillyspec:continue` | 自动判断并执行下一步 |
-| `/sillyspec:explore` | 自由思考：画图、讨论、调研 |
+| `/sillyspec:explore` | 自由思考：画图、讨论、调研、HTML 原型 |
 | `/sillyspec:quick` | 快速模式：跳过完整流程 |
 | `/sillyspec:resume` | 恢复工作（支持大模块阶段进度） |
 | `/sillyspec:doctor` | 项目自检与状态修复 |
@@ -141,7 +141,7 @@ sillyspec doctor                 全量自检 + 修复进度
 - **进度持久化** — SQLite（node:sqlite）持久化，支持断点恢复
 - **模块文档** — 模块级知识库，AI 执行时按需加载相关上下文
 - **浏览器自动化** — 可选 MCP（Playwright / Chrome DevTools），供集成/E2E 冒烟验证
-- **平台同步** — 可选对接 SillyHub，文档同步 + 团队审批
+- **平台同步** — 可选对接 SillyHub，文档同步 + 团队审批 + 本地 agent 会话日志路径主动上报（平台会话展示本地 agent 完整日志；支持 Claude Code / Codex / ZCode 自动探测，其他 CLI 用 `SILLYSPEC_AGENT_LOG` 显式指定）
 
 ## 可靠性保障
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sillyspec",
-  "version": "3.26.15",
+  "version": "3.27.2",
   "description": "SillySpec CLI — 流程状态机，让 AI 严格按步骤来",
   "icon": "logo.jpg",
   "homepage": "https://sillyspec.ppdmq.top/",

package/packages/dashboard/server/index.js

@@ -468,10 +468,19 @@ function startServer({ port = 3456, open: openBrowser = true } = {}) {
         res.end(JSON.stringify({ error: 'Missing project parameter' }))
         return
       }
-      const docs = parseSillyspecDocsTree(projectPath)
-      res.setHeader('Content-Type', 'application/json')
-      res.writeHead(200)
-      res.end(JSON.stringify(docs))
+      // SEC-06 对齐：detail/content API 均已限"已发现项目内"，此处此前漏校验——
+      // 任意绝对路径可列其 .sillyspec/docs 树与根文档文件名
+      isKnownProjectPath(projectPath).then(known => {
+        if (!known) {
+          res.writeHead(403)
+          res.end(JSON.stringify({ error: 'Unknown project path' }))
+          return
+        }
+        const docs = parseSillyspecDocsTree(projectPath)
+        res.setHeader('Content-Type', 'application/json')
+        res.writeHead(200)
+        res.end(JSON.stringify(docs))
+      })
       return
     }
 
@@ -591,8 +600,15 @@ function startServer({ port = 3456, open: openBrowser = true } = {}) {
             break
           case 'docs:get':
             if (data.data?.projectPath) {
-              const docs = parseSillyspecDocsTree(data.data.projectPath)
-              ws.send(JSON.stringify({ type: 'docs:tree', data: docs }))
+              // SEC-06 对齐：与 /api/docs 同口径，仅已发现项目可列 docs 树
+              isKnownProjectPath(data.data.projectPath).then(known => {
+                if (!known) {
+                  ws.send(JSON.stringify({ type: 'docs:tree', data: { error: 'Unknown project path' } }))
+                  return
+                }
+                const docs = parseSillyspecDocsTree(data.data.projectPath)
+                ws.send(JSON.stringify({ type: 'docs:tree', data: docs }))
+              })
             }
             break
           default: