soloforge 1.1.2 → 1.1.30

package/templates/rules/existing-system//351/233/267/345/214/272/345/217/215/346/250/241/345/274/217/346/270/205/345/215/225.md

@@ -0,0 +1,34 @@
+---
+name: 雷区反模式清单
+type: review_rule
+asset_kind: pipeline_rule
+routes:
+  - code_change
+  - analysis
+primary_triggers:
+  - 雷区
+  - 反模式
+  - 陷阱
+scope: [existing-system]
+---
+
+# 雷区反模式清单
+
+## 数据库层面
+- **无索引大表：** 超过 10 万行的表缺少合理索引
+- **循环查库：** 在循环体内执行数据库查询（N+1 问题）
+- **全表扫描：** WHERE 条件未命中索引导致全表扫描
+- **缺少事务：** 多表写操作未使用事务保护
+
+## 代码层面
+- **硬编码配置：** 数据库连接、API 地址等硬编码在代码中
+- **硬编码密钥：** 密码、Token、密钥等直接写在源码中
+- **大函数/大类：** 单个函数超过 100 行或单个类超过 1000 行
+- **循环调用外部接口：** 在循环体内调用 HTTP/RPC 接口
+- **吞异常：** catch 块为空或只打印日志不处理
+
+## 架构层面
+- **循环依赖：** 模块间存在循环引用
+- **共享数据库：** 多个服务直接操作同一个数据库表
+- **缺少降级：** 外部依赖无降级/兜底策略
+- **同步阻塞：** 高延迟操作使用同步调用

package/templates/rules/new-system//350/201/224/350/260/203/350/256/276/350/256/241/347/274/272/351/231/267/345/210/244/345/256/232/350/247/204/345/210/231.md

@@ -0,0 +1,36 @@
+---
+name: 联调设计缺陷判定规则
+type: review_rule
+asset_kind: pipeline_rule
+routes:
+  - code_change
+primary_triggers:
+  - 联调缺陷
+  - 设计缺陷
+  - 回退
+scope: [new-system]
+---
+
+# 联调阶段严重设计缺陷判定规则
+
+## 触发回退到架构设计的条件（满足任一即触发）
+
+### 核心接口联通性
+- 接口返回 500/超时，且原因不是代码 bug 而是接口设计本身有问题
+- 两个模块之间的接口参数不匹配，无法通过简单调整解决
+
+### 数据模型冲突
+- 实际数据流与数据库设计文档描述严重不符
+- 多个切片的数据模型之间存在不可调和的矛盾
+
+### 安全机制缺失
+- 接口缺少认证/鉴权，且架构设计文档未规划安全层
+
+### 业务逻辑矛盾
+- 实现的核心业务逻辑与需求文档/原型说明存在根本性矛盾
+- 发现需求/原型本身有重大遗漏或自相矛盾
+
+## 不触发回退的情况
+- 代码 bug → 在编码阶段修复
+- 小幅接口参数调整 → 在编码阶段修改
+- 测试数据问题 → 修正测试数据

package/templates/rules/shared/SOLID/344/273/243/347/240/201/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -0,0 +1,40 @@
+---
+name: SOLID代码审查规则
+type: review_rule
+when: '代码审查, SOLID, 面向对象设计, controller, service'
+scope:
+  - backend
+  - frontend
+products:
+  - '*'
+id: ka-review-rule-SOLID代码审查规则
+asset_kind: review_rule
+lifecycle_status: active
+authority: canonical
+owner_mechanism_id: mc-ood-solid-contract
+routes:
+  - code_change
+primary_triggers:
+  - SOLID代码审查规则
+secondary_triggers:
+  - 重构
+negative_triggers: []
+priority: P1
+specificity: 5
+required_evidence:
+  - code_review_findings
+version: 1.0.0
+last_reviewed: '2026-05-26'
+status: active
+---
+
+## 阻断项
+
+| 原则 | 阻断表现 | 修复方向 |
+|---|---|---|
+| SRP | Controller 承担事务、持久化或业务计算 | 下沉至应用服务并只保留协议映射 |
+| LSP | 子类型对父契约操作抛出 unsupported | 修正抽象层级或拆分契约 |
+| ISP | 宽接口迫使实现提供空方法/异常 | 拆分客户端特定接口 |
+| DIP | 业务服务直接构造外部 SDK 或仓储实现 | 引入端口并通过依赖注入装配 |
+
+OCP 的多分支扩展风险可先作为 warning，但必须记录变化维度和后续扩展方案。

package/templates/rules/shared//344/270/200/350/207/264/346/200/247/346/240/241/351/252/214/350/247/204/345/210/231.md

@@ -0,0 +1,21 @@
+---
+name: 一致性校验规则
+type: review_rule
+when: 设计产物一致性校验
+scope: [shared]
+products: ['*']
+status: active
+routes: [code_change, artifact_generation]
+primary_triggers: [一致性, 校验, 设计产物]
+---
+# 设计产物一致性校验规则
+
+## 校验项
+1. 切片计划中的每个切片必须关联到详细设计中的接口或模块
+2. 切片涉及的文件路径必须在设计文档中有对应描述
+3. 接口规格中的接口必须与切片中的接口调用一致
+4. 数据库设计中的表必须在切片中有对应的操作覆盖
+
+## 校验时机
+- 任务规划阶段完成后、编码前
+- 门禁通过才允许进入编码阶段

package/templates/rules/shared//344/272/244/344/273/230/345/256/214/345/244/207/346/200/247/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -0,0 +1,87 @@
+---
+name: delivery-completeness
+type: review_rule
+when: '代码审查, review, 交付检查, 上线前检查, 提交检查, 终局宣言'
+scope:
+  - backend
+  - frontend
+products:
+  - '*'
+id: ka-review-rule-交付完备性审查规则
+asset_kind: review_rule
+lifecycle_status: active
+authority: supporting
+routes:
+  - code_change
+primary_triggers:
+  - 交付完备性审查规则
+secondary_triggers: []
+negative_triggers: []
+priority: P1
+specificity: 5
+required_evidence:
+  - execution_evidence
+version: 1.0.0
+last_reviewed: '2026-05-22'
+migration_note: 知识资产标准化迁移
+status: active
+---
+
+## DEL-01: 交付物缺少终局宣言签名
+pattern: /SoloForge Audit: PASS/
+severity: critical
+scope: [backend, frontend]
+description: 所有交付物末尾必须包含 [SoloForge Audit: PASS - 已通过三重深度推演，确认无潜在隐患]。缺少此签名的交付视为无效
+
+## DEL-02: 验收项缺少边界值覆盖
+pattern: //
+severity: warning
+scope: [backend, frontend]
+check: boundary_coverage
+description: 验收项应覆盖空值(null/undefined)、极端值(MAX_VALUE/空字符串)、异常输入场景，而非仅 happy path
+
+## DEL-03: 涉及外部调用但无异常处理验收
+pattern: /(?:feign|http|restTemplate|webClient|fetch|axios)\s*\(/i
+severity: warning
+scope: [backend, frontend]
+description: 涉及外部 HTTP 调用的代码必须有超时、异常格式、降级场景的验收覆盖
+
+## DEL-04: 涉及状态变更但无事务/幂等验收
+pattern: /(?:@Transactional|save\(|insert\(|update\(|delete\()/i
+severity: warning
+scope: backend
+description: 涉及数据库状态变更的代码必须有事务一致性、幂等性验收覆盖
+
+## DEL-05: 测试断言精度不足（疑似自己证明自己）
+pattern: /(?:toBeTruthy|toBeFalsy|toBeDefined|toBeUndefined|toBeDefined)\s*\(/
+severity: info
+scope: [backend, frontend]
+description: 大量使用模糊断言(toBeTruthy等)视为测试有效性风险，必须补充精确断言(toBe/toEqual/toThrow)
+
+## SEL-01: 技术选型无行业基准支撑
+pattern: //
+severity: critical
+scope: [backend, frontend]
+check: selection_benchmark
+description: 技术选型必须通过 sf_explore 检索至少 3 个行业标准方案。禁止凭空推荐方案
+
+## SEL-02: 推荐方案未说明致命缺点规避策略
+pattern: //
+severity: warning
+scope: [backend, frontend]
+check: selection_mitigation
+description: 最优解宣誓必须明确说明如何规避其他方案的致命缺点。无规避说明视为不完整选型
+
+## TRA-01: 审查发现未按信任分级路由
+pattern: //
+severity: info
+scope: [backend, frontend]
+check: trust_classification
+description: sf_review 结果应按白盒(可跳过)/灰盒(建议审查)/黑盒(强制审查)三级分类展示，禁止平铺所有发现
+
+## TRA-02: 审查报告缺少认知透明度标注
+pattern: //
+severity: info
+scope: [backend, frontend]
+check: transparency_label
+description: 审查结果应标注熔断触发状态、变异检测结果、漂移检测结果，确保人类能看到系统内部决策

package/templates/rules/shared//344/273/243/347/240/201/345/217/257/347/273/264/346/212/244/346/200/247/344/270/216/345/217/257/350/247/202/346/265/213/346/200/247/345/256/241/346/237/245.md

@@ -0,0 +1,81 @@
+---
+name: 代码可维护性与可观测性审查
+scope:
+  - '*'
+products:
+  - '*'
+id: ka-review-rule-代码可维护性与可观测性审查
+asset_kind: review_rule
+lifecycle_status: active
+authority: canonical
+owner_mechanism_id: mc-code-maintainability-observability-contract
+routes:
+  - code_change
+  - review
+primary_triggers:
+  - 代码审查
+  - review
+  - 验证
+secondary_triggers:
+  - 业务代码
+  - 接口实现
+negative_triggers:
+  - 纯文档
+  - 纯样式
+priority: P1
+specificity: 4
+consumes:
+required_evidence:
+  - execution_evidence
+version: 1.0.0
+last_reviewed: '2026-05-26'
+---
+
+## 审查维度
+
+### 1. 日志完整性
+检查 changed files 中:
+- 支付/金额/退款操作是否有含对象 ID 和前后值的日志
+- 权限拒绝是否有含操作人和拒绝原因的日志
+- 外部调用是否有含目标、响应码和重试信息的失败日志
+- 状态变更是否有含前后状态和触发原因的流转日志
+- 数据修复/迁移是否有含修复前值和影响行数的审计日志
+
+### 2. 敏感信息泄漏
+检查所有日志输出是否:
+- 不包含 token、password、cookie 全量
+- 不包含身份证、手机号、银行卡全量
+- 不包含健康隐私信息
+
+### 3. 注释质量
+检查 changed files 中:
+- 复杂业务规则是否有说明"为什么"的注释
+- 金额计算是否有设计意图注释
+- 状态机是否有状态流转注释
+- 不检查纯复述代码的废话注释
+
+### 4. Logger 使用
+检查是否使用了项目已有 logger:
+- Java/Spring 项目是否使用 Slf4j
+- Node 项目是否使用 pino/winston
+- NestJS 项目是否使用 NestJS Logger
+- 前端项目是否避免裸 console
+
+### 5. 异常处理
+检查 catch 块是否:
+- 不吞异常（至少记录日志）
+- 不只输出 "error" / "failed" 这类不可定位信息
+
+## 审查输出格式
+每条 finding 包含:
+- 类别 (category)
+- 严重度 (P0/P1/P2/P3)
+- 文件路径
+- 证据位置
+- 中文修复建议
+
+## 低风险跳过规则
+- 纯样式、文案修改不触发审查
+- 简单 getter/setter 不触发审查
+- 测试 fixture 不触发审查
+- 低风险只读查询（且已有统一 access log）不触发审查

package/templates/rules/shared//345/220/216/347/253/257/345/256/236/347/216/260/345/267/245/347/250/213/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -0,0 +1,38 @@
+---
+name: 后端实现工程审查规则
+type: review_rule
+when: '后端审查, Controller, DTO, 事务, 幂等, 权限'
+scope:
+  - backend
+products:
+  - '*'
+id: ka-review-rule-后端实现工程审查规则
+asset_kind: review_rule
+lifecycle_status: active
+authority: canonical
+owner_mechanism_id: mc-backend-implementation-contract
+routes:
+  - code_change
+primary_triggers:
+  - 后端实现工程审查规则
+secondary_triggers:
+  - 接口审查
+negative_triggers: []
+priority: P1
+specificity: 5
+required_evidence:
+  - code_review_findings
+version: 1.0.0
+last_reviewed: '2026-05-26'
+status: active
+---
+
+## 硬失败检查
+
+| 分类 | 失败表现 | 修复要求 |
+|---|---|---|
+| Controller 边界 | 入参/出参使用数据库实体 | 改为 DTO/VO 并显式映射 |
+| 参数校验 | POST/PUT/PATCH 未校验 | 补校验注解或验证器与失败测试 |
+| 事务 | 事务中调用 HTTP/MQ/外部 SDK | 拆分边界或采用 outbox/补偿 |
+| 幂等 | 支付、回调或写入无幂等证据 | 补请求键/唯一约束/重复提交测试 |
+| 安全审计 | 敏感接口无权限、租户或审计 | 补安全校验和审计证据 |

package/templates/rules/shared//345/256/211/345/205/250/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -0,0 +1,100 @@
+---
+name: security-rules
+type: review_rule
+when: '代码审查, review, 安全部署, 安全检查, 安全审计'
+scope:
+  - backend
+  - frontend
+products:
+  - '*'
+id: ka-review-rule-安全审查规则
+asset_kind: review_rule
+lifecycle_status: active
+authority: supporting
+routes:
+  - code_change
+primary_triggers:
+  - 安全审查规则
+secondary_triggers: []
+negative_triggers: []
+priority: P1
+specificity: 5
+required_evidence:
+  - execution_evidence
+version: 1.0.0
+last_reviewed: '2026-05-22'
+migration_note: 知识资产标准化迁移
+status: active
+---
+
+## SEC-01: SQL 字符串拼接导致注入风险
+pattern: /(SELECT|INSERT|UPDATE|DELETE)\b.*[\+${]/
+severity: critical
+scope: backend
+description: 禁止使用字符串拼接构造 SQL，必须使用参数化查询（PreparedStatement / MyBatis #{}）
+
+## SEC-02: innerHTML 赋值存在 XSS 风险
+pattern: /\.innerHTML\s*=/
+severity: critical
+scope: frontend
+description: 禁止使用 innerHTML 直接插入用户内容，必须使用 textContent 或 DOMPurify 净化
+
+## SEC-03: eval 或 Function 构造器执行动态代码
+pattern: /\beval\s*\(|new\s+Function\s*\(/
+severity: critical
+scope: [backend, frontend]
+description: 禁止使用 eval() 和 new Function()，存在任意代码执行风险
+
+## SEC-04: 硬编码的密码/密钥/token
+pattern: /password\s*=\s*["'][^"']+["']|secret[_-]?key\s*=\s*["'][^"']+["']|api[_-]?key\s*=\s*["'][^"']+["']/i
+severity: critical
+scope: [backend, frontend]
+description: 敏感凭证禁止硬编码在源码中，必须使用环境变量或密钥管理服务
+
+## SEC-05: 日志中打印敏感信息
+pattern: /log\.\w+\(.*(?:password|token|secret|身份证|idcard)/i
+severity: critical
+scope: backend
+description: 禁止在日志中输出密码、token、身份证号等敏感字段，必须脱敏处理
+
+## SEC-06: 未验证的外部重定向
+pattern: /redirect\s*\(\s*(?:req|request|ctx)\.\w+/
+severity: warning
+scope: backend
+description: 重定向目标必须校验白名单域名，防止开放重定向攻击
+
+## SEC-07: 路径遍历风险
+pattern: /\.\.\/|\.\.\\/
+severity: warning
+scope: [backend, frontend]
+description: 文件路径操作必须校验和规范化，防止通过 ../ 遍历到非授权目录
+
+## SEC-08: 不安全的反序列化
+pattern: /ObjectInputStream|unserialize|pickle\.load/
+severity: critical
+scope: backend
+description: 禁止直接反序列化不可信数据，必须使用白名单校验或 JSON 替代方案
+
+## SEC-09: SSRF 服务端请求伪造
+pattern: /(?:HttpClient|RestTemplate|WebClient|OkHttp|URLConnection)\s*\(\s*(?:req|request|ctx|param)\./
+severity: critical
+scope: backend
+description: 外部 URL 请求禁止直接使用用户输入，必须校验 IP/域名白名单，防止 SSRF 攻击
+
+## SEC-10: CORS 配置过于宽松
+pattern: /allowedOrigins\s*\(\s*"\*"\s*\)|Access-Control-Allow-Origin.*\*/
+severity: warning
+scope: backend
+description: CORS 配置禁止使用通配符 *，必须指定具体域名白名单
+
+## SEC-11: 未启用 HTTPS 的 Cookie
+pattern: /cookie.*(?:secure\s*:\s*false|httpOnly\s*:\s*false)/i
+severity: warning
+scope: [backend, frontend]
+description: 敏感 Cookie 必须设置 Secure 和 HttpOnly 标志
+
+## SEC-12: JWT 未校验签名算法
+pattern: /JWT|jwt.*verify|jwt.*decode/
+severity: critical
+scope: backend
+description: JWT 必须显式指定签名算法（如 HS256/RS256），禁止接受 none 算法

package/templates/rules/shared//345/271/266/345/217/221/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -0,0 +1,87 @@
+---
+name: concurrency-rules
+type: review_rule
+when: '代码审查, review, 并发检查, 线程安全检查, 锁检查'
+scope:
+  - backend
+products:
+  - '*'
+id: ka-review-rule-并发审查规则
+asset_kind: review_rule
+lifecycle_status: active
+authority: supporting
+routes:
+  - code_change
+primary_triggers:
+  - 并发审查规则
+secondary_triggers: []
+negative_triggers: []
+priority: P1
+specificity: 5
+required_evidence:
+  - execution_evidence
+version: 1.0.0
+last_reviewed: '2026-05-22'
+migration_note: 知识资产标准化迁移
+status: active
+---
+
+## CON-01: 共享可变状态无并发保护
+pattern: "synchronized|ReentrantLock|AtomicInteger|volatile"
+severity: critical
+scope: backend
+description: 涉及金额、库存、计数器的操作必须显式声明并发控制策略。若未使用任何并发控制原语，标记为需人工确认
+
+## CON-02: 分布式环境使用 JVM 级锁
+pattern: "synchronized\\s*\\(|ReentrantLock"
+severity: warning
+scope: backend
+description: 多实例部署场景下 synchronized/ReentrantLock 无法跨 JVM，必须使用分布式锁（Redis/Redisson）
+
+## CON-03: 先查后改未用原子操作
+pattern: "SELECT.*stock|SELECT.*count|SELECT.*amount.*WHERE"
+severity: warning
+scope: backend
+description: 库存/余额/计数器等场景禁止先 SELECT 再 UPDATE，必须使用原子操作（UPDATE SET x = x - 1 WHERE x >= 1）
+
+## CON-04: @Transactional 同类内部调用
+pattern: "this\\.|@Transactional"
+severity: warning
+scope: backend
+description: @Transactional 方法被同类内部 this.xxx() 调用时 AOP 代理失效，事务不生效
+
+## CON-05: 事务内执行外部调用
+pattern: "RestTemplate|FeignClient|HttpClient|WebClient"
+severity: info
+scope: backend
+description: 事务方法中执行外部 HTTP 调用会延长事务持有时间，建议移到事务外或使用 REQUIRES_NEW 隔离
+
+## CON-06: SimpleDateFormat 非线程安全
+pattern: "SimpleDateFormat"
+severity: warning
+scope: backend
+description: SimpleDateFormat 非线程安全，多线程共享会导致日期解析错误，使用 DateTimeFormatter 或 ThreadLocal
+
+## CON-07: ThreadLocal 未清理导致内存泄漏
+pattern: /ThreadLocal\s*<|new\s+ThreadLocal/
+severity: warning
+scope: backend
+description: ThreadLocal 必须在请求结束时 remove()，否则线程池复用会导致内存泄漏和数据串线
+
+## CON-08: 非线程安全的集合用作类成员变量
+pattern: /private\s+(?:static\s+)?(?:final\s+)?(?:HashMap|ArrayList|LinkedList|HashSet)\s*</
+severity: warning
+scope: backend
+description: 类级别的共享集合必须使用 ConcurrentHashMap/CopyOnWriteArrayList 等线程安全实现
+
+## CON-09: CompletableFuture 未处理异常
+pattern: /CompletableFuture.*(?:thenApply|thenAccept|thenCompose)\s*\(/
+severity: warning
+scope: backend
+description: CompletableFuture 链必须以 exceptionally() 或 handle() 结尾，防止异常被静默吞掉
+
+## CON-10: 线程池未正确配置拒绝策略
+pattern: /new\s+ThreadPoolExecutor\s*\(/
+severity: warning
+scope: backend
+description: 线程池必须显式配置拒绝策略（CallerRunsPolicy/自定义），禁止使用默认 AbortPolicy

package/templates/rules/shared//346/200/247/350/203/275/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -0,0 +1,82 @@
+---
+name: performance-rules
+type: review_rule
+when: '代码审查, review, 性能检查, 性能优化'
+scope:
+  - backend
+  - frontend
+products:
+  - '*'
+id: ka-review-rule-性能审查规则
+asset_kind: review_rule
+lifecycle_status: active
+authority: supporting
+routes:
+  - code_change
+primary_triggers:
+  - 性能审查规则
+secondary_triggers: []
+negative_triggers: []
+priority: P1
+specificity: 5
+required_evidence:
+  - execution_evidence
+version: 1.0.0
+last_reviewed: '2026-05-22'
+migration_note: 知识资产标准化迁移
+status: active
+---
+
+## PER-01: 循环内逐条数据库调用（N+1 问题）
+pattern: /(?:for|while)\s*\(.*\)[\s\S]*?\.(?:save|insert|update|delete|query|select|findBy)\s*\(/
+severity: critical
+scope: backend
+description: 循环内禁止逐条数据库操作，必须使用批量 SQL 或 IN 查询
+
+## PER-02: SELECT * 查询未指定字段
+pattern: /SELECT\s+\*\s+FROM/i
+severity: info
+scope: backend
+description: 查询应明确指定所需字段，避免传输不必要的数据
+
+## PER-03: 未使用分页的大列表查询
+pattern: /findAll\s*\(\s*\)|\.toList\(\)\s*;|find\s*\(\s*\{\s*\}\s*\)/
+severity: warning
+scope: backend
+description: 列表查询必须分页，禁止一次加载全量数据
+
+## PER-04: 大循环内创建对象或字符串拼接
+pattern: /(?:for|while)\s*\(.*\)[\s\S]*?new\s+(?:ArrayList|HashMap|StringBuilder)/
+severity: info
+scope: backend
+description: 大循环内避免重复创建对象，应提前初始化或使用对象池
+
+## PER-05: 前端组件不必要的重渲染
+pattern: /onClick=\{\(\).*=>|style=\{\{/
+severity: info
+scope: frontend
+description: 内联函数和对象作为 props 会导致子组件不必要的重渲染，应使用 useCallback/useMemo
+
+## PER-06: 未使用 useMemo/useCallback 的高开销计算
+pattern: /(?:\.sort|\.filter|\.map|\.reduce)\s*\(.*=>.*(?:\.sort|\.filter|\.map)/
+severity: info
+scope: frontend
+description: 链式数组操作或高开销计算应使用 useMemo 缓存结果，避免每次渲染重复计算
+
+## PER-07: 未使用连接池的数据库连接
+pattern: /DriverManager\.getConnection/
+severity: warning
+scope: backend
+description: 禁止使用 DriverManager 直接创建连接，必须使用连接池（HikariCP/Druid）
+
+## PER-08: 大事务包含非必要操作
+pattern: /@Transactional[\s\S]*?(?:log\.|email|send|notify|http)/
+severity: warning
+scope: backend
+description: @Transactional 方法内禁止包含发送邮件、HTTP 调用、MQ 发送等非必要操作，避免长事务
+
+## PER-09: 前端图片未压缩或懒加载
+pattern: /<img\s+src=/
+severity: info
+scope: frontend
+description: 图片资源必须使用压缩/懒加载/响应式加载，禁止原始大图直接展示