soloforge 1.1.38 → 1.1.42

package/templates/rules/shared//345/216/237/345/236/213/346/272/220/347/240/201/346/217/220/345/217/226/350/247/204/345/210/231.md

@@ -0,0 +1,67 @@
+---
+name: prototype-source-extraction
+type: governance_rule
+stages: ["需求分析"]
+lifecycle_status: active
+owner_mechanism_id: mc-command-router
+scope:
+  - backend
+  - frontend
+products:
+  - '*'
+priority: P0
+triggers: ["原型提取","源码分析","source extraction","prototype source"]
+---
+
+# 原型源码提取规则
+
+## 必须读取的源码材料
+
+需求分析阶段，必须从以下路径模式读取源码材料：
+
+1. `src/**/*Controller.ts` — 控制器层，提取路由定义和请求处理逻辑
+2. `src/**/*Service.ts` — 服务层，提取业务规则和流程编排
+3. `src/**/*Repository.ts` / `src/**/*Dao.ts` — 数据访问层，提取数据模型和查询逻辑
+4. `src/**/*Model.ts` / `src/**/*Entity.ts` — 实体定义，提取字段和约束
+5. `src/**/*Config.ts` / `config/**/*` — 配置文件，提取环境依赖和参数
+6. `src/**/*Middleware.ts` — 中间件，提取横切关注点（认证、日志等）
+7. `src/pages/**/*` / `src/views/**/*` / `app/**/page.tsx` — 页面组件，提取路由和页面结构
+8. `src/components/**/*` — UI 组件，提取组件树和 props
+9. `src/stores/**/*` / `src/state/**/*` — 状态管理，提取数据流和状态转换
+10. `src/styles/**/*` / `src/tokens.*` / `tailwind.config.*` — 设计令牌，提取色彩/间距/字体
+11. `src/api/**/*` / `src/services/**/*` — API 客户端，提取接口调用和数据绑定
+12. `src/i18n/**/*` / `src/locales/**/*` — 国际化文件，提取文案和术语
+
+### 可选设计资源路径
+
+> SoloForge 核心场景是从源码提取。以下路径为可选，但一旦存在必须标注引用。
+
+13. `design/**/*` / `figma-export/**/*` / `prototype-export/**/*` — 设计稿导出文件
+14. `*.figma` / `*.sketch` — 原始设计文件路径（仅标注，不直接读取）
+15. `docs/design/**/*` / `docs/prototype/**/*` — 设计文档
+
+### 接口与数据规格路径
+
+16. `openapi.*` / `swagger.*` / `api-docs/**/*` — API 规格文件
+17. `prisma/schema.prisma` / `drizzle/schema.ts` / `knexfile.*` — ORM schema
+18. `migrations/**/*` / `db/migrate/**/*` — 数据库迁移文件
+
+## 禁止来源
+
+以下来源不得作为需求分析的源码材料依据：
+
+1. 禁止仅凭口头描述编写需求，必须有源码证据支撑
+2. 禁止从 `node_modules/` 或第三方库源码推断需求
+3. 禁止使用 `dist/` 或编译产物代替源码
+4. 禁止从测试文件反推需求规格（测试用于验证，不用于定义）
+
+## 证据标记规范
+
+每个提取的需求点必须标注来源证据：
+
+- `[SRC:文件路径:行号]` — 直接从源码提取
+- `[LOG:日志片段]` — 从运行日志推导（需标注日志来源）
+- `[CFG:配置项]` — 从配置文件提取
+- `[REF:引用链路]` — 从调用链路推导（需标注链路起点和终点）
+- `[DES:设计资源路径]` — 设计稿提取（需人工确认）
+- `[INF:推理结论]` — AI 推理（低置信，必须标注推理依据，须人工确认才可进入基线）

package/templates/rules/shared//345/216/237/345/236/213/350/257/264/346/230/216/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -0,0 +1,73 @@
+---
+name: prototype-specification-review
+type: review_rule
+scope:
+  - frontend
+products:
+  - '*'
+id: ka-review-rule-原型说明审查规则
+lifecycle_status: active
+authority: supporting
+priority: P1
+stages: ["需求分析"]
+owner_mechanism_id: mc-generic-artifact
+triggers: ["原型审查","原型说明审查","prototype review"]
+---
+
+# 原型说明审查规则
+
+## PROT-01: 完整性
+
+pattern: 原型说明模版 10 个章节无空洞
+severity: error
+scope: [frontend]
+description: 原型说明必须完整覆盖 10 个章节（含第 9 章边界异常和第 10 章无障碍），不得有空章节、TODO 占位或 `-` 单独占位。
+
+## PROT-02: 证据标记
+
+pattern: 所有章节内容标注来源标记
+severity: warning
+scope: [frontend]
+description: 所有内容必须使用统一证据标记体系 [SRC]/[LOG]/[CFG]/[REF]/[DES]/[INF]，不得有无标记的断言。
+
+## PROT-03: 交互闭环
+
+pattern: 状态机无死端，所有异常分支有处理
+severity: error
+scope: [frontend]
+description: 第 5 章交互流转的状态机图必须所有路径有终止状态，第 9 章异常分支每个子节至少 1 条场景。
+
+## PROT-04: 术语一致
+
+pattern: 使用与项目术语表一致的命名
+severity: warning
+scope: [frontend]
+description: 原型说明中的术语必须与需求分析第 3 章术语表一致，不得使用未定义的同义词。
+
+## PROT-05: 令牌引用
+
+pattern: 色彩/间距/字体引用设计令牌而非硬编码色值
+severity: warning
+scope: [frontend]
+description: 第 2 章设计令牌中定义的令牌名必须在第 6 章视觉状态中引用，禁止出现硬编码色值（如 #FF0000）。
+
+## PROT-06: 无障碍完备
+
+pattern: 第 10 章 5 个子节无空洞
+severity: warning
+scope: [frontend]
+description: 第 10 章无障碍的 5 个子节（键盘导航/ARIA/焦点管理/色彩对比度/屏幕阅读器）必须全部填写，不得有空子节。
+
+## PROT-07: 响应式覆盖
+
+pattern: 至少覆盖 Desktop / Mobile 两个断点
+severity: warning
+scope: [frontend]
+description: 第 7 章响应式断点必须至少包含 Desktop 和 Mobile 两个断点定义。
+
+## PROT-08: 异常覆盖
+
+pattern: 第 9 章 4 个子节每节至少 1 条场景
+severity: error
+scope: [frontend]
+description: 第 9 章边界与异常分支的 4 个子节（数据边界/网络权限异常/并发竞态/加载态）每节至少 1 条场景记录。

package/templates/rules/shared//345/217/221/345/270/203/345/220/216/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -1,28 +1,20 @@
 ---
 name: post-release-review
 type: review_rule
-when: '发布后, 上线观察, post-release review'
 scope:
   - backend
   - frontend
 products:
   - '*'
 id: ka-review-rule-发布后审查规则
-asset_kind: review_rule
 lifecycle_status: active
 owner_mechanism_id: mc-delivery-gate
 authority: supporting
-primary_triggers:
-  - 发布后审查规则
-secondary_triggers:
-  - 发布后审查
-  - 上线观察
-negative_triggers: []
 priority: P1
-specificity: 5
-version: 1.1.0
-last_reviewed: '2026-06-01'
+version: 1.2.0
+last_reviewed: '2026-06-04'
 stages: ["代码审查"]
+triggers: ["发布后","上线观察","post-release review"]
 ---
 
 # 发布后审查规则
@@ -30,27 +22,44 @@ stages: ["代码审查"]
 ## REL-01: 监控指标在阈值内
 
 pattern: 发布后关键监控指标必须在正常范围内
-severity: warning
+severity: error
+check_type: deterministic
 scope: [backend, frontend]
-description: 错误率、响应时间、吞吐量等关键指标在发布后 30 分钟内必须在历史基线 ±20% 范围内
+description: 错误率、响应时间、吞吐量等关键指标在发布后 30 分钟内必须在历史基线 ±20% 范围内。监控指标必须通过，不得为建议项。
+evidence_required:
+  - "监控指标报告路径"
+  - "错误率/响应时间/吞吐量数值"
+  - "与基线对比结果（须在 ±20% 范围内）"
 
 ## REL-02: 无新增告警
 
 pattern: 发布后不得产生新的异常告警
 severity: warning
+check_type: deterministic
 scope: [backend, frontend]
 description: 发布后检查告警系统，不得有因本次发布新增的错误日志或异常告警
+evidence_required:
+  - "告警系统检查结果"
+  - "新增告警列表（须为空）"
 
 ## REL-03: 回滚预案已验证
 
 pattern: 回滚操作必须在发布前验证过
 severity: warning
+check_type: deterministic
 scope: [backend, frontend]
 description: 回滚预案必须经过实际演练或自动化验证，确认回滚操作可在 5 分钟内完成
+evidence_required:
+  - "回滚预案文档路径"
+  - "演练/验证记录"
 
 ## REL-04: 数据一致性确认
 
 pattern: 发布后必须验证数据一致性
 severity: warning
+check_type: deterministic
 scope: backend
 description: 涉及数据库变更的发布，发布后必须验证新老数据的一致性（数据校验脚本通过）
+evidence_required:
+  - "数据一致性校验脚本路径"
+  - "校验结果（须通过）"

package/templates/rules/shared//345/220/216/347/253/257/345/256/236/347/216/260/345/267/245/347/250/213/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -1,38 +1,63 @@
 ---
 name: backend-implementation-review
 type: review_rule
-when: '后端审查, Controller, DTO, 事务, 幂等, 权限'
 scope:
   - backend
 products:
   - '*'
 id: ka-review-rule-后端实现工程审查规则
-asset_kind: review_rule
 lifecycle_status: active
 authority: canonical
 owner_mechanism_id: mc-backend-implementation-contract
-primary_triggers:
-  - 后端实现工程审查规则
-secondary_triggers:
-  - 接口审查
-negative_triggers: []
 priority: P1
-specificity: 5
 consumes:
   - mc-ood-solid-contract
 required_evidence:
   - code_review_findings
-version: 1.1.0
-last_reviewed: '2026-06-01'
+version: 1.2.0
+last_reviewed: '2026-06-04'
 stages: ["编码与单元测试", "联调验证"]
+triggers: ["后端审查","Controller","DTO","事务","幂等","权限"]
 ---
 
-## 硬失败检查
+# 后端实现工程审查规则
 
-| 分类 | 失败表现 | 修复要求 |
-|---|---|---|
-| Controller 边界 | 入参/出参使用数据库实体 | 改为 DTO/VO 并显式映射 |
-| 参数校验 | POST/PUT/PATCH 未校验 | 补校验注解或验证器与失败测试 |
-| 事务 | 事务中调用 HTTP/MQ/外部 SDK | 拆分边界或采用 outbox/补偿 |
-| 幂等 | 支付、回调或写入无幂等证据 | 补请求键/唯一约束/重复提交测试 |
-| 安全审计 | 敏感接口无权限、租户或审计 | 补安全校验和审计证据 |
+## BIE-01: Controller 边界
+- id: BIE-01
+- name: Controller 边界
+- severity: error
+- check_type: deterministic
+- pattern: Controller 入参/出参使用数据库实体 → 改为 DTO/VO 并显式映射
+- description: Controller 层不得直接暴露数据库实体。入参使用 RequestDTO，出参使用 ResponseVO/ResponseDTO，通过 Mapper 显式转换。
+
+## BIE-02: 参数校验
+- id: BIE-02
+- name: 参数校验
+- severity: error
+- check_type: deterministic
+- pattern: POST/PUT/PATCH 端点必须有参数校验注解或验证器，且校验失败有测试覆盖
+- description: 所有 POST/PUT/PATCH 端点必须使用 @Valid/@Validated 或自定义 Validator。校验失败的路径必须有测试用例覆盖。
+
+## BIE-03: 事务
+- id: BIE-03
+- name: 事务
+- severity: error
+- check_type: deterministic
+- pattern: 事务中不得调用 HTTP/MQ/外部 SDK；违反须拆分边界或采用 outbox/补偿模式
+- description: 事务范围内禁止包含 HTTP 调用、消息队列发送、外部 SDK 调用。需要跨系统一致性时使用 outbox 模式或补偿事务。
+
+## BIE-04: 幂等
+- id: BIE-04
+- name: 幂等
+- severity: error
+- check_type: deterministic
+- pattern: 支付、回调或写入操作必须有幂等证据（请求键/唯一约束/重复提交测试）
+- description: 涉及支付、回调、写入的接口必须有幂等保护。通过请求键（idempotency key）、数据库唯一约束或分布式锁实现，并提供重复提交测试用例。
+
+## BIE-05: 安全审计
+- id: BIE-05
+- name: 安全审计
+- severity: error
+- check_type: deterministic
+- pattern: 敏感接口必须有权限校验、租户隔离和审计日志
+- description: 涉及敏感数据的接口必须实现权限校验（RBAC/ABAC）、多租户数据隔离、操作审计日志。缺少任一项视为 hard_fail。

package/templates/rules/shared//345/256/211/345/205/250/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -1,96 +1,132 @@
 ---
 name: security-rules
 type: review_rule
-when: '代码审查, review, 安全部署, 安全检查, 安全审计'
 scope:
   - backend
   - frontend
 products:
   - '*'
 id: ka-review-rule-安全审查规则
-asset_kind: review_rule
 lifecycle_status: active
 owner_mechanism_id: mc-generic-review
 authority: supporting
-primary_triggers:
-  - 安全审查规则
-secondary_triggers: []
-negative_triggers: []
 priority: P1
-specificity: 5
-version: 1.1.0
-last_reviewed: '2026-06-01'
+version: 1.2.0
+last_reviewed: '2026-06-04'
 stages: ["代码审查"]
+triggers: ["代码审查","review","安全部署","安全检查","安全审计"]
 ---
 
 ## SEC-01: SQL 字符串拼接导致注入风险
 pattern: /(SELECT|INSERT|UPDATE|DELETE)\b.*[\+${]/
-severity: critical
+severity: error
+check_type: deterministic
 scope: backend
 description: 禁止使用字符串拼接构造 SQL，必须使用参数化查询（PreparedStatement / MyBatis #{}）
+evidence_required:
+  - "扫描结果：含 SQL 拼接的文件路径+行号"
+  - "修复确认：参数化查询替换证据"
 
 ## SEC-02: innerHTML 赋值存在 XSS 风险
 pattern: /\.innerHTML\s*=/
-severity: critical
+severity: error
+check_type: deterministic
 scope: frontend
 description: 禁止使用 innerHTML 直接插入用户内容，必须使用 textContent 或 DOMPurify 净化
+evidence_required:
+  - "扫描结果：含 innerHTML 赋值的文件路径+行号"
+  - "修复确认：使用安全替代方案证据"
 
 ## SEC-03: eval 或 Function 构造器执行动态代码
 pattern: /\beval\s*\(|new\s+Function\s*\(/
-severity: critical
+severity: error
+check_type: deterministic
 scope: [backend, frontend]
 description: 禁止使用 eval() 和 new Function()，存在任意代码执行风险
+evidence_required:
+  - "扫描结果：含 eval/Function 的文件路径+行号"
 
 ## SEC-04: 硬编码的密码/密钥/token
 pattern: /password\s*=\s*["'][^"']+["']|secret[_-]?key\s*=\s*["'][^"']+["']|api[_-]?key\s*=\s*["'][^"']+["']/i
-severity: critical
+severity: error
+check_type: deterministic
 scope: [backend, frontend]
 description: 敏感凭证禁止硬编码在源码中，必须使用环境变量或密钥管理服务
+evidence_required:
+  - "扫描结果：含硬编码凭证的文件路径+行号"
+  - "修复确认：迁移到环境变量/密钥管理服务证据"
 
 ## SEC-05: 日志中打印敏感信息
 pattern: /log\.\w+\(.*(?:password|token|secret|身份证|idcard)/i
-severity: critical
+severity: error
+check_type: deterministic
 scope: backend
 description: 禁止在日志中输出密码、token、身份证号等敏感字段，必须脱敏处理
+evidence_required:
+  - "扫描结果：含敏感信息日志的文件路径+行号"
+  - "修复确认：脱敏处理证据"
 
 ## SEC-06: 未验证的外部重定向
 pattern: /redirect\s*\(\s*(?:req|request|ctx)\.\w+/
 severity: warning
+check_type: deterministic
 scope: backend
 description: 重定向目标必须校验白名单域名，防止开放重定向攻击
+evidence_required:
+  - "扫描结果：含未验证重定向的文件路径+行号"
 
 ## SEC-07: 路径遍历风险
 pattern: /\.\.\/|\.\.\\/
 severity: warning
+check_type: deterministic
 scope: [backend, frontend]
 description: 文件路径操作必须校验和规范化，防止通过 ../ 遍历到非授权目录
+evidence_required:
+  - "扫描结果：含路径遍历风险的文件路径+行号"
 
 ## SEC-08: 不安全的反序列化
 pattern: /ObjectInputStream|unserialize|pickle\.load/
-severity: critical
+severity: error
+check_type: deterministic
 scope: backend
 description: 禁止直接反序列化不可信数据，必须使用白名单校验或 JSON 替代方案
+evidence_required:
+  - "扫描结果：含不安全反序列化的文件路径+行号"
 
 ## SEC-09: SSRF 服务端请求伪造
 pattern: /(?:HttpClient|RestTemplate|WebClient|OkHttp|URLConnection)\s*\(\s*(?:req|request|ctx|param)\./
-severity: critical
+severity: error
+check_type: deterministic
 scope: backend
 description: 外部 URL 请求禁止直接使用用户输入，必须校验 IP/域名白名单，防止 SSRF 攻击
+evidence_required:
+  - "扫描结果：含 SSRF 风险的文件路径+行号"
+  - "修复确认：白名单校验证据"
 
 ## SEC-10: CORS 配置过于宽松
 pattern: /allowedOrigins\s*\(\s*"\*"\s*\)|Access-Control-Allow-Origin.*\*/
 severity: warning
+check_type: deterministic
 scope: backend
 description: CORS 配置禁止使用通配符 *，必须指定具体域名白名单
+evidence_required:
+  - "扫描结果：含宽松 CORS 配置的文件路径+行号"
 
 ## SEC-11: 未启用 HTTPS 的 Cookie
 pattern: /cookie.*(?:secure\s*:\s*false|httpOnly\s*:\s*false)/i
 severity: warning
+check_type: deterministic
 scope: [backend, frontend]
 description: 敏感 Cookie 必须设置 Secure 和 HttpOnly 标志
+evidence_required:
+  - "扫描结果：含不安全 Cookie 配置的文件路径+行号"
 
 ## SEC-12: JWT 未校验签名算法
 pattern: /JWT|jwt.*verify|jwt.*decode/
-severity: critical
+severity: error
+check_type: deterministic
 scope: backend
 description: JWT 必须显式指定签名算法（如 HS256/RS256），禁止接受 none 算法
+evidence_required:
+  - "扫描结果：含 JWT 操作的文件路径+行号"
+  - "修复确认：显式指定签名算法证据"

package/templates/rules/shared//345/271/266/345/217/221/345/256/241/346/237/245/350/247/204/345/210/231.md

@@ -1,83 +1,112 @@
 ---
 name: concurrency-rules
 type: review_rule
-when: '代码审查, review, 并发检查, 线程安全检查, 锁检查'
 scope:
   - backend
 products:
   - '*'
 id: ka-review-rule-并发审查规则
-asset_kind: review_rule
 lifecycle_status: active
 owner_mechanism_id: mc-generic-review
 authority: supporting
-primary_triggers:
-  - 并发审查规则
-secondary_triggers: []
-negative_triggers: []
 priority: P1
-specificity: 5
-version: 1.1.0
-last_reviewed: '2026-06-01'
+version: 1.2.0
+last_reviewed: '2026-06-04'
 stages: ["代码审查"]
+triggers: ["代码审查","review","并发检查","线程安全检查","锁检查"]
 ---
 
 ## CON-01: 共享可变状态无并发保护
 pattern: "synchronized|ReentrantLock|AtomicInteger|volatile"
-severity: critical
+severity: error
+check_type: deterministic
 scope: backend
 description: 涉及金额、库存、计数器的操作必须显式声明并发控制策略。若未使用任何并发控制原语，标记为需人工确认
+evidence_required:
+  - "扫描结果：含共享可变状态的文件路径+行号"
+  - "并发控制策略声明"
 
 ## CON-02: 分布式环境使用 JVM 级锁
 pattern: "synchronized\\s*\\(|ReentrantLock"
 severity: warning
+check_type: deterministic
 scope: backend
 description: 多实例部署场景下 synchronized/ReentrantLock 无法跨 JVM，必须使用分布式锁（Redis/Redisson）
+evidence_required:
+  - "扫描结果：含 JVM 级锁的文件路径+行号"
+  - "部署架构确认（单实例/多实例）"
 
 ## CON-03: 先查后改未用原子操作
 pattern: "SELECT.*stock|SELECT.*count|SELECT.*amount.*WHERE"
 severity: warning
+check_type: deterministic
 scope: backend
 description: 库存/余额/计数器等场景禁止先 SELECT 再 UPDATE，必须使用原子操作（UPDATE SET x = x - 1 WHERE x >= 1）
+evidence_required:
+  - "扫描结果：含先查后改模式的文件路径+行号"
 
 ## CON-04: @Transactional 同类内部调用
 pattern: "this\\.|@Transactional"
 severity: warning
+check_type: deterministic
 scope: backend
 description: @Transactional 方法被同类内部 this.xxx() 调用时 AOP 代理失效，事务不生效
+evidence_required:
+  - "扫描结果：含 this 调用事务方法的文件路径+行号"
 
 ## CON-05: 事务内执行外部调用
 pattern: "RestTemplate|FeignClient|HttpClient|WebClient"
 severity: info
+check_type: deterministic
 scope: backend
 description: 事务方法中执行外部 HTTP 调用会延长事务持有时间，建议移到事务外或使用 REQUIRES_NEW 隔离
+evidence_required:
+  - "扫描结果：事务内外部调用的文件路径+行号"
 
 ## CON-06: SimpleDateFormat 非线程安全
 pattern: "SimpleDateFormat"
 severity: warning
+check_type: deterministic
 scope: backend
 description: SimpleDateFormat 非线程安全，多线程共享会导致日期解析错误，使用 DateTimeFormatter 或 ThreadLocal
+evidence_required:
+  - "扫描结果：含 SimpleDateFormat 的文件路径+行号"
 
 ## CON-07: ThreadLocal 未清理导致内存泄漏
 pattern: /ThreadLocal\s*<|new\s+ThreadLocal/
 severity: warning
+check_type: deterministic
 scope: backend
 description: ThreadLocal 必须在请求结束时 remove()，否则线程池复用会导致内存泄漏和数据串线
+evidence_required:
+  - "扫描结果：含 ThreadLocal 的文件路径+行号"
+  - "remove() 调用确认"
 
 ## CON-08: 非线程安全的集合用作类成员变量
 pattern: /private\s+(?:static\s+)?(?:final\s+)?(?:HashMap|ArrayList|LinkedList|HashSet)\s*</
 severity: warning
+check_type: deterministic
 scope: backend
 description: 类级别的共享集合必须使用 ConcurrentHashMap/CopyOnWriteArrayList 等线程安全实现
+evidence_required:
+  - "扫描结果：含非线程安全集合的文件路径+行号"
 
 ## CON-09: CompletableFuture 未处理异常
 pattern: /CompletableFuture.*(?:thenApply|thenAccept|thenCompose)\s*\(/
 severity: warning
+check_type: deterministic
 scope: backend
 description: CompletableFuture 链必须以 exceptionally() 或 handle() 结尾，防止异常被静默吞掉
+evidence_required:
+  - "扫描结果：含 CompletableFuture 的文件路径+行号"
+  - "异常处理链确认"
 
 ## CON-10: 线程池未正确配置拒绝策略
 pattern: /new\s+ThreadPoolExecutor\s*\(/
 severity: warning
+check_type: deterministic
 scope: backend
 description: 线程池必须显式配置拒绝策略（CallerRunsPolicy/自定义），禁止使用默认 AbortPolicy
+evidence_required:
+  - "扫描结果：含线程池创建的文件路径+行号"
+  - "拒绝策略配置确认"