universal-dev-standards 5.0.0-rc.8 → 5.0.0

package/bundled/locales/zh-CN/core/security-standards.md

@@ -0,0 +1,100 @@
+---
+source: ../../../core/security-standards.md
+source_version: 1.1.0
+translation_version: 1.1.0
+last_synced: 2026-03-24
+status: current
+---
+
+> **语言**: [English](../../../core/security-standards.md) | 简体中文
+
+# 安全标准
+
+**版本**: 1.1.0
+**最后更新**: 2026-01-29
+**适用范围**: 所有软件项目
+**范围**: universal
+**行业标准**: OWASP Top 10 (2021), OWASP ASVS v4.0, NIST SP 800-53
+**参考**: [owasp.org](https://owasp.org/Top10/)
+
+> **详细说明和示例请参阅 [安全指南](../../../core/guides/security-guide.md)**
+
+---
+
+## 目的
+
+本标准定义软件开发的综合安全指南，涵盖安全编码实践、漏洞预防、认证/授权和安全测试。
+
+**参考标准**:
+- [OWASP Top 10 (2021)](https://owasp.org/Top10/)
+- [OWASP ASVS v4.0](https://owasp.org/www-project-application-security-verification-standard/)
+- [NIST SP 800-53](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)
+
+---
+
+## 核心安全原则
+
+| 原则 | 实施方式 |
+|------|---------|
+| **最小权限** | 基于角色的访问控制、限时令牌 |
+| **安全失败** | 认证错误时拒绝访问，不暴露堆栈跟踪 |
+| **职责分离** | 开发/部署/管理使用不同角色 |
+| **纵深防御** | 不依赖单一控制措施 |
+| **默认安全** | 安全默认值，选择性开启较不安全的选项 |
+| **零信任** | 验证每个请求，假设已被入侵 |
+
+---
+
+## OWASP Top 10 预防清单
+
+| 漏洞 | 预防措施 |
+|------|---------|
+| **A01: 失效的访问控制** | 默认拒绝、服务端检查、验证所有权 |
+| **A02: 加密失败** | 加密 PII、使用 TLS 1.3、使用密钥管理 |
+| **A03: 注入** | 参数化查询、输入验证、使用 ORM |
+| **A04: 不安全设计** | 威胁建模、在规格中包含安全需求 |
+| **A05: 安全配置错误** | 移除默认值、禁用未使用功能、安全头 |
+| **A06: 易受攻击的组件** | 维护 SBOM、使用 npm audit/Snyk 扫描、快速修补 |
+| **A07: 认证失败** | 强密码、MFA、安全会话 |
+| **A08: 完整性失败** | 代码签名、验证校验和、安全 CI/CD |
+| **A09: 日志记录失败** | 记录安全事件、保护日志完整性 |
+| **A10: SSRF** | URL 白名单、阻止内部 IP |
+
+---
+
+## 必需的安全头
+
+```http
+Content-Security-Policy: default-src 'self'; script-src 'self'
+X-Content-Type-Options: nosniff
+X-Frame-Options: DENY
+Strict-Transport-Security: max-age=31536000; includeSubDomains
+X-XSS-Protection: 0
+Referrer-Policy: strict-origin-when-cross-origin
+Permissions-Policy: camera=(), microphone=(), geolocation=()
+```
+
+---
+
+## 安全测试
+
+| 测试类型 | 工具 | 频率 |
+|---------|------|------|
+| **SAST**（静态分析） | SonarQube, CodeQL, Semgrep | 每次提交 |
+| **DAST**（动态分析） | OWASP ZAP, Burp Suite | 每次发布 |
+| **SCA**（依赖扫描） | npm audit, Snyk, Dependabot | 每日 |
+| **密钥扫描** | git-secrets, TruffleHog | 每次提交 |
+
+---
+
+## 相关标准
+
+- [部署标准](deployment-standards.md)
+- [性能标准](performance-standards.md)
+- [测试标准](testing-standards.md)
+
+---
+
+## 许可证
+
+本标准采用 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 发布。

package/bundled/locales/zh-CN/core/systematic-debugging.md

@@ -0,0 +1,106 @@
+---
+source: ../../../core/systematic-debugging.md
+source_version: 1.0.0
+translation_version: 1.0.0
+last_synced: 2026-03-24
+status: current
+---
+
+> **语言**: [English](../../../core/systematic-debugging.md) | 简体中文
+
+# 系统化调试工作流
+
+**版本**: 1.0.0
+**最后更新**: 2026-03-20
+**适用范围**: 所有使用 AI 辅助开发的软件项目
+**范围**: universal
+**灵感来源**: [Superpowers](https://github.com/obra/superpowers) — systematic-debugging (MIT)
+
+---
+
+## 目的
+
+定义结构化的四阶段调试工作流，防止常见的"猜测修复"反模式。强制要求在尝试修复前先进行根因分析，并包含 **3-Strike Rule** 以提早发现架构问题。
+
+---
+
+## 术语表
+
+| 术语 | 定义 |
+|------|------|
+| 根因 | 缺陷存在的根本原因，而非仅仅是症状 |
+| 3-Strike Rule | 连续 3 次修复尝试失败后，怀疑架构问题 |
+| 反向追踪 | 从错误症状追溯到产生源头 |
+| 组件边界 | 两个模块或子系统之间的接口 |
+
+---
+
+## 核心原则 — 铁律
+
+> **禁止跳过根因分析直接修复。**
+
+如果你发现自己在说"快速修复"、"试试看"或"现在应该可以了" — **停下来**，回到阶段 1。
+
+---
+
+## 四个阶段
+
+### 阶段 1：根因调查
+
+分析错误消息并追踪最近变更，形成初步假设。
+
+1. **仔细阅读错误** — 识别失败的确切位置和类型
+2. **追踪最近变更** — 使用 `git log`、`git diff`、`git blame` 查找变更内容
+3. **在组件边界添加诊断** — 在模块接口处插入日志/断点
+4. **记录观察** — 记录所见并形成初步假设
+
+### 阶段 2：模式分析
+
+将失败代码与类似的成功实现进行比较。
+
+1. **搜索类似的成功实现** — 在代码库中查找
+2. **识别差异** — 比较失败和成功代码之间的不同
+3. **检查最近的变更** — 确认是否有回归引入
+4. **验证假设** — 通过额外的日志/测试确认
+
+### 阶段 3：修复实施
+
+基于确认的根因实施修复。
+
+1. **先写测试** — 创建复现问题的失败测试
+2. **实施最小修复** — 只修改必需的内容
+3. **验证修复** — 测试现在应通过
+4. **检查副作用** — 运行完整测试套件
+
+### 阶段 4：回顾
+
+防止类似问题再次发生。
+
+1. **记录根因** — 在提交消息中说明
+2. **评估是否需要额外测试** — 防止回归
+3. **检查是否有类似模式** — 其他地方是否有同样的问题
+
+---
+
+## 3-Strike Rule
+
+| 尝试 | 动作 |
+|------|------|
+| 第 1 次失败 | 重新审视假设，添加更多诊断 |
+| 第 2 次失败 | 扩大调查范围，考虑上游原因 |
+| 第 3 次失败 | **停止** — 怀疑架构问题，寻求审查 |
+
+连续 3 次修复失败后，问题很可能不在你认为的地方。需要退后一步，重新审视整体架构。
+
+---
+
+## 相关标准
+
+- [验证证据](verification-evidence.md)
+- [测试标准](testing-standards.md)
+
+---
+
+## 许可证
+
+本标准采用 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 发布。

package/bundled/locales/zh-CN/core/test-governance.md

@@ -0,0 +1,116 @@
+---
+source: ../../../core/test-governance.md
+source_version: 1.0.0
+translation_version: 1.0.0
+last_synced: 2026-03-24
+status: current
+---
+
+> **语言**: [English](../../../core/test-governance.md) | 简体中文
+
+# 测试治理标准
+
+**适用范围**: 所有软件项目
+**范围**: universal
+
+---
+
+## 概述
+
+测试治理标准定义测试活动的策略、完成条件和环境管理策略。本标准将 ISO/IEC/IEEE 29119 正式过程与敏捷/Scrum 实践相结合。
+
+## 参考
+
+| 标准/来源 | 内容 |
+|-----------|------|
+| ISO/IEC/IEEE 29119-2 | 测试过程 |
+| ISO/IEC/IEEE 29119-3 | 测试文档（测试计划/测试用例） |
+| ISO/IEC/IEEE 12207 | 验证过程 + 集成过程 |
+| 敏捷/Scrum 指南 | 完成定义（DoD） |
+| ISTQB 基础教学大纲 | 测试级别、测试类型 |
+| Mike Cohn 测试金字塔 | 金字塔经验比例（推荐默认值） |
+
+## 术语
+
+| 术语 | 标准来源 | 描述 |
+|------|---------|------|
+| 完成定义（DoD） | 敏捷/Scrum | 任务/功能完成的检查清单 |
+| 测试完成条件 | ISO 29119-2 | 测试活动的退出条件 |
+| 系统集成测试 | ISO 12207 | 非正式 ISO 术语，但为行业标准 |
+| 金字塔比例 70/20/7/3 | Mike Cohn（经验值） | 推荐默认值，非强制 |
+
+---
+
+## 测试策略
+
+### 品质目标
+
+| ID | 名称 | 度量 |
+|----|------|------|
+| QO-1 | 功能正确性 | 测试通过率 >= 95% |
+| QO-2 | 回归预防 | CI 中零回归失败 |
+| QO-3 | 代码品质 | 零 lint/类型错误，静态分析通过 |
+
+### 级别归属
+
+| 级别 | 负责人 | 环境 | 金字塔比例 |
+|------|--------|------|-----------|
+| 单元测试（UT） | 开发者 | 本地 | 70% |
+| 集成测试（IT） | 开发者 | 本地 / CI | 20% |
+| 系统测试（ST） | QA / 开发者 | CI / SIT | 7% |
+| E2E 测试 | QA | 预发布 | 3% |
+
+### 静态分析
+
+在测试执行前运行静态分析工具：
+
+- `ruff check .`（Python）
+- `eslint .`（TypeScript/JavaScript）
+- `cargo clippy`（Rust）
+
+---
+
+## 测试完成条件
+
+### 按级别定义
+
+| 级别 | 完成条件 |
+|------|---------|
+| **单元测试** | 所有测试通过、覆盖率 >= 目标、无 TODO 测试 |
+| **集成测试** | API 契约验证通过、数据库迁移测试通过 |
+| **系统测试** | 所有用户场景通过、性能目标达标 |
+| **E2E 测试** | 关键用户流程通过、无阻塞级缺陷 |
+
+### 完成定义（DoD）检查清单
+
+- [ ] 所有测试通过
+- [ ] 代码审查已完成
+- [ ] 文档已更新
+- [ ] 无已知阻塞级缺陷
+- [ ] 性能目标达标
+- [ ] 安全扫描通过
+
+---
+
+## 环境管理
+
+| 环境 | 用途 | 数据 |
+|------|------|------|
+| **本地** | 开发和单元测试 | 模拟数据 |
+| **CI** | 自动化测试 | 测试夹具 |
+| **SIT** | 集成测试 | 模拟数据 |
+| **预发布** | E2E 和验收测试 | 脱敏生产数据 |
+
+---
+
+## 相关标准
+
+- [测试标准](testing-standards.md)
+- [验证证据](verification-evidence.md)
+- [部署标准](deployment-standards.md)
+
+---
+
+## 许可证
+
+本标准采用 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 发布。