┌──────────────────────────────────────────┐
│  Enterprise Managed Settings             │ ← 最高優先（組織推送，不可覆蓋）
│  managed-settings / managed-mcp          │
├──────────────────────────────────────────┤
│  CLAUDE.md 載入（全部累加，非覆蓋）：     │
│  ① managed policy                        │ ← 組織強制
│  ② user global (~/.claude/CLAUDE.md)     │ ← 個人偏好
│  ③ project (.claude/CLAUDE.md)           │ ← 專案規範
│  ④ local (工作目錄 CLAUDE.md)            │ ← 當前目錄
├──────────────────────────────────────────┤
│  Config Files:                           │
│  Global: ~/.claude/                      │ ← 全域設定
│  Project: .claude/                       │ ← 專案設定
└──────────────────────────────────────────┘

~/.claude/teams/{team-name}/config.json   # 團隊成員（session ID、Agent 類型）
~/.claude/tasks/{team-name}/              # 共享任務清單與狀態

# 需以系統管理員身份執行 PowerShell
# 前提：已安裝 Git for Windows (https://git-scm.com/download/win)

# 安裝 Claude Code
irm https://claude.ai/install.ps1 | iex

REM 需以系統管理員身份執行 CMD
REM 前提：已安裝 Git for Windows

curl -fsSL https://claude.ai/install.cmd | cmd

# 使用 Windows Package Manager
winget install Anthropic.ClaudeCode

# 驗證安裝成功
claude --version

# 驗證 Git 可用
git --version

# 安裝 Claude Code
brew install claude-code

# 驗證安裝
claude --version

# 需已安裝 Node.js 18+
npm install -g @anthropic-ai/claude-code

# 驗證安裝
claude --version

# 需已安裝 Node.js 18+
npm install -g @anthropic-ai/claude-code

# 驗證安裝
claude --version

# 下載最新版二進位
# 請至 Claude Code 官方頁面取得最新下載連結
# 安裝後確認可執行
claude --version

# 在對話中以 @browser 引用目前開啟的瀏覽器分頁
@browser 幫我檢查這個頁面的 Console 錯誤訊息

# 在瀏覽器或終端機開啟以下 URI，會自動在 VS Code 中開啟 Claude Code
vscode://anthropic.claude-code/open

# 開啟並預填提示詞
vscode://anthropic.claude-code/open?prompt=分析目前專案的技術債

# 開啟並續接指定的 session
vscode://anthropic.claude-code/open?session=<session-id>

# 開啟瀏覽器進行 OAuth 認證
claude login

# Linux / macOS
export ANTHROPIC_API_KEY="sk-ant-xxxxxxxxxxxxx"

# Windows PowerShell
$env:ANTHROPIC_API_KEY = "sk-ant-xxxxxxxxxxxxx"

# Windows CMD
set ANTHROPIC_API_KEY=sk-ant-xxxxxxxxxxxxx

# 全域設定
# ~/.claude/settings.json 中設定認證相關資訊

是否為唯讀分析/規劃任務？
├── 是 → plan
└── 否 → 是否需要寫入檔案？
    ├── 否 → default
    └── 是 → 是否需要自動執行 Shell 指令？
        ├── 否 → acceptEdits
        └── 是 → 是否在 CI/CD 環境？
            ├── 是 → acceptEdits（CI/CD 中通常搭配 --allowedTools 限制）
            └── 否 → ⚠️ 除非有強烈理由，否則不建議使用 bypassPermissions

{
  "model": "sonnet",
  "permissions": {
    "allow": [],
    "deny": []
  }
}

{
  "model": "sonnet",
  "permissions": {
    "allow": [
      "Read",
      "Edit",
      "Bash(git *)",
      "Bash(npm *)",
      "Bash(mvn *)",
      "Bash(dotnet *)"
    ],
    "deny": [
      "Bash(rm -rf *)",
      "Bash(sudo *)",
      "Bash(curl * | sh)",
      "Bash(curl * | bash)"
    ]
  }
}

{
  "model": "sonnet",
  "permissions": {
    "allow": [
      "Read",
      "Edit",
      "Bash(npm run *)",
      "Bash(npm test)",
      "Bash(mvn compile)",
      "Bash(mvn test)"
    ],
    "deny": [
      "Bash(rm -rf /)",
      "Bash(git push --force)",
      "Bash(DROP TABLE *)",
      "Bash(curl * | sh)"
    ]
  }
}

{
  "model": "sonnet",
  "permissions": {
    "allow": [
      "Bash(docker *)",
      "Bash(kubectl *)"
    ],
    "deny": []
  }
}

project-root/
├── CLAUDE.md                          # 專案級記憶與規範（Claude Code 自動載入）
├── .claude/                           # Claude Code 設定根目錄
│   ├── settings.json                  # 專案級設定（進版控）
│   ├── settings.local.json            # 個人本地設定（不進版控）
│   ├── agents/                        # 自訂 Subagent 定義
│   │   ├── requirements-agent.md      # ① 需求分析 Agent
│   │   ├── architect-agent.md         # ② 架構師 Agent
│   │   ├── backend-agent.md           # ③ 後端開發 Agent
│   │   ├── frontend-agent.md          # ④ 前端開發 Agent
│   │   ├── test-agent.md              # ⑤ 測試 Agent
│   │   ├── security-agent.md          # ⑥ 安全 Agent
│   │   ├── code-review-agent.md       # ⑦ Code Review Agent
│   │   ├── release-agent.md           # ⑧ 部署 Agent
│   │   ├── re-agent.md                # ⑨ 逆向工程 Agent
│   │   └── documentation-agent.md     # ⑩ 文件 Agent
│   ├── skills/                        # 可重用 Skill 定義
│   │   ├── code-generation/           # 程式碼產生相關 Skill
│   │   │   └── SKILL.md
│   │   ├── testing/                   # 測試相關 Skill
│   │   │   └── SKILL.md
│   │   ├── security-scan/             # 安全掃描 Skill
│   │   │   └── SKILL.md
│   │   └── documentation/             # 文件撰寫 Skill
│   │       └── SKILL.md
│   ├── hooks/                         # Hook 腳本
│   │   ├── pre-commit-check.sh        # commit 前品質檢查
│   │   ├── security-gate.sh           # 安全閘門腳本
│   │   ├── lint-check.sh              # Lint 檢查
│   │   └── notify-webhook.sh          # 通知 Webhook
│   ├── output-styles/                 # 自訂輸出風格
│   │   ├── concise.md                 # 精簡風格
│   │   ├── detailed.md                # 詳細風格
│   │   └── learning.md                # 教學風格
│   └── loop.md                        # 持續任務指引（/loop 使用）
├── .mcp.json                          # MCP Server 設定
├── prompt-library/                    # Prompt 範本庫
│   ├── requirements/                  # 需求分析 Prompt
│   │   └── user-story-template.md
│   ├── architecture/                  # 架構設計 Prompt
│   │   └── system-design-template.md
│   ├── development/                   # 開發 Prompt
│   │   └── code-generation-template.md
│   ├── testing/                       # 測試 Prompt
│   │   └── test-case-template.md
│   ├── security/                      # 安全 Prompt
│   │   └── security-review-template.md
│   └── release/                       # 部署 Prompt
│       └── release-checklist-template.md
├── governance/                        # 治理文件
│   ├── agent-policy.md                # Agent 使用政策
│   ├── model-usage-policy.md          # 模型使用規範
│   ├── data-handling-policy.md        # 資料處理規範
│   └── audit-log-policy.md            # 稽核日誌規範
├── security/                          # 安全基線
│   ├── security-baseline.md           # 安全基線文件
│   ├── owasp-checklist.md             # OWASP Top 10 檢核表
│   ├── dependency-policy.md           # 依賴套件安全政策
│   └── secret-management.md           # 密鑰管理規範
├── re-baseline/                       # 逆向工程基線
│   ├── system-inventory.md            # 系統清冊
│   ├── architecture-snapshot.md       # 架構快照
│   ├── dependency-map.md              # 依賴關係圖
│   └── tech-debt-register.md          # 技術債登記表
├── .gitignore                         # Git 忽略規則
└── src/                               # 專案原始碼（依語言/框架調整）
    └── ...

# Project: enterprise-web-app

## 專案概述
這是一個企業級 Web 應用程式，使用 Java Spring Boot 後端 + React 前端。

## 編碼規範
- Java: 使用 Google Java Style Guide
- React: 使用 ESLint + Prettier
- 命名: 類別 PascalCase、方法 camelCase、常數 UPPER_SNAKE_CASE
- 測試: 每個 Service 類別必須有對應的單元測試，覆蓋率 ≥ 80%
- 日誌: 使用 SLF4J + Logback，禁止 System.out.println

## 架構原則
- 分層架構: Controller → Service → Repository
- API 設計: RESTful，版本控制 /api/v1/
- 錯誤處理: 統一 GlobalExceptionHandler
- 安全: 禁止硬編碼密鑰，使用環境變數或 Vault

## 禁止事項
- 不可使用 Opus 4.7 模型
- 不可在程式碼中硬編碼任何密鑰、密碼、Token
- 不可使用 bypassPermissions 權限模式
- 不可跳過單元測試直接提交
- 不可使用 MCP SSE Transport（已 Deprecated）

## Git 工作流
- 分支策略: GitFlow (main / develop / feature/ / hotfix/)
- Commit Message: Conventional Commits (feat: / fix: / docs: / test:)
- PR: 必須通過 Code Review Agent 審查

{
  "model": "sonnet",
  "permissions": {
    "allow": [
      "Read",
      "Edit",
      "Bash(mvn compile)",
      "Bash(mvn test)",
      "Bash(mvn verify)",
      "Bash(npm run build)",
      "Bash(npm test)",
      "Bash(npm run lint)",
      "Bash(git status)",
      "Bash(git diff *)",
      "Bash(git log *)",
      "Bash(git add *)",
      "Bash(git commit *)"
    ],
    "deny": [
      "Bash(rm -rf *)",
      "Bash(sudo *)",
      "Bash(git push --force *)",
      "Bash(git reset --hard *)",
      "Bash(curl * | sh)",
      "Bash(curl * | bash)",
      "Bash(DROP TABLE *)",
      "Bash(DELETE FROM * WHERE 1=1)",
      "Bash(chmod 777 *)"
    ]
  }
}

{
  "permissions": {
    "allow": [
      "Bash(docker build *)",
      "Bash(docker run *)",
      "Bash(kubectl apply *)",
      "Bash(kubectl get *)"
    ],
    "deny": []
  }
}

{
  "mcpServers": {
    "database": {
      "type": "http",
      "url": "http://localhost:3100/mcp",
      "headers": {
        "Authorization": "Bearer ${DB_MCP_TOKEN}"
      }
    },
    "jira": {
      "type": "http",
      "url": "http://localhost:3200/mcp",
      "headers": {
        "Authorization": "Bearer ${JIRA_MCP_TOKEN}"
      }
    }
  }
}

---
name: security-agent
description: 安全工程師 Agent，負責 SAST/DAST 掃描、弱點檢查與合規驗證
model: opus
allowed-tools:
  - Read
  - "Bash(npm audit)"
  - "Bash(mvn dependency-check:check)"
  - "Bash(trivy *)"
  - "Bash(semgrep *)"
---

# Security Agent

你是一位企業級安全工程師 Agent，專門負責：

1. **SAST 掃描**：使用 Semgrep 進行靜態程式碼安全分析
2. **依賴弱點檢查**：使用 npm audit / OWASP Dependency-Check 掃描依賴套件
3. **容器掃描**：使用 Trivy 掃描 Docker Image 弱點
4. **合規驗證**：檢查 OWASP Top 10 合規性

## 行為規範
- 僅產出安全報告與修復建議，**不直接修改程式碼**
- 弱點嚴重性分級：Critical > High > Medium > Low > Info
- Critical 與 High 弱點必須標記為「阻塞」（blocking），阻止進入下一階段
- 所有發現必須包含 CWE/CVE 編號（若適用）

---
name: security-scan
description: 執行全面的安全掃描，包含 SAST、依賴弱點與容器掃描
allowed-tools:
  - Read
  - "Bash(semgrep *)"
  - "Bash(npm audit *)"
  - "Bash(trivy *)"
paths:
  - "src/**"
  - "package.json"
  - "pom.xml"
  - "Dockerfile"
---

# Security Scan Skill

## 執行步驟

1. 使用 Semgrep 對 src/ 目錄執行 SAST 掃描
2. 檢查 package.json / pom.xml 的依賴弱點
3. 若有 Dockerfile，使用 Trivy 掃描容器映像
4. 彙整所有發現，按嚴重性排序

## 輸出格式

以 Markdown 表格輸出掃描結果：
- 弱點 ID (CWE/CVE)
- 嚴重性 (Critical/High/Medium/Low)
- 檔案路徑與行號
- 說明與修復建議

{
  "hooks": {
    "preCommit": [
      {
        "type": "command",
        "command": ".claude/hooks/pre-commit-check.sh"
      }
    ],
    "postResponse": [
      {
        "type": "command",
        "command": ".claude/hooks/lint-check.sh"
      }
    ]
  }
}

#!/bin/bash
# Pre-commit 品質檢查 Hook
# Exit code 2 = 阻止操作（block operation）

echo "🔍 Running pre-commit checks..."

# 檢查是否有硬編碼密鑰
if grep -rn "password\s*=\s*['\"]" src/ --include="*.java" --include="*.ts" --include="*.js"; then
    echo "❌ 發現硬編碼密鑰！禁止提交。"
    exit 2  # Exit code 2 = block operation
fi

# 檢查是否有 TODO/FIXME 未處理
TODO_COUNT=$(grep -rn "TODO\|FIXME" src/ --include="*.java" --include="*.ts" | wc -l)
if [ "$TODO_COUNT" -gt 10 ]; then
    echo "⚠️ 發現 $TODO_COUNT 個 TODO/FIXME，超過閾值 10。"
    exit 2
fi

echo "✅ Pre-commit checks passed."
exit 0

---
name: concise
description: 精簡輸出風格，適用於資深工程師
---

## 輸出規則
- 直接給出答案，不需要解釋基礎概念
- 程式碼區塊不加額外說明，除非有非直覺的設計
- 錯誤訊息只顯示關鍵資訊與修復步驟
- 不使用 emoji
- 最多 3 個要點

# Loop Task Configuration

## 持續監控任務
- 監控 src/ 目錄的檔案變更
- 每次變更後自動執行 lint 檢查
- 發現問題時輸出建議修復方案

## 終止條件
- 使用者明確停止
- 連續 3 次無變更
- 達到 Scheduled Task 上限（最多 50 個）

# ==============================
# Claude Code 個人與暫存
# ==============================
.claude/settings.local.json
.claude/cache/
.claude/tmp/

# ==============================
# 機敏資訊
# ==============================
*.key
*.pem
*.env
.env
.env.local
.env.*.local

# ==============================
# IDE 與編輯器
# ==============================
.vscode/settings.json
.idea/
*.swp
*.swo
*~

# ==============================
# 建置產出
# ==============================
target/
dist/
build/
node_modules/
*.class
*.jar
*.war

# ==============================
# 日誌與暫存
# ==============================
logs/
*.log
tmp/

#!/bin/bash
# init-claude-project.sh — 初始化 Claude Code SSDLC 專案骨架
# 使用方式: bash init-claude-project.sh <project-name>

PROJECT_NAME=${1:-"my-project"}

echo "🚀 Initializing Claude Code SSDLC project: $PROJECT_NAME"

# 建立目錄結構
mkdir -p "$PROJECT_NAME"/.claude/{agents,skills,hooks,output-styles}
mkdir -p "$PROJECT_NAME"/prompt-library/{requirements,architecture,development,testing,security,release}
mkdir -p "$PROJECT_NAME"/governance
mkdir -p "$PROJECT_NAME"/security
mkdir -p "$PROJECT_NAME"/re-baseline
mkdir -p "$PROJECT_NAME"/src

# 建立核心檔案
touch "$PROJECT_NAME"/CLAUDE.md
touch "$PROJECT_NAME"/.claude/settings.json
touch "$PROJECT_NAME"/.claude/settings.local.json
touch "$PROJECT_NAME"/.claude/loop.md
touch "$PROJECT_NAME"/.mcp.json
touch "$PROJECT_NAME"/.gitignore

# 建立 Agent 定義檔
for agent in requirements-agent architect-agent backend-agent frontend-agent \
             test-agent security-agent code-review-agent release-agent \
             re-agent documentation-agent; do
    touch "$PROJECT_NAME"/.claude/agents/"$agent".md
done

echo "✅ Project skeleton created at: $PROJECT_NAME/"
echo "📁 Next steps:"
echo "   1. Edit CLAUDE.md with project-specific rules"
echo "   2. Configure .claude/settings.json"
echo "   3. Define agents in .claude/agents/"
echo "   4. Set up MCP servers in .mcp.json"

# init-claude-project.ps1 — 初始化 Claude Code SSDLC 專案骨架
# 使用方式: .\init-claude-project.ps1 -ProjectName "my-project"

param(
    [string]$ProjectName = "my-project"
)

Write-Host "🚀 Initializing Claude Code SSDLC project: $ProjectName" -ForegroundColor Cyan

# 建立目錄結構
$dirs = @(
    "$ProjectName\.claude\agents",
    "$ProjectName\.claude\skills",
    "$ProjectName\.claude\hooks",
    "$ProjectName\.claude\output-styles",
    "$ProjectName\prompt-library\requirements",
    "$ProjectName\prompt-library\architecture",
    "$ProjectName\prompt-library\development",
    "$ProjectName\prompt-library\testing",
    "$ProjectName\prompt-library\security",
    "$ProjectName\prompt-library\release",
    "$ProjectName\governance",
    "$ProjectName\security",
    "$ProjectName\re-baseline",
    "$ProjectName\src"
)

foreach ($dir in $dirs) {
    New-Item -ItemType Directory -Path $dir -Force | Out-Null
}

# 建立核心檔案
$files = @(
    "$ProjectName\CLAUDE.md",
    "$ProjectName\.claude\settings.json",
    "$ProjectName\.claude\settings.local.json",
    "$ProjectName\.claude\loop.md",
    "$ProjectName\.mcp.json",
    "$ProjectName\.gitignore"
)

foreach ($file in $files) {
    New-Item -ItemType File -Path $file -Force | Out-Null
}

# 建立 Agent 定義檔
$agents = @(
    "requirements-agent", "architect-agent", "backend-agent", "frontend-agent",
    "test-agent", "security-agent", "code-review-agent", "release-agent",
    "re-agent", "documentation-agent"
)

foreach ($agent in $agents) {
    New-Item -ItemType File -Path "$ProjectName\.claude\agents\$agent.md" -Force | Out-Null
}

Write-Host "✅ Project skeleton created at: $ProjectName\" -ForegroundColor Green
Write-Host "📁 Next steps:" -ForegroundColor Yellow
Write-Host "   1. Edit CLAUDE.md with project-specific rules"
Write-Host "   2. Configure .claude\settings.json"
Write-Host "   3. Define agents in .claude\agents\"
Write-Host "   4. Set up MCP servers in .mcp.json"

# 自動呼叫 — Claude 根據 description 決定是否委派
> 請審查這段程式碼的安全性

# 明確呼叫 — 直接指定 Agent
> @security-reviewer 請審查 src/auth/login.java 的安全性

# 以 fork 方式延續目前對話的完整 context 去做深入分析
/fork 請深入分析目前討論的 auth 模組，列出所有可能的安全風險

# 一般具名 Subagent：全新 context，只知道被指派的任務描述
claude --agent heavy-analyzer  # heavy-analyzer.md 內容見 6.8 節範例

# 直接以特定 Agent 啟動 Claude Code
claude --agent security-reviewer

# 搭配 Programmatic CLI 使用
claude -p "分析 src/auth/ 的安全性" --agent re-analyzer

---
name: refactor-agent
description: "Large-scale refactoring in isolated worktree"
model: claude-sonnet-4-6-20250414
isolation: worktree    # ← 自動建立 Git worktree 隔離
tools:
  - Read
  - Write
  - Edit
  - Bash
---

---
name: re-analyzer
memory: project    # ← 持久化至 .claude/agent-memory/re-analyzer/，跨 session 保留分析結果
---

---
name: security-reviewer
description: "Performs OWASP Top 10 security review on source code. Analyzes authentication, injection, XSS, CSRF, and other common vulnerabilities. Reports findings with severity levels and fix recommendations."
model: claude-opus-4-6-20250414
tools:
  - Read
  - Grep
  - Glob
  - LS
disallowed-tools:
  - Write
  - Edit
  - Bash
---

# Security Reviewer Agent

## 角色定義
你是資深資安工程師，專精 OWASP Top 10、SANS CWE Top 25 與企業安全標準。

## 任務流程
1. 使用 Glob 找出所有目標原始碼檔案
2. 使用 Read 逐一讀取，分析以下安全面向：
   - **A01 Broken Access Control**：權限檢查、路徑穿越
   - **A02 Cryptographic Failures**：硬編碼密鑰、弱加密演算法
   - **A03 Injection**：SQL/NoSQL/LDAP/OS Command Injection
   - **A04 Insecure Design**：業務邏輯缺陷
   - **A05 Security Misconfiguration**：預設密碼、不必要的服務
   - **A06 Vulnerable Components**：已知 CVE 套件
   - **A07 Authentication Failures**：弱密碼策略、Session 管理
   - **A08 Data Integrity Failures**：反序列化、未驗證更新
   - **A09 Logging Failures**：敏感資料洩露至日誌
   - **A10 SSRF**：Server-Side Request Forgery
3. 使用 Grep 搜尋已知危險模式（如 `eval(`, `exec(`, `Runtime.exec`）

## 輸出格式
以 Markdown 表格輸出，包含：
| 嚴重度 | CWE ID | 檔案:行號 | 漏洞描述 | 修復建議 |

嚴重度等級：🔴 Critical / 🟠 High / 🟡 Medium / 🟢 Low / ⚪ Info

## 限制
- 此 Agent 為唯讀，不可修改任何檔案
- 僅報告問題，不自動修復
- 若發現 🔴 Critical 漏洞，必須在報告最前方標示警告

---
name: test-runner
description: "Executes test suites (JUnit/pytest/Jest), analyzes results, reports coverage metrics and failure details. Supports Java Maven/Gradle, Python pytest, and Node.js Jest projects."
model: claude-sonnet-4-6-20250414
tools:
  - Read
  - Grep
  - Glob
  - Bash
  - LS
disallowed-tools:
  - Write
  - Edit
---

# Test Runner Agent

## 角色定義
你是 QA 自動化工程師，負責執行測試並分析結果。

## 任務流程
1. **偵測專案類型**：
   - 檢查 `pom.xml` → Maven (Java)
   - 檢查 `build.gradle` → Gradle (Java)
   - 檢查 `package.json` → Node.js (Jest/Mocha)
   - 檢查 `pytest.ini` / `pyproject.toml` → Python (pytest)

2. **執行測試**：
   ```bash
   # Java Maven
   mvn test -Dmaven.test.failure.ignore=true

   # Java Gradle
   ./gradlew test --continue

   # Node.js
   npx jest --coverage --json --outputFile=test-results.json

   # Python
   python -m pytest --tb=short --junitxml=test-results.xml -v
   ```

3. **分析結果**：
   - 讀取測試報告
   - 計算通過率、失敗率
   - 分析覆蓋率（若有）

## 輸出格式
```
📊 測試報告摘要
═══════════════════════════════
✅ 通過: XX 個
❌ 失敗: XX 個
⏭️ 略過: XX 個
📈 覆蓋率: XX%

❌ 失敗測試詳情：
1. [TestClass#methodName] — AssertionError: expected X but was Y
   📍 檔案: src/test/java/...
   💡 可能原因: ...
```

## 限制
- 不可修改原始碼或測試程式碼
- 若測試需要外部服務（DB、API），應標示為 ⚠️ 需環境依賴

---
name: code-reviewer
description: "Performs comprehensive code review covering naming conventions, SOLID principles, cyclomatic complexity, performance issues, error handling, and maintainability. Outputs structured review report."
model: claude-sonnet-4-6-20250414
tools:
  - Read
  - Grep
  - Glob
  - LS
disallowed-tools:
  - Write
  - Edit
  - Bash
---

# Code Reviewer Agent

## 角色定義
你是資深軟體工程師，具備 10 年以上的 Code Review 經驗。你的審查嚴謹但建設性。

## 審查維度

### 1. 命名與慣例
- 類別名稱：PascalCase
- 方法/變數：camelCase
- 常數：UPPER_SNAKE_CASE
- 命名是否表達意圖（避免 `temp`, `data`, `result` 等無意義命名）

### 2. SOLID 原則
- **S** — 單一職責：每個類別/方法是否只做一件事？
- **O** — 開放封閉：是否對擴展開放、對修改封閉？
- **L** — 里氏替換：子類別是否可無副作用替換父類別？
- **I** — 介面隔離：介面是否過於龐大？
- **D** — 依賴反轉：是否依賴抽象而非具體實作？

### 3. 複雜度
- 方法行數（建議 ≤ 30 行）
- 圈複雜度（建議 ≤ 10）
- 巢狀深度（建議 ≤ 3 層）

### 4. 錯誤處理
- 是否有空的 catch 區塊
- 是否吞掉例外（catch + ignore）
- 是否提供有意義的錯誤訊息

### 5. 效能
- N+1 查詢問題
- 不必要的物件建立
- 可使用 Stream/集合操作優化的迴圈

## 輸出格式
| 優先級 | 類別 | 檔案:行號 | 問題描述 | 建議修正 |

優先級：P0（必須修正）/ P1（強烈建議）/ P2（建議）/ P3（可選）

---
name: re-analyzer
description: "Reverse engineers legacy codebases to produce architecture documentation, class relationship diagrams (Mermaid), dependency maps, and technical debt inventory. Supports Java, C#, Python, and COBOL."
model: claude-opus-4-6-20250414
tools:
  - Read
  - Grep
  - Glob
  - Bash
  - LS
disallowed-tools:
  - Write
  - Edit
memory: project    # 持久化至 .claude/agent-memory/re-analyzer/，跨 session 保留既有基線
---

# Reverse Engineering Analyzer Agent

> 📌 若需參考既有的 RE 基線資料，直接在 Prompt 中以相對路徑引用（例如「請比對 `re-baseline/` 目錄下的既有分析結果」）即可，不需額外的 frontmatter 欄位。

## 角色定義
你是舊系統現代化專家，專精大型企業系統的逆向工程與文件產出。

## 分析流程

### Phase 1: 結構探索
1. 掃描專案目錄結構（LS + Glob）
2. 識別框架與技術棧（pom.xml, build.gradle, web.xml, applicationContext.xml）
3. 統計程式碼規模（行數、檔案數、模組數）

### Phase 2: 架構分析
1. 識別分層架構（Controller → Service → Repository → Entity）
2. 繪製模組依賴圖（Mermaid）
3. 標示進入點（main、Servlet、Controller endpoints）

### Phase 3: 資料流追蹤
1. 追蹤 API 端點 → 業務邏輯 → 資料庫操作
2. 識別跨模組呼叫
3. 標示外部整合點（第三方 API、MQ、File I/O）

### Phase 4: 技術債盤點
1. 過時依賴（已 EOL 的框架/函式庫）
2. 已知 CVE 漏洞
3. 硬編碼設定（magic numbers, 硬編碼 URL/IP）
4. 無測試覆蓋的核心模組
5. 違反 SOLID 的嚴重案例

## 輸出格式
產出以下文件內容：
1. **架構總覽**：系統邊界、模組列表、技術棧
2. **類別關係圖**：Mermaid classDiagram
3. **資料流圖**：Mermaid sequenceDiagram
4. **技術債清單**：表格，含嚴重度、影響範圍、建議處置
5. **現代化建議**：遷移優先順序與策略

## 限制
- 此 Agent 不修改任何原始碼
- 使用 Opus 模型以確保深度分析品質
- 大型專案（> 500 檔案）應分模組逐一分析

---
name: ssdlc-coordinator
description: "Lead Agent for SSDLC Agent Team. Coordinates security review, testing, code review, and documentation teammates. Orchestrates the full secure development workflow."
model: claude-sonnet-4-6-20250414
tools:
  - Read
  - Write
  - Edit
  - Bash
  - Grep
  - Glob
  - LS
---

# SSDLC Coordinator (Lead Agent)

## 角色定義
你是 SSDLC 流程的總協調者（Lead Agent），負責：
1. 接收使用者需求
2. 拆解任務並委派給適當的 Teammate
3. 整合各 Teammate 的回報
4. 確保流程順序與品質門檻

## 協作流程

## 品質門檻（Gate Criteria）
- 🔴 Critical 安全漏洞：**阻止**流程，必須修復
- 測試覆蓋率 < 60%：**警告**，需補充測試
- P0 Code Review issue：**阻止**流程，必須修復
- 所有 Gate 通過 → 允許進入下一階段

## 重要限制
- Agent Team 為 🔴 Experimental，需 v2.1.32+
- 需設定環境變數：`CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS=1`
- 一個 session 只能有一個 Agent Team
- 不支援 session resumption
- Teammate 的 frontmatter 僅 tools 與 model 生效；skills、mcpServers 不帶入

---
name: architect-teammate
description: "Architecture evaluation teammate. Analyzes system design, evaluates architectural decisions, produces C4 diagrams, and provides improvement recommendations. Used as Agent Team teammate."
model: claude-opus-4-6-20250414
tools:
  - Read
  - Grep
  - Glob
  - LS
---

# Architect Teammate

## 角色定義
你是軟體架構師，專精微服務架構、領域驅動設計（DDD）與企業整合模式。

## ⚠️ Agent Team Teammate 限制
此檔案作為 Agent Team Teammate 使用時，僅以下 frontmatter 生效：
- ✅ `tools`（工具白名單）
- ✅ `model`（模型選擇）
- ❌ `skills` — 不帶入
- ❌ `mcpServers` — 不帶入
- ❌ `hooks` — 不帶入

若需要 MCP 或 Hooks 功能，應在 Lead Agent 層級設定。

## 評估維度

### 1. 架構風格評估
- 是否為 Monolith / Modular Monolith / Microservices
- 是否適合目前團隊規模與業務複雜度

### 2. 分層清晰度
- 各層職責是否明確
- 是否有跨層直接呼叫（如 Controller 直接存取 DB）

### 3. 耦合度分析
- 模組間的依賴方向是否正確（依賴反轉）
- 是否有循環依賴

### 4. 可觀測性
- 是否有結構化日誌
- 是否有健康檢查端點
- 是否有度量指標匯出

## 輸出格式
1. **架構概況**：風格、分層、技術棧
2. **C4 Context Diagram**（Mermaid）
3. **改善建議清單**：表格，含優先級、現況、建議、影響範圍

---
name: refactor-agent
description: "Performs large-scale code refactoring in an isolated Git worktree"
model: claude-sonnet-4-6-20250414
isolation: worktree    # ← 自動建立隔離環境
tools:
  - Read
  - Write
  - Edit
  - Bash
  - Grep
  - Glob
  - LS
argument-hint: "Specify the refactoring scope, e.g., 'Refactor all DAO classes to use Repository pattern'"
---

# Refactor Agent (Worktree Isolated)

## 工作流程
1. **Claude Code 自動建立 Worktree**（無需手動操作）
2. **在隔離環境中進行重構**
3. **驗證**：執行測試確認無破壞
4. **回報結果**：列出所有變更檔案與修改摘要
5. **由使用者決定是否合併**

## 優勢
- 主工作目錄不受影響
- 可隨時放棄
- 變更可透過 PR 審查後再合併

# ❌ 錯誤：試圖讓 Agent Team Teammate 呼叫另一個 Teammate 或建立子 Team
---
name: orchestrator-teammate
description: "Orchestrates other teammates"
---

請呼叫 @security-reviewer 檢查安全性，然後呼叫 @test-runner 跑測試。
# ↑ 這不會生效！Agent Team Teammate 不可再呼叫其他 Teammate 或建立子 Team

# ❌ 錯誤：在 Teammate 中設定 skills 和 mcpServers
---
name: my-teammate
description: "Does analysis"
model: claude-sonnet-4-6-20250414
skills:
  - security-check    # ❌ 不會生效！
mcpServers:
  - jira-server       # ❌ 不會生效！
---

# ❌ 錯誤：安全審查 Agent 卻有 Write/Edit/Bash 權限
---
name: security-reviewer
description: "Security audit"
tools:
  - Read
  - Write     # ❌ 安全審查不應有寫入權限
  - Edit       # ❌ 安全審查不應有編輯權限
  - Bash       # ❌ 安全審查不應有執行指令權限
  - Grep
  - Glob
---

# ❌ 錯誤：將 Agent Team 用於 CI/CD pipeline 的 blocking gate
# Agent Team 為 🔴 Experimental，不保證穩定性
steps:
  - name: Agent Team Security Gate
    run: |
      CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS=1 \
      claude --agent-team ssdlc-team "review and approve" # ❌ 不適合作為 blocking gate

# ❌ 錯誤：description 過於模糊
---
name: helper
description: "Helps with stuff"  # ❌ Claude 無法判斷何時該委派
---

# 設定 Agent Team 使用 tmux 模式
export CLAUDE_CODE_EXPERIMENTAL_AGENT_TEAMS=1
claude --agent ssdlc-coordinator  # Teammate 依據 teammateMode 設定執行

{
  "permissions": {
    "deny": ["Agent(general-purpose)"],
    "allow": ["Agent(security-reviewer)", "Agent(test-runner)"]
  }
}

export CLAUDE_CODE_SUBAGENT_MODEL=claude-sonnet-4-6-20250414

{
  "hooks": {
    "TaskCompleted": [
      {
        "matcher": "",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/teammate-quality-gate.sh",
            "description": "Teammate 任務完成前的品質 Gate"
          }
        ]
      }
    ]
  }
}

prompt-library/
├── README.md                          # Catalog 索引與使用指南
├── requirements/                       # 需求分析階段
│   ├── requirement-analysis.md
│   └── user-story-generation.md
├── architecture/                       # 架構設計階段
│   ├── architecture-review.md
│   └── tech-stack-evaluation.md
├── development/                        # 開發階段
│   ├── coding-standard.md
│   ├── refactor-guidance.md
│   └── migration-planning.md
├── testing/                            # 測試階段
│   ├── test-strategy.md
│   └── test-case-generation.md
├── security/                           # 安全審查階段
│   ├── security-audit.md
│   └── threat-modeling.md
├── release/                            # 發佈階段
│   ├── pr-review.md
│   └── incident-analysis.md
└── reverse-engineering/                # 逆向工程
    └── legacy-analysis.md

<!-- Prompt 版本標頭範例 -->
<!-- Version: 1.2.0 | Updated: 2026-04-24 | Author: security-team -->
<!-- Changelog:
  - v1.2.0 (2026-04-24): 新增 A08/A09 檢查項目
  - v1.1.0 (2026-03-15): 改善輸出格式，增加 CWE ID
  - v1.0.0 (2026-02-01): 初始版本
-->

# Prompt: Requirements Analysis
<!-- Version: 1.0.0 | Category: requirements -->

## 指令
請分析以下需求文件/使用者故事，產出結構化的需求分析報告。

## 輸入
- 需求來源：{需求文件/JIRA Issue/使用者口述}
- 專案背景：{簡述專案目標與現有系統}
- 利害關係人：{列出相關角色}

## 分析維度
1. **功能需求**：拆解為獨立、可測試的功能項目
2. **非功能需求**：效能、安全、可用性、可維護性
3. **約束條件**：技術限制、法規要求、時程
4. **假設與風險**：隱含假設與潛在風險
5. **優先排序**：MoSCoW 分類（Must/Should/Could/Won't）

## 輸出格式
| # | 需求描述 | 類型 | MoSCoW | 驗收條件 | 風險 |

# Prompt: Architecture Review
<!-- Version: 1.0.0 | Category: architecture -->

## 指令
請對以下系統架構進行全面評審，涵蓋設計原則、可擴展性、安全性與可維護性。

## 輸入
- 架構文件/圖：{C4 diagram / 系統架構圖 / 文字描述}
- 技術棧：{語言、框架、資料庫、雲平台}
- 預期規模：{使用者數、TPS、資料量}
- 團隊規模：{開發人員數、團隊結構}

## 評審維度
1. **架構風格適切性**：Monolith vs. Microservices vs. Serverless
2. **分層清晰度**：各層職責、介面定義
3. **耦合與內聚**：模組間依賴方向、循環依賴
4. **可擴展性**：水平/垂直擴展能力
5. **韌性**：容錯、重試、斷路器
6. **安全架構**：認證/授權、網路隔離、機密管理
7. **可觀測性**：日誌、度量、追蹤
8. **資料管理**：資料一致性策略、備份/復原

## 輸出格式
- 架構評分卡（每維度 1-5 分）
- 風險清單（含嚴重度與影響範圍）
- 改善建議（含優先級）
- 替代方案比較（若有）

# Prompt: Coding Standard Implementation
<!-- Version: 1.0.0 | Category: development -->

## 指令
請根據以下規範撰寫 {語言} 程式碼，實作 {功能描述}。

## 輸入
- 語言/框架：{Java 17 + Spring Boot 3.x / Python 3.12 + FastAPI / etc.}
- 功能需求：{具體功能描述}
- 介面規格：{API spec / 方法簽名 / DTO 定義}
- 相關檔案：{需參考的現有程式碼路徑}

## 品質要求
1. **命名**：遵循語言慣例（Java: camelCase 方法、PascalCase 類別）
2. **註解**：公開方法使用 JavaDoc/docstring，複雜邏輯加行內註解
3. **錯誤處理**：使用具體例外類別，提供有意義的錯誤訊息
4. **日誌**：關鍵操作加入 INFO 日誌，錯誤加入 ERROR 日誌（含 context）
5. **安全**：輸入驗證、輸出編碼、參數化查詢
6. **測試**：同時產出對應的單元測試

## 輸出
- 實作程式碼（含完整 import）
- 對應單元測試
- 需要新增的依賴（若有）

# Prompt: Refactoring Guidance
<!-- Version: 1.0.0 | Category: development -->

## 指令
請分析以下程式碼並提供重構建議，確保重構後行為不變（Behavior Preservation）。

## 輸入
- 目標程式碼：{檔案路徑或程式碼片段}
- 重構目標：{提高可讀性 / 降低複雜度 / 抽取共用模組 / 套用設計模式}
- 約束：{不可更改公開 API / 必須向下相容 / 時間限制}

## 分析步驟
1. **現況評估**：目前的問題（圈複雜度、重複碼、耦合度）
2. **重構策略**：建議的重構手法（Extract Method / Introduce Interface / etc.）
3. **風險評估**：可能影響的其他模組、需要更新的測試
4. **逐步計畫**：可分階段執行的重構步驟，每步可獨立驗證
5. **驗證方式**：重構前後的等價驗證方法

## 輸出格式
1. 現況分析（含指標數據）
2. 重構計畫（步驟化）
3. 重構後的程式碼
4. 更新後的測試
5. 注意事項

# Prompt: Test Strategy & Case Generation
<!-- Version: 1.0.0 | Category: testing -->

## 指令
請為以下程式碼/功能建立完整的測試策略與測試案例。

## 輸入
- 目標程式碼：{檔案路徑或方法簽名}
- 測試框架：{JUnit 5 / pytest / Jest}
- 測試層級：{Unit / Integration / E2E}
- 外部依賴：{需要 Mock 的服務}

## 測試策略
1. **Happy Path**：正常流程的驗證
2. **Edge Cases**：邊界值（null、空集合、最大值、最小值）
3. **Error Cases**：異常輸入、外部服務故障
4. **Security Cases**：注入攻擊、權限繞過
5. **Concurrency Cases**：並發存取（若適用）

## 每個測試案例需包含
- 測試名稱（描述性，given_when_then 格式）
- 前置條件 (Arrange)
- 操作 (Act)
- 驗證 (Assert)
- 說明為何此測試重要

## 輸出格式
1. 測試策略概述
2. 可執行的測試程式碼
3. 需要的 Mock/Stub 設定
4. 測試資料準備

# Prompt: Security Audit
<!-- Version: 1.0.0 | Category: security -->

## 指令
請對以下程式碼進行 OWASP Top 10（2021）安全審查，並檢查 SANS CWE Top 25 中的常見弱點。

## 輸入
- 審查範圍：{檔案路徑 / 模組 / 整個專案}
- 應用類型：{Web API / 前端 SPA / 後端服務 / CLI 工具}
- 認證機制：{JWT / Session / OAuth2 / API Key}
- 資料敏感度：{PII / 金融 / 醫療 / 一般}

## 檢查項目
### OWASP Top 10 (2021)
- A01: Broken Access Control
- A02: Cryptographic Failures
- A03: Injection（SQL/NoSQL/OS Command/LDAP）
- A04: Insecure Design
- A05: Security Misconfiguration
- A06: Vulnerable and Outdated Components
- A07: Identification and Authentication Failures
- A08: Software and Data Integrity Failures
- A09: Security Logging and Monitoring Failures
- A10: Server-Side Request Forgery (SSRF)

### 額外檢查
- 硬編碼 credentials（API key、password、token）
- 不安全的反序列化
- 敏感資料暴露於日誌
- CORS 設定不當
- HTTP Security Headers 缺失

## 輸出格式
| 嚴重度 | OWASP/CWE | 檔案:行號 | 漏洞描述 | 攻擊向量 | 修復建議 | 修復範例 |

# Prompt: Reverse Engineering Analysis
<!-- Version: 1.0.0 | Category: reverse-engineering -->

## 指令
請對以下舊系統進行逆向工程分析，產出架構文件與現代化建議。

## 輸入
- 專案路徑：{root path}
- 已知技術棧：{若已知，列出語言、框架、DB}
- 分析深度：{概覽 / 模組級 / 方法級}
- 重點關注：{核心業務邏輯 / 資料流 / 整合點 / 安全性}

## 分析流程
1. **技術棧偵測**：掃描 build 設定、依賴宣告、框架特徵
2. **目錄結構分析**：識別分層架構與模組劃分
3. **進入點識別**：main()、Servlet、Controller、Scheduled Tasks
4. **資料流追蹤**：API → Service → DAO → DB
5. **外部整合盤點**：第三方 API、MQ、File I/O、LDAP
6. **資料模型分析**：Entity/Table 關係、ER Diagram
7. **組態分析**：設定檔、環境變數、Feature Flag
8. **安全態勢**：認證/授權機制、已知 CVE

## 輸出格式
1. 技術棧摘要
2. 架構概覽圖（Mermaid C4 Context）
3. 模組清單與職責
4. 類別關係圖（Mermaid classDiagram，核心模組）
5. 關鍵資料流圖（Mermaid sequenceDiagram）
6. 技術債清單
7. 現代化建議與優先順序

# Prompt: Pull Request Review
<!-- Version: 1.0.0 | Category: release -->

## 指令
請對以下 Pull Request 進行全面審查，產出結構化的 Review 報告。

## 輸入
- PR 描述：{PR title + description}
- 變更檔案清單：{files changed}
- 關聯 Issue：{JIRA/GitHub Issue ID}
- 審查重點：{全面 / 安全聚焦 / 效能聚焦}

## 審查維度
1. **功能正確性**：是否符合 Issue 需求？是否有遺漏？
2. **程式碼品質**：命名、結構、複雜度、重複碼
3. **安全性**：OWASP Top 10 相關檢查
4. **效能**：N+1 查詢、不必要的記憶體配置、阻塞操作
5. **測試**：是否有對應測試？測試是否充分？
6. **向下相容**：API 變更是否向下相容？
7. **文件**：API 文件是否更新？Changelog 是否記錄？

## 輸出格式
### 總體評價
- ✅ Approve / ⚠️ Request Changes / ❌ Reject

### 詳細 Review
| 類型 | 檔案:行號 | 問題描述 | 嚴重度 | 建議修正 |

類型：🐛 Bug / 🔒 Security / ⚡ Performance / 📝 Style / 💡 Suggestion

# Prompt: Incident Analysis
<!-- Version: 1.0.0 | Category: release -->

## 指令
請根據以下事故資訊進行根因分析（Root Cause Analysis），並產出事故報告。

## 輸入
- 事故描述：{什麼壞了、影響範圍、持續時間}
- 時間軸：{發現時間、處理過程、恢復時間}
- 錯誤日誌：{相關 log 片段}
- 監控資料：{異常指標、告警}
- 變更記錄：{事故前的 deploy/config 變更}

## 分析框架（5 Whys + Fishbone）
1. **直接原因**：觸發事故的直接技術原因
2. **5 Whys 深掘**：逐層追問根本原因
3. **魚骨分析**：
   - 人員：操作錯誤、知識不足
   - 流程：SOP 缺陷、審核不足
   - 技術：程式碼 bug、架構缺陷
   - 環境：基礎設施、第三方故障

## 輸出格式
1. 事故摘要（一段話）
2. 時間軸（表格）
3. 根因分析（5 Whys 鏈）
4. 影響評估（使用者數、財務、聲譽）
5. 短期修復（已執行/待執行）
6. 長期改善（防止再發）
7. Action Items 清單（含負責人與期限）

# Prompt: Migration Planning
<!-- Version: 1.0.0 | Category: development -->

## 指令
請根據以下現況與目標，規劃系統/框架/語言遷移方案。

## 輸入
- 現況：{目前技術棧、版本、規模}
- 目標：{目標技術棧、版本}
- 約束：{時程、預算、團隊能力、不可中斷的服務}
- 優先級：{全部一次遷移 / 漸進式遷移}

## 規劃維度
1. **差異分析**：現況 vs. 目標的 breaking changes
2. **依賴影響**：受影響的第三方套件與版本
3. **資料遷移**：Schema 變更、資料轉換
4. **API 相容性**：公開 API 的向下相容策略
5. **漸進式策略**：Strangler Fig / Branch by Abstraction / Feature Toggle
6. **驗證計畫**：每階段的驗證方式與 rollback 計畫
7. **風險矩陣**：機率 × 影響的風險評估

## 輸出格式
1. 遷移概述（一頁摘要）
2. 差異分析表
3. 階段化遷移計畫（甘特圖邏輯）
4. 風險矩陣
5. Rollback 計畫
6. 驗證 Checklist

# 自動觸發 — Claude 判斷 "security" 關鍵字匹配 security-check skill
> 請檢查 src/auth/ 的安全性

# 手動觸發 — 明確指定
> /security-check src/auth/

.claude/skills/
└── security-check/
    ├── SKILL.md                    # Skill 主定義
    ├── owasp-rules.md              # OWASP 規則集
    ├── cwe-top-25.md               # CWE Top 25 清單
    └── security-report-template.md # 報告範本

---
name: windows-deploy
description: "Deploys application using PowerShell scripts on Windows"
shell: powershell
allowed-tools:
  - Read
  - Bash
---

---
name: api-linter
description: "Lints OpenAPI specification files for consistency"
paths:
  - "api/**/*.yaml"
  - "api/**/*.json"
  - "docs/openapi/**"
allowed-tools:
  - Read
  - Grep
  - Glob
---

---
name: quick-format-check
description: "Quick formatting validation"
effort: low          # ← 低工作量，減少 token 消耗
allowed-tools:
  - Read
  - Grep
---

---
name: database-migration
description: "Generates and validates database migration scripts"
hooks:
  pre:
    command: "node scripts/check-db-connection.js"
    description: "Verify database connectivity before migration"
  post:
    command: "node scripts/validate-migration.js"
    description: "Validate migration script syntax"
allowed-tools:
  - Read
  - Write
  - Bash
---

---
name: fix-issue
description: "Fixes a GitHub issue by number"
when_to_use: "當使用者提到要修復某個編號的 Issue，或貼上 Issue 連結時觸發"
argument-hint: "[issue-number]"
arguments: issue_number priority
user-invocable: true
---

修復 Issue #$issue_number（優先度：$priority）。

1. 使用 `gh issue view $issue_number` 取得 Issue 內容
2. 在新分支實作修正
3. 開啟 PR 並關聯該 Issue

---
name: legacy-analysis
description: "Analyzes legacy codebase to produce technical debt inventory"
context: fork
agent: Explore              # ← 以內建 Explore subagent 型態 fork 執行
model: claude-opus-4-6-20250414   # ← 此 Skill 執行期間覆寫使用的模型
disallowed-tools:
  - Write                   # ← 即使主對話有 Write 權限，此 Skill 執行期間也不可用
  - Edit
---

---
name: release-notes
description: "Generates release notes from recent commits"
---

# Release Notes 產生器

最近 10 筆 commit 紀錄：
!`git log -10 --oneline`

當前分支與狀態：
!`git status -sb`

請依上述 commit 紀錄整理成使用者可讀的 Release Notes。

```!
#!/bin/bash
echo "目前測試覆蓋率："
npm run coverage:summary
```

---
name: security-check
description: "Automated OWASP Top 10 security check for source code changes. Triggers on security-related requests or when code in auth/crypto/input-handling modules is modified."
allowed-tools:
  - Read
  - Grep
  - Glob
  - LS
---

# Security Check Skill

## 角色
你是自動化安全掃描引擎，專注於靜態程式碼安全分析。

## 觸發條件
當使用者要求安全審查，或修改以下路徑的檔案時自動觸發：
- `**/auth/**`、`**/security/**`、`**/crypto/**`
- `**/filter/**`、`**/interceptor/**`
- 任何包含 `password`、`token`、`secret` 的檔案

## 檢查流程
1. 使用 Glob 找出目標檔案
2. 依序檢查 OWASP Top 10 各項目
3. 使用 Grep 搜尋已知危險模式：
   - `eval(` / `exec(` / `Runtime.exec`
   - `SELECT.*FROM.*WHERE.*+` (字串拼接 SQL)
   - `password\s*=\s*["']` (硬編碼密碼)
   - `TODO.*security` / `FIXME.*auth`
4. 產出結構化報告

## 輸出格式
### 🔒 安全掃描報告

**掃描範圍**：{檔案數} 個檔案
**發現問題**：{數量}

| # | 嚴重度 | CWE | 檔案:行號 | 問題 | 修復建議 |
|---|--------|-----|-----------|------|---------|

### 統計
- 🔴 Critical: X
- 🟠 High: X
- 🟡 Medium: X
- 🟢 Low: X

## 限制
- 此 Skill 為唯讀，不修改檔案
- 若發現 🔴 Critical，報告開頭需顯示醒目警告

---
name: test-generator
description: "Generates comprehensive unit tests for source code including happy path, edge cases, boundary values, and error scenarios. Supports JUnit 5, pytest, and Jest."
allowed-tools:
  - Read
  - Write
  - Grep
  - Glob
  - LS
---

# Test Generator Skill

## 角色
你是測試工程師，專精於撰寫高品質、高覆蓋率的自動化測試。

## 分析步驟
1. **讀取目標程式碼**：理解類別/方法的功能與介面
2. **識別依賴**：找出需要 Mock 的外部依賴
3. **設計測試案例**：
   - **Happy Path**：正常輸入的預期行為
   - **Edge Cases**：null、空字串、空集合、0、Integer.MAX_VALUE
   - **Error Cases**：無效輸入、例外觸發條件
   - **Boundary Values**：邊界值分析
4. **產生測試程式碼**

## 測試命名慣例

## 輸出
- 完整的測試檔案（含 import、setup、teardown）
- Mock/Stub 設定
- 測試覆蓋說明（哪些路徑被覆蓋）

## 品質規則
- 每個測試方法只驗證一件事（Single Assertion Principle）
- 測試之間不可有依賴（Independent）
- 測試名稱必須描述行為，不只描述方法名
- Mock 只用於外部依賴，不 Mock 被測試類別本身

---
name: pr-summary
description: "Generates structured Pull Request summary from git diff. Analyzes changes, categorizes modifications, identifies risks, and produces a ready-to-use PR description."
allowed-tools:
  - Read
  - Bash
  - Grep
  - Glob
  - LS
disable-model-invocation: true
---

# PR Summary Skill

## 角色
你是 PR 審查助理，負責分析變更並產生清晰的 PR 描述。

## 工作流程
1. **取得 diff**：
   ```bash
   git diff --stat HEAD~1
   git diff HEAD~1 -- '*.java' '*.py' '*.ts' '*.js'
   ```
2. **分類變更**：
   - 🆕 新增功能
   - 🐛 Bug 修復
   - ♻️ 重構
   - 📝 文件更新
   - 🔧 設定變更
   - 🧪 測試
3. **風險評估**：
   - 影響範圍（多少模組被修改）
   - 是否有 breaking changes
   - 是否有安全相關修改
4. **產出 PR 描述**

## 輸出格式
```markdown
## 變更摘要
{一段話描述此 PR 的目的與主要變更}

## 變更類型
- [x] 🆕 新功能
- [ ] 🐛 Bug 修復
- [ ] ♻️ 重構

## 變更詳情
### 新增/修改
| 檔案 | 變更類型 | 說明 |

### 影響範圍
- 受影響模組：...
- 受影響 API：...

## 測試
- [ ] 已新增/更新測試
- [ ] 所有測試通過

## 風險評估
- 風險等級：🟢 Low / 🟡 Medium / 🔴 High
- 說明：...

## Reviewer 注意事項
{需要特別關注的地方}
```

## 限制
- 不修改任何原始碼
- 僅分析 Git tracked 的變更

---
name: api-review
description: "Reviews REST/GraphQL API design for naming conventions, versioning strategy, security headers, error handling, pagination, and documentation completeness."
allowed-tools:
  - Read
  - Grep
  - Glob
  - LS
---

# API Review Skill

## 角色
你是 API 設計顧問，專精 RESTful API 最佳實踐與企業 API 治理。

## 審查維度

### 1. URL 設計
- 使用名詞複數形式（`/users` 而非 `/user`）
- 階層清晰（`/users/{id}/orders`）
- 避免動詞（`/getUser` → `/users/{id}`）
- 版本策略（URL path `/v1/` or Header `Accept-Version`）

### 2. HTTP Method 語意
- GET：冪等、無副作用
- POST：建立資源
- PUT：完整更新
- PATCH：部分更新
- DELETE：刪除

### 3. 回應設計
- 適當的 HTTP Status Code（不全用 200）
- 一致的錯誤格式（error code + message + details）
- 分頁（cursor-based 優於 offset-based）
- HATEOAS（若採用）

### 4. 安全
- 認證方式（Bearer Token / API Key）
- Rate Limiting headers（X-RateLimit-*）
- CORS 設定
- Input Validation

### 5. 文件
- OpenAPI/Swagger 規格是否完整
- 範例 request/response
- 錯誤碼清單

## 輸出格式
| # | 維度 | 端點 | 問題 | 嚴重度 | 建議 |

嚴重度：P0 必須修正 / P1 強烈建議 / P2 建議 / P3 可選

---
name: legacy-analysis
description: "Analyzes legacy codebase to produce technical debt inventory, dependency risk assessment, and modernization roadmap. Supports Java, C#, Python, COBOL."
allowed-tools:
  - Read
  - Bash
  - Grep
  - Glob
  - LS
context: fork
paths:
  - "re-baseline/**"
---

# Legacy Analysis Skill

## 角色
你是舊系統現代化顧問，專精技術債評估與遷移規劃。

## 分析流程

### Phase 1：快速探索（5 分鐘）
```bash
# 程式碼規模
find . -name "*.java" -o -name "*.cs" -o -name "*.py" | wc -l
# 依賴數量
grep -c "<dependency>" pom.xml 2>/dev/null || echo "Non-Maven"
# 最後修改時間分佈
git log --format="%ai" --diff-filter=M -- "*.java" | cut -d- -f1-2 | sort | uniq -c
```

### Phase 2：技術債分類
| 類別 | 檢查項目 |
|------|---------|
| **過時依賴** | EOL 框架、已知 CVE 套件 |
| **程式碼品質** | 重複碼、巨型類別（> 500 行）、巨型方法（> 50 行） |
| **架構問題** | 循環依賴、分層違規、God Class |
| **測試缺口** | 無測試的核心模組、測試覆蓋率 |
| **安全債務** | 硬編碼 credentials、不安全的加密、SQL 注入風險 |
| **文件缺口** | 無 API 文件、無架構文件、無部署文件 |

### Phase 3：現代化建議
依據分析結果，提供：
1. Quick Wins（1-2 週可完成，高效益）
2. 中期改善（1-3 個月）
3. 長期策略（架構層級變更）

## 輸出格式
1. 系統概況卡（技術棧、規模、年齡）
2. 技術債清單（表格，含嚴重度、工作量估計）
3. 依賴風險矩陣
4. 現代化路線圖（階段化）
5. 建議優先順序

## 注意
- `context: fork` — 讓此 Skill 在獨立 forked subagent 中執行，避免大量檔案讀取污染主對話 context
- `paths` 是用於自動觸發比對的 glob pattern，並非宣告 supporting files 的欄位；supporting files 一律以內文相對路徑引用（見下方）

---
name: doc-generator
description: "Generates documentation from source code including API docs (OpenAPI), architecture docs (C4/Mermaid), and README files. Supports Java, Python, TypeScript."
allowed-tools:
  - Read
  - Write
  - Grep
  - Glob
  - LS
---

# Documentation Generator Skill

## 角色
你是技術文件工程師，擅長從程式碼產生清晰、完整的技術文件。

## 支援的文件類型

### 1. API 文件（OpenAPI 3.0）
- 掃描 Controller/Router 檔案
- 提取端點、參數、回應格式
- 產出 OpenAPI YAML

### 2. 架構文件
- 分析模組結構
- 產出 C4 Context/Container Diagram（Mermaid）
- 產出元件關係圖

### 3. README
- 專案描述
- 快速開始指南
- 建置與執行指令
- 目錄結構說明
- 貢獻指南

### 4. 變更日誌（Changelog）
- 分析 git log
- 分類變更（Feature/Fix/Breaking Change）
- 產出 CHANGELOG.md

## 品質規則
- 文件使用繁體中文（除 API spec 使用英文）
- 程式碼範例必須可執行
- 所有連結必須有效
- Mermaid 圖表語法必須正確

## 輸出
- 直接寫入目標檔案（docs/ 目錄）
- 產出後報告產生的檔案清單

---
name: deploy-checklist
description: "Generates pre-deployment checklist verifying build status, test results, security scan, configuration, rollback plan, and stakeholder approvals. Run before any production deployment."
allowed-tools:
  - Read
  - Bash
  - Grep
  - Glob
  - LS
disable-model-invocation: true
---

# Deploy Checklist Skill

## 角色
你是 Release Engineer，負責確保部署前所有品質門檻通過。

## 檢查清單

### 1. 建置狀態 ✅/❌
```bash
# 確認建置成功
mvn clean package -DskipTests 2>&1 | tail -5
# 或
npm run build 2>&1 | tail -5
```

### 2. 測試結果 ✅/❌
```bash
# 確認所有測試通過
mvn test 2>&1 | grep -E "Tests run|BUILD"
# 或
npm test 2>&1 | tail -10
```

### 3. 安全掃描 ✅/❌
- 是否已執行 SAST 掃描
- 是否有未解決的 🔴 Critical / 🟠 High 漏洞
- 依賴 CVE 掃描結果

### 4. 設定檢查 ✅/❌
- 生產環境設定是否正確
- 機密值是否使用環境變數/Secret Manager
- 資料庫連線字串是否正確
- Feature Flag 狀態是否正確

### 5. 資料庫遷移 ✅/❌
- Schema 變更是否有 migration script
- Migration 是否可回滾
- 是否已在 staging 驗證

### 6. 監控與告警 ✅/❌
- Health Check 端點是否正常
- 告警規則是否設定
- Dashboard 是否更新

### 7. Rollback 計畫 ✅/❌
- Rollback 步驟是否文件化
- 前一版本的 artifact 是否可取得
- Rollback 是否已在 staging 驗證

### 8. 核准 ✅/❌
- Tech Lead 核准
- Security Team 核准（若有安全變更）
- PO 核准（若有功能變更）

## 輸出格式
```markdown
# 🚀 部署檢查清單 — {日期} {版本}

| # | 項目 | 狀態 | 說明 |
|---|------|------|------|
| 1 | 建置 | ✅ | BUILD SUCCESS |
| 2 | 測試 | ✅ | 128/128 passed |
| 3 | 安全掃描 | ⚠️ | 2 Medium issues (accepted) |
| 4 | 設定 | ✅ | All env vars configured |
| 5 | DB Migration | ✅ | V3.2.0 applied on staging |
| 6 | 監控 | ✅ | Alerts configured |
| 7 | Rollback | ✅ | v3.1.0 artifact available |
| 8 | 核准 | ⏳ | Pending Security team |

**總體狀態**：⏳ 待核准 — 解除 Security team 核准後可部署
```

## 限制
- 此 Skill 不執行實際部署
- 安全掃描結果需人工確認
- 核准狀態需人工填寫

"Write"         → 精確匹配 Write 工具（檔案寫入）
"Bash"          → 精確匹配 Bash 工具（指令執行）
"Read"          → 精確匹配 Read 工具（檔案讀取）
"Edit"          → 精確匹配 Edit 工具（檔案編輯）
"mcp__*"        → 匹配所有 MCP 工具
"mcp__github_*" → 匹配 GitHub MCP Server 的所有工具
"*"             → 匹配所有工具（謹慎使用）

{
  "hooks": {
    "<EventName>": [
      {
        "matcher": "<ToolName 或 Pattern>",
        "hooks": [
          {
            "type": "<command|http|mcp_tool|prompt|agent>",
            "command": "<僅 command type>",
            "url": "<僅 http type>",
            "prompt": "<僅 prompt type>",
            "if": "<權限規則語法，如 'Bash(git *)'>",
            "description": "人類可讀的描述"
          }
        ]
      }
    ]
  }
}

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/protect-prod-config.sh",
            "if": "Write(config/prod/**)",
            "description": "只保護 production config 檔案"
          }
        ]
      }
    ],
    "PostToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/audit-bash.sh",
            "if": "Bash(rm *)",
            "description": "僅在執行危險指令時稽核"
          }
        ]
      }
    ]
  }
}

{
  "permissionDecision": "ask",
  "reason": "此操作涉及 production 設定檔，需要人工確認"
}

{
  "type": "command",
  "args": ["node", ".claude/hooks/check with spaces.js", "--flag"],
  "description": "以 exec-form 避免路徑含空白時的 shell 轉義問題"
}

{ "ok": true }

{ "ok": false, "reason": "偵測到本次變更包含尚未處理的 TODO 標記" }

使用者指令
  → Permission Mode 檢查（是否允許此工具）
    → PreToolUse Hook（額外驗證，可 Block）
      → 工具實際執行
    → PostToolUse Hook（後處理、稽核）

# 方式一：以全域 debug 模式啟動，Hook 的觸發、匹配、執行結果會輸出到除錯日誌
claude --debug

# 方式二：在對話中開啟唯讀瀏覽介面，檢視目前所有層級生效的 Hook 設定
/hooks

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/protect-sensitive-files.sh",
            "description": "Block writes to sensitive files (.env, secrets/, managed-*)"
          }
        ]
      },
      {
        "matcher": "Edit",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/protect-sensitive-files.sh",
            "description": "Block edits to sensitive files"
          }
        ]
      }
    ]
  }
}

#!/bin/bash
# protect-sensitive-files.sh
# 從 stdin 讀取 JSON context，檢查目標檔案路徑
# Exit 2 = Block 操作

INPUT=$(cat)
FILE_PATH=$(echo "$INPUT" | jq -r '.tool_input.file_path // .tool_input.path // ""')

# 定義保護清單
PROTECTED_PATTERNS=(
  ".env"
  ".env.*"
  "secrets/"
  "managed-settings.json"
  "managed-mcp.json"
  "*.pem"
  "*.key"
  "*credentials*"
)

for PATTERN in "${PROTECTED_PATTERNS[@]}"; do
  if [[ "$FILE_PATH" == *"$PATTERN"* ]] || [[ "$FILE_PATH" == $PATTERN ]]; then
    echo "🚫 BLOCKED: Attempt to modify protected file: $FILE_PATH" >&2
    echo "Protected patterns: ${PROTECTED_PATTERNS[*]}" >&2
    exit 2
  fi
done

exit 0

# 啟用 Hook 除錯
export CLAUDE_CODE_DEBUG_HOOKS=1

# 手動測試腳本
echo '{"tool_input":{"file_path":".env.production"}}' | bash .claude/hooks/protect-sensitive-files.sh
echo "Exit code: $?"
# 預期輸出: BLOCKED 訊息 + exit code 2

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/readonly-sql-guard.sh",
            "description": "Block destructive SQL operations, allow only SELECT"
          }
        ]
      }
    ]
  }
}

#!/bin/bash
# readonly-sql-guard.sh
# 檢查 Bash 指令中是否包含危險 SQL 操作

INPUT=$(cat)
COMMAND=$(echo "$INPUT" | jq -r '.tool_input.command // ""')

# 將指令轉為大寫做比對
UPPER_CMD=$(echo "$COMMAND" | tr '[:lower:]' '[:upper:]')

# 檢查是否為 SQL 相關指令（包含 mysql, psql, sqlite3 等）
if echo "$UPPER_CMD" | grep -qE '(MYSQL|PSQL|SQLITE3|SQLCMD|PGCLI)'; then
  # 是 SQL 指令，檢查是否包含危險操作
  DANGEROUS_PATTERNS=(
    "DROP "
    "DELETE "
    "UPDATE "
    "INSERT "
    "ALTER "
    "TRUNCATE "
    "CREATE "
    "GRANT "
    "REVOKE "
    "EXEC "
    "EXECUTE "
  )

  for PATTERN in "${DANGEROUS_PATTERNS[@]}"; do
    if echo "$UPPER_CMD" | grep -q "$PATTERN"; then
      echo "🚫 BLOCKED: Destructive SQL detected: $PATTERN" >&2
      echo "Only SELECT queries are allowed." >&2
      echo "Command was: $COMMAND" >&2
      exit 2
    fi
  done
fi

exit 0

export CLAUDE_CODE_DEBUG_HOOKS=1

# 測試 SELECT（應放行）
echo '{"tool_input":{"command":"psql -c \"SELECT * FROM users\""}}' | bash .claude/hooks/readonly-sql-guard.sh
echo "Exit code: $?"  # 預期: 0

# 測試 DELETE（應阻擋）
echo '{"tool_input":{"command":"psql -c \"DELETE FROM users WHERE id=1\""}}' | bash .claude/hooks/readonly-sql-guard.sh
echo "Exit code: $?"  # 預期: 2

{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/auto-format.sh",
            "description": "Auto-format files after write (Java: google-java-format, Python: black)"
          }
        ]
      }
    ]
  }
}

#!/bin/bash
# auto-format.sh
# PostToolUse hook: 根據檔案類型自動格式化

INPUT=$(cat)
FILE_PATH=$(echo "$INPUT" | jq -r '.tool_input.file_path // .tool_input.path // ""')

if [ -z "$FILE_PATH" ] || [ ! -f "$FILE_PATH" ]; then
  exit 0
fi

# 取得副檔名
EXT="${FILE_PATH##*.}"

case "$EXT" in
  java)
    if command -v google-java-format &>/dev/null; then
      google-java-format --replace "$FILE_PATH" 2>/dev/null
      echo "✅ Formatted (google-java-format): $FILE_PATH" >&2
    elif command -v mvn &>/dev/null; then
      # fallback: 使用 Maven Spotless
      mvn spotless:apply -q 2>/dev/null
      echo "✅ Formatted (spotless): $FILE_PATH" >&2
    fi
    ;;
  py)
    if command -v black &>/dev/null; then
      black --quiet "$FILE_PATH" 2>/dev/null
      echo "✅ Formatted (black): $FILE_PATH" >&2
    elif command -v ruff &>/dev/null; then
      ruff format "$FILE_PATH" 2>/dev/null
      echo "✅ Formatted (ruff): $FILE_PATH" >&2
    fi
    ;;
  ts|tsx|js|jsx)
    if command -v prettier &>/dev/null; then
      prettier --write "$FILE_PATH" 2>/dev/null
      echo "✅ Formatted (prettier): $FILE_PATH" >&2
    fi
    ;;
  *)
    # 不支援的格式，靜默跳過
    ;;
esac

exit 0

export CLAUDE_CODE_DEBUG_HOOKS=1

# 確認 formatter 是否可用
which google-java-format
which black
which prettier

# 手動觸發測試
echo '{"tool_input":{"file_path":"src/main/java/App.java"}}' | bash .claude/hooks/auto-format.sh

{
  "hooks": {
    "Stop": [
      {
        "matcher": "",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/quality-gate.sh",
            "description": "Quality gate before agent stops: tests, TODOs, commit format"
          }
        ]
      }
    ]
  }
}

#!/bin/bash
# quality-gate.sh
# Stop hook: Agent 停止前的品質檢查

ERRORS=0
REPORT=""

# 1. 檢查是否有未通過的測試
if command -v mvn &>/dev/null && [ -f "pom.xml" ]; then
  mvn test -q 2>/dev/null
  if [ $? -ne 0 ]; then
    REPORT="$REPORT\n❌ Tests failed. Please fix before completing."
    ERRORS=$((ERRORS + 1))
  else
    REPORT="$REPORT\n✅ All tests passed."
  fi
fi

# 2. 檢查是否有 TODO/FIXME 殘留在本次變更中
STAGED_FILES=$(git diff --cached --name-only 2>/dev/null)
if [ -n "$STAGED_FILES" ]; then
  TODO_COUNT=$(echo "$STAGED_FILES" | xargs grep -c "TODO\|FIXME\|HACK\|XXX" 2>/dev/null | grep -v ":0$" | wc -l)
  if [ "$TODO_COUNT" -gt 0 ]; then
    REPORT="$REPORT\n⚠️ Found TODO/FIXME in $TODO_COUNT staged files. Consider resolving."
  else
    REPORT="$REPORT\n✅ No TODO/FIXME in staged files."
  fi
fi

# 3. 檢查最後一個 commit 是否符合 Conventional Commits
LAST_MSG=$(git log -1 --pretty=%s 2>/dev/null)
if [ -n "$LAST_MSG" ]; then
  if echo "$LAST_MSG" | grep -qE "^(feat|fix|docs|style|refactor|perf|test|chore|ci|build|revert)(\(.+\))?!?: .+"; then
    REPORT="$REPORT\n✅ Last commit follows Conventional Commits."
  else
    REPORT="$REPORT\n⚠️ Last commit may not follow Conventional Commits: '$LAST_MSG'"
  fi
fi

# 輸出報告
echo -e "\n📋 Quality Gate Report:$REPORT" >&2

if [ "$ERRORS" -gt 0 ]; then
  echo "🚫 Quality gate failed with $ERRORS error(s)." >&2
  exit 2
fi

exit 0

# 手動模擬 Stop 事件
bash .claude/hooks/quality-gate.sh
echo "Exit code: $?"

# 檢查各檢查項目是否正常
mvn test -q
git diff --cached --name-only | xargs grep -c "TODO\|FIXME"
git log -1 --pretty=%s

{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/config-audit-log.sh",
            "description": "Audit log for config file changes"
          }
        ]
      },
      {
        "matcher": "Edit",
        "hooks": [
          {
            "type": "command",
            "command": "bash .claude/hooks/config-audit-log.sh",
            "description": "Audit log for config file edits"
          }
        ]
      }
    ]
  }
}

#!/bin/bash
# config-audit-log.sh
# PostToolUse hook: 設定檔變更稽核日誌

INPUT=$(cat)
FILE_PATH=$(echo "$INPUT" | jq -r '.tool_input.file_path // .tool_input.path // ""')
AUDIT_LOG=".claude/audit/config-changes.log"

# 定義需要稽核的檔案模式
CONFIG_PATTERNS=("*.json" "*.yaml" "*.yml" "*.properties" "*.toml" "*.xml" "*.conf" "*.cfg" "*.ini")

IS_CONFIG=false
for PATTERN in "${CONFIG_PATTERNS[@]}"; do
  if [[ "$FILE_PATH" == $PATTERN ]]; then
    IS_CONFIG=true
    break
  fi
done

if [ "$IS_CONFIG" = false ]; then
  exit 0
fi

# 確保 audit 目錄存在
mkdir -p "$(dirname "$AUDIT_LOG")"

# 取得 git diff 摘要
DIFF_SUMMARY=""
if command -v git &>/dev/null; then
  DIFF_SUMMARY=$(git diff -- "$FILE_PATH" 2>/dev/null | head -20)
fi

# 寫入 audit log
TIMESTAMP=$(date -u +"%Y-%m-%dT%H:%M:%SZ")
USER=$(whoami)
HOSTNAME=$(hostname)

cat >> "$AUDIT_LOG" <<EOF
---
timestamp: $TIMESTAMP
user: $USER
host: $HOSTNAME
file: $FILE_PATH
tool: $(echo "$INPUT" | jq -r '.tool_name // "unknown"')
action: config_modified
diff_preview: |
$(echo "$DIFF_SUMMARY" | sed 's/^/  /')
EOF

echo "📝 Audit logged: $FILE_PATH at $TIMESTAMP" >&2
exit 0

export CLAUDE_CODE_DEBUG_HOOKS=1

# 測試設定檔（應記錄）
echo '{"tool_input":{"file_path":"config/app.yaml"},"tool_name":"Write"}' | bash .claude/hooks/config-audit-log.sh
cat .claude/audit/config-changes.log

# 測試非設定檔（應跳過）
echo '{"tool_input":{"file_path":"src/App.java"},"tool_name":"Write"}' | bash .claude/hooks/config-audit-log.sh

{
  "hooks": {
    "Notification": [
      {
        "type": "prompt",
        "prompt": "⚠️ Context was compacted. Critical reminders:\n1. Current task: Check .claude/current-task.md for active task details\n2. Architecture decisions: See docs/ADR/ for all decisions made this session\n3. Security rules: NEVER modify files in secrets/ or .env*\n4. Test command: mvn test -pl module-name\n5. Branch: Run 'git branch --show-current' to confirm current branch",
        "description": "Inject critical context after compaction"
      }
    ]
  }
}

{
  "hooks": {
    "Notification": [
      {
        "type": "command",
        "command": "bash .claude/hooks/post-compact-context.sh",
        "description": "Dynamically inject context after compaction"
      }
    ]
  }
}

#!/bin/bash
# post-compact-context.sh
# 動態讀取 current-task.md 並輸出到 stdout（stdout 內容會被注入對話）

echo "⚠️ Context was compacted. Restoring critical context:"
echo ""

if [ -f ".claude/current-task.md" ]; then
  echo "## Current Task"
  cat .claude/current-task.md
  echo ""
fi

if [ -f ".claude/session-decisions.md" ]; then
  echo "## Session Decisions"
  cat .claude/session-decisions.md
  echo ""
fi

echo "## Safety Reminders"
echo "- NEVER modify: .env*, secrets/, managed-*.json"
echo "- Test: mvn test"
echo "- Branch: $(git branch --show-current 2>/dev/null || echo 'unknown')"

exit 0

# 手動測試腳本輸出
bash .claude/hooks/post-compact-context.sh

# 觸發 compact 後觀察是否注入
# 在 Claude Code 中輸入 /compact 並觀察後續對話

{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "http",
            "url": "https://audit-api.internal.company.com/v1/ai-operations",
            "description": "Report Bash operations to enterprise audit service"
          }
        ]
      }
    ],
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "http",
            "url": "https://audit-api.internal.company.com/v1/ai-operations/pre-check",
            "description": "Pre-check Bash operations with enterprise policy engine"
          }
        ]
      }
    ]
  }
}

{
  "event": "PostToolUse",
  "tool_name": "Bash",
  "tool_input": {
    "command": "mvn test -pl core-module"
  },
  "timestamp": "2026-04-24T10:30:00Z",
  "session_id": "sess_abc123",
  "project": "/path/to/project"
}

// 允許操作（HTTP 200）
{ "allowed": true }

// 阻擋操作（HTTP 403）
{ "allowed": false, "reason": "Command contains blacklisted pattern" }

{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "http",
            "url": "https://audit-api.internal.company.com/v1/ai-operations",
            "headers": {
              "Authorization": "Bearer ${AUDIT_API_TOKEN}"
            },
            "allowedEnvVars": ["AUDIT_API_TOKEN"],
            "description": "Report Bash operations to enterprise audit service"
          }
        ]
      }
    ]
  }
}

export CLAUDE_CODE_DEBUG_HOOKS=1

# 手動測試 API endpoint
curl -X POST https://audit-api.internal.company.com/v1/ai-operations \
  -H "Content-Type: application/json" \
  -d '{"event":"PostToolUse","tool_name":"Bash","tool_input":{"command":"echo test"}}'

# 檢查 HTTP 回應碼
echo "HTTP Status: $?"

my-plugin/
├── .claude-plugin/
│   └── plugin.json       # Plugin manifest（必要，只有這個檔案放在此目錄）
├── README.md             # Plugin 說明文件
├── bin/                  # 可執行檔（CLI 工具、helper scripts）
│   └── my-tool           # 安裝後自動加入 PATH
├── skills/               # Skills 定義（放在 Plugin 根目錄，不可誤放進 .claude-plugin/）
│   ├── skill-a/
│   │   └── SKILL.md
│   └── skill-b/
│       ├── SKILL.md
│       └── supporting-files/
├── agents/               # Agent 定義
│   └── reviewer.md
├── commands/             # 自訂 slash command 定義（.md 檔，格式同 Skill 但不具自動觸發能力）
│   └── my-command.md
├── hooks/                # Hook 腳本
│   ├── pre-write-check.sh
│   └── post-write-format.sh
├── .lsp.json             # LSP Server 定義（語言智能支援，單一設定檔，非目錄）
├── monitors/             # Background Monitors（背景監控服務）
│   └── monitors.json
└── .mcp.json             # MCP Server 設定（獨立設定檔，非 plugin.json 內的欄位）

// .lsp.json
{
  "java-analyzer": {
    "command": "java",
    "args": ["-jar", "lsp-servers/java-analyzer.jar"],
    "languages": ["java"]
  }
}

// monitors/monitors.json
{
  "file-watcher": {
    "command": "node",
    "args": ["monitors/watch-changes.js"],
    "description": "Watches for security-critical file changes"
  }
}

{
  "name": "my-enterprise-plugin",
  "version": "1.2.0",
  "description": "Enterprise security and quality plugin for Claude Code",
  "author": "DevSecOps Team",
  "license": "PROPRIETARY",
  "homepage": "https://github.internal.company.com/devsecops/claude-plugin",
  "keywords": ["security", "quality", "enterprise"],
  "engines": {
    "claude-code": ">=2.1.0"
  },
  "skills": [
    "skills/security-check",
    "skills/api-review"
  ],
  "agents": [
    "agents/reviewer.md"
  ],
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "bash hooks/pre-write-check.sh"
          }
        ]
      }
    ]
  }
}

// .mcp.json
{
  "mcpServers": {
    "internal-tools": {
      "type": "http",
      "url": "https://mcp.internal.company.com/sse"
    }
  }
}

# 安裝到 user 範圍
claude plugin install my-plugin --scope user

# 安裝到 project 範圍（會寫入 .claude/ 並可提交至 git）
claude plugin install my-plugin --scope project

# 安裝到 local 範圍（不會提交至 git）
claude plugin install my-plugin --scope local

# 直接測試本機目錄中的 Plugin（最常用的開發迭代方式）
claude --plugin-dir ./my-plugin-dev

# 直接測試遠端 Git URL 中的 Plugin
claude --plugin-url https://github.com/my-org/my-plugin.git

# 快速建立 Skills 目錄型 Plugin 骨架（見 10.17 節）
claude plugin init my-tool --type skill

安裝前
  → 來源驗證（官方 / 團隊 / 第三方）
  → 程式碼審查（hook 腳本、MCP 設定）
  → 權限分析（需要哪些工具存取權）

執行時
  → Subagent 沙箱（hooks/mcpServers/permissionMode 被忽略）
  → Permission Mode 控制（不受 Plugin 影響）
  → Hook 層防禦（Plugin 內的操作仍受專案 hooks 控制）

更新時
  → 版本鎖定 vs. 自動更新
  → 變更日誌審閱
  → 回滾機制

{
  "name": "enterprise-java-quality",
  "version": "2.0.0",
  "description": "Enterprise Java quality assurance plugin: security scanning, code review, test generation",
  "author": "Platform Engineering Team",
  "license": "PROPRIETARY",
  "homepage": "https://github.internal.company.com/platform/claude-java-quality",
  "keywords": ["java", "security", "testing", "enterprise"],
  "engines": {
    "claude-code": ">=2.1.0"
  },
  "skills": [
    "skills/owasp-check",
    "skills/dependency-audit",
    "skills/test-generator"
  ],
  "agents": [
    "agents/security-reviewer.md",
    "agents/test-advisor.md"
  ],
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "bash hooks/check-security-patterns.sh",
            "description": "Block code with hardcoded credentials or SQL injection patterns"
          }
        ]
      }
    ],
    "PostToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "bash hooks/auto-spotless.sh",
            "description": "Auto-format Java files with Spotless after write"
          }
        ]
      }
    ],
    "Stop": [
      {
        "matcher": "",
        "hooks": [
          {
            "type": "command",
            "command": "bash hooks/final-quality-check.sh",
            "description": "Run checkstyle + SpotBugs before agent stops"
          }
        ]
      }
    ]
  }
}

{
  "mcpServers": {
    "sonarqube": {
      "type": "http",
      "url": "https://sonarqube.internal.company.com/mcp"
    }
  }
}

security-scanner-plugin/
├── .claude-plugin/
│   └── plugin.json
└── skills/
    └── owasp-scan/
        ├── SKILL.md
        └── owasp-rules.yaml

{
  "name": "security-scanner",
  "version": "1.0.0",
  "description": "OWASP Top 10 security scanning skill",
  "skills": ["skills/owasp-scan"]
}

---
name: owasp-scan
description: "Scan code for OWASP Top 10 vulnerabilities including injection, broken auth, XSS, CSRF, and insecure deserialization"
disable-model-invocation: false
allowed-tools:
  - Read
  - Bash
  - Glob
---

# OWASP Security Scanner

## 掃描流程
1. 讀取目標檔案或目錄
2. 對照 owasp-rules.yaml 中的規則逐項檢查
3. 輸出掃描報告（表格格式）

## 報告格式
| 嚴重度 | CWE | 檔案:行號 | 問題描述 | 修復建議 |

## 嚴重度定義
- 🔴 Critical: 可直接利用的漏洞
- 🟠 High: 需要特定條件可利用
- 🟡 Medium: 潛在風險
- 🟢 Low: 最佳實務建議

review-agent-plugin/
├── .claude-plugin/
│   └── plugin.json
└── agents/
    └── code-reviewer.md

{
  "name": "code-review-agent",
  "version": "1.0.0",
  "description": "AI-powered code review agent with configurable review dimensions",
  "agents": ["agents/code-reviewer.md"]
}

---
name: code-reviewer
description: "Perform thorough code review with focus on security, performance, and maintainability"
model: sonnet
tools:
  - Read
  - Glob
  - Bash
  - Grep
---

# Code Reviewer Agent

You are a senior code reviewer. Perform code review following these steps:

## Review Dimensions
1. **Correctness**: Logic errors, edge cases, null handling
2. **Security**: OWASP Top 10, input validation, auth checks
3. **Performance**: N+1 queries, unnecessary allocations, blocking I/O
4. **Maintainability**: Naming, complexity, DRY, SOLID principles
5. **Test Coverage**: Are changes tested? Are tests meaningful?

## Output Format
### Summary
- Overall: ✅ Approve / ⚠️ Request Changes / ❌ Reject
- Risk Level: Low / Medium / High

### Findings
| # | Type | File:Line | Finding | Severity | Suggestion |

security-hooks-plugin/
├── .claude-plugin/
│   └── plugin.json
└── hooks/
    ├── block-secrets.sh
    ├── sql-readonly-guard.sh
    └── audit-logger.sh

{
  "name": "security-hooks",
  "version": "1.0.0",
  "description": "Enterprise security hooks: secret protection, SQL guard, audit logging",
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "command",
            "command": "bash hooks/block-secrets.sh",
            "description": "Block writes containing secrets or credentials"
          }
        ]
      },
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "bash hooks/sql-readonly-guard.sh",
            "description": "Only allow SELECT SQL queries"
          }
        ]
      }
    ],
    "PostToolUse": [
      {
        "matcher": "*",
        "hooks": [
          {
            "type": "command",
            "command": "bash hooks/audit-logger.sh",
            "description": "Log all tool operations to audit trail"
          }
        ]
      }
    ]
  }
}

{
  "extraKnownMarketplaces": {
    "company-internal": {
      "source": {
        "type": "github",
        "repo": "claude-plugins/company-internal"
      }
    }
  },
  "strictKnownMarketplaces": true
}

# 1. 在 GitHub Enterprise 建立 Plugin Repository
# 2. 遵循標準結構放置 .claude-plugin/plugin.json + 組件

# 3. 使用 semantic versioning tag 發佈
git tag -a v1.2.0 -m "Release 1.2.0: Added SQL injection detection"
git push origin v1.2.0

# 4. 團隊成員加入內部 Marketplace（若尚未透過 settings.json 統一推送）
/plugin marketplace add claude-plugins/company-internal

# 5. 團隊成員安裝
/plugin install security-hooks@company-internal

{
  "plugins": {
    "security-hooks": {
      "version": "~1.2.0",
      "auto-update": "patch",
      "notes": "Patch updates auto-installed, minor/major needs approval"
    },
    "code-reviewer": {
      "version": "2.0.0",
      "auto-update": "none",
      "notes": "Locked version, manual upgrade only"
    },
    "test-generator": {
      "version": "^3.0.0",
      "auto-update": "minor",
      "notes": "Minor updates auto-installed, major needs approval"
    }
  }
}

# 回滾到上一個版本
claude plugin install company-internal/security-hooks@1.1.0 --scope project --force

# 暫時停用 Plugin（不解除安裝）
claude plugin disable security-hooks

# 完全移除 Plugin
claude plugin uninstall security-hooks --scope project

# 加入官方示範 Marketplace（用於學習 Plugin 開發範例，非正式 Plugin 供應來源）
/plugin marketplace add anthropics/claude-code

# 加入企業或社群自建的 Marketplace（來源為 owner/repo、Git URL 或本機路徑）
/plugin marketplace add <owner/repo>

# 安裝指定 Marketplace 中的 Plugin
/plugin install <plugin-name>@<marketplace-name>

# 提交至 Marketplace 前先本機驗證 plugin.json 與目錄結構是否合規
claude plugin validate ./my-plugin

# 清除 Plugin 快取，強制重新安裝（疑似快取損毀或版本未更新時使用）
rm -rf ~/.claude/plugins/cache

.claude/skills/
└── my-tool/
    ├── SKILL.md
    └── .claude-plugin/
        └── plugin.json

1. Managed Policy          → 企業強制策略（managed-settings.json 中設定）
   ↓ 累加
2. User Global CLAUDE.md   → ~/.claude/CLAUDE.md（使用者個人偏好）
   ↓ 累加
3. Project CLAUDE.md       → {project-root}/CLAUDE.md（專案共用規範）
   ↓ 累加
4. Local CLAUDE.md         → {project-root}/.claude/CLAUDE.md（本地覆寫/補充）

Config Hierarchy:
  Global (~/.claude/)
    ├── settings.json          → 全域工具/權限設定
    ├── CLAUDE.md              → 個人偏好記憶
    └── plugins/               → 全域 plugin

  Project (.claude/)
    ├── settings.json          → 專案工具/權限設定
    ├── CLAUDE.md (local)      → 專案補充記憶
    └── plugins/               → 專案 plugin

  Project Root
    └── CLAUDE.md              → 專案共用規範

  Enterprise
    ├── managed-settings.json  → 企業強制設定
    └── managed-mcp.json       → 企業強制 MCP

# CLAUDE.md — Project Instructions

## 專案概述
- 專案名稱：{project-name}
- 語言/框架：Java 21 + Spring Boot 3.4 + Maven
- 架構模式：Hexagonal Architecture (Ports & Adapters)
- 資料庫：PostgreSQL 16

## 程式碼風格
- 使用 4 spaces 縮排（不使用 tabs）
- 變數與方法命名：camelCase
- 類別命名：PascalCase
- 常數命名：UPPER_SNAKE_CASE
- 每行最大長度：120 字元
- 使用 Google Java Style Guide

## 必須遵守的規則
- 所有 public method 必須有 JavaDoc
- 每個 Service class 必須有對應的 unit test
- 不可使用 System.out.println，使用 Log4j2
- 不可 catch Exception（必須 catch 具體例外）
- 不可使用 @Autowired field injection，使用 constructor injection

## 安全規則
- 永遠不要 hardcode 密碼、API Key、Token
- SQL 查詢必須使用 PreparedStatement 或 JPA @Query
- 使用者輸入必須驗證後才能使用
- API endpoint 必須有適當的 @PreAuthorize

## Git 慣例
- 分支命名：feature/{JIRA-ID}-short-description
- Commit 格式：Conventional Commits (feat/fix/docs/refactor/test)
- PR 必須至少 1 位 reviewer approve
- main branch 是受保護分支，不可直接 push

## 建置與測試
- 建置：`mvn clean compile`
- 測試：`mvn test`
- 整合測試：`mvn verify -P integration-test`
- 打包：`mvn package -DskipTests`

## 回應語言
- 使用繁體中文回應
- 程式碼註解使用英文

# CLAUDE.md — Security-First Project Instructions

## 🔒 安全優先原則
本專案處理敏感資料（PII/PHI），所有操作必須以安全為最高優先。

## 絕對禁止事項
- ❌ 絕對不要將密碼、Token、API Key 寫入任何檔案（包括測試檔案）
- ❌ 不要停用 SSL/TLS 驗證
- ❌ 不要使用 HTTP（必須使用 HTTPS）
- ❌ 不要使用 eval()、Runtime.exec() 處理使用者輸入
- ❌ 不要修改 .env、secrets/、managed-settings.json
- ❌ 不要使用 MD5 或 SHA-1 作為密碼雜湊（使用 bcrypt/scrypt/Argon2）
- ❌ 不要在 log 中輸出 PII 資料（姓名、身分證字號、電話）
- ❌ 不要使用 SELECT *（必須明確列出欄位）

## 必須執行的安全實踐
- ✅ 所有使用者輸入必須驗證與清理（Validation + Sanitization）
- ✅ SQL 操作必須使用 parameterized query
- ✅ API 必須實作 rate limiting
- ✅ 敏感操作必須記錄 audit log
- ✅ 依賴套件必須定期掃描 CVE（使用 OWASP Dependency-Check）
- ✅ 錯誤回應不可包含 stack trace 或內部實作細節
- ✅ Session timeout 設定為 30 分鐘
- ✅ CORS 設定必須使用白名單，不可用 *

## 安全檢查指令
- SAST：`mvn spotbugs:check`
- 依賴掃描：`mvn dependency-check:check`
- Secret 掃描：`gitleaks detect`

## 敏感檔案清單（不可修改/讀取）
- `.env` / `.env.*`
- `secrets/`
- `*.pem` / `*.key` / `*.p12`
- `managed-settings.json` / `managed-mcp.json`
- `application-prod.yaml`

## 安全 Review Checklist
每次 PR 必須通過以下檢查：
1. [ ] 無 hardcoded secrets
2. [ ] 輸入驗證完整
3. [ ] SQL injection 防護
4. [ ] XSS 防護
5. [ ] CSRF Token 設定
6. [ ] 適當的錯誤處理（不洩漏內部資訊）
7. [ ] Audit log 記錄
8. [ ] 依賴套件無已知 CVE

## 回應語言
- 使用繁體中文回應
- 所有安全相關建議必須引用對應的 CWE/OWASP 編號

# CLAUDE.md — Legacy System Reverse Engineering

## 🔍 專案背景
本專案為舊系統逆向工程專案，目標是理解、文件化並重構一個 15+ 年歷史的系統。

## 分析原則
- 先理解再修改：在提出任何變更前，先完整理解現有行為
- 最小變更原則：每次修改盡可能小且可驗證
- 保留原始行為：重構時必須保證行為等價（Behavior Preservation）
- 文件化一切：每個發現都要記錄

## 分析工作流程
1. **靜態分析**：先讀程式碼結構，不執行
2. **依賴圖建立**：用 jdeps/class-dependency 工具產出依賴關係
3. **進入點辨識**：找出 main()、Controller、Listener 等進入點
4. **資料流追蹤**：從 UI/API 到 DB 追蹤資料流向
5. **業務規則萃取**：從程式碼中辨識業務邏輯並文件化
6. **測試建立**：為現有行為建立 characterization test

## 文件化標準
- 每個重要發現寫入 docs/RE/ 目錄
- 格式：`RE-{序號}-{主題}.md`
- 必須包含：發現日期、分析方法、程式碼位置、業務含義

## 特殊注意事項
- 舊系統可能包含未記錄的 side effect，修改前先建 test
- 資料庫 schema 可能有未文件化的觸發器/stored procedure
- 配置檔案可能散落在多個位置
- 不要刪除任何看起來「沒用」的程式碼，先確認是否有隱性使用

## 禁止事項
- ❌ 不要在理解前重構
- ❌ 不要假設程式碼行為與命名一致（舊系統常有誤導性命名）
- ❌ 不要一次性大規模重構（用 Strangler Fig Pattern）
- ❌ 不要刪除註解（可能包含歷史脈絡）

## 工具與指令
- 類別依賴分析：`jdeps --class-path lib/ -recursive target/classes`
- 呼叫鏈追蹤：`grep -rn "methodName" src/`
- DB Schema 匯出：`pg_dump --schema-only dbname > schema.sql`
- 產出類別圖：`mvn javadoc:javadoc`

## 產出要求
- 所有分析結果使用繁體中文
- 程式碼區塊標註原始檔案位置
- 複雜邏輯搭配 Mermaid 流程圖
- 不確定的推論必須標註 ⚠️ 待確認

## 回應語言
- 使用繁體中文回應
- 技術名詞保留英文原文

#!/bin/bash
# check-claude-md-health.sh
# 檢查 CLAUDE.md 健康度

FILE="CLAUDE.md"

# 檢查行數
LINE_COUNT=$(wc -l < "$FILE")
if [ "$LINE_COUNT" -gt 200 ]; then
  echo "⚠️ CLAUDE.md has $LINE_COUNT lines (recommended: < 200)"
fi

# 檢查是否含有疑似密碼/Token
if grep -qiE '(password|token|api_key|secret)\s*[:=]' "$FILE"; then
  echo "🚫 CLAUDE.md may contain sensitive information!"
fi

# 檢查是否有重複行
DUPS=$(sort "$FILE" | uniq -d | wc -l)
if [ "$DUPS" -gt 0 ]; then
  echo "⚠️ CLAUDE.md has $DUPS duplicate lines"
fi

echo "📊 CLAUDE.md health check complete: $LINE_COUNT lines"

# .github/workflows/claude-md-check.yml
name: CLAUDE.md Health Check
on:
  pull_request:
    paths:
      - 'CLAUDE.md'
      - '.claude/CLAUDE.md'

jobs:
  check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Check CLAUDE.md size
        run: |
          for f in CLAUDE.md .claude/CLAUDE.md; do
            if [ -f "$f" ]; then
              lines=$(wc -l < "$f")
              if [ "$lines" -gt 200 ]; then
                echo "::warning::$f has $lines lines (max 200)"
              fi
            fi
          done
      - name: Scan for secrets
        run: |
          for f in CLAUDE.md .claude/CLAUDE.md; do
            if [ -f "$f" ]; then
              if grep -qiE '(password|token|api.key|secret)\s*[:=]\s*\S' "$f"; then
                echo "::error::$f may contain secrets!"
                exit 1
              fi
            fi
          done

<!-- .claude/output-styles/enterprise-report.md -->
---
name: enterprise-report
description: "Enterprise-grade output with structured formatting for management reports"
---

# Enterprise Report Style

## 格式要求
- 所有回應以**繁體中文**撰寫
- 使用表格呈現比較與數據
- 每個章節附帶**結論**與**建議行動**
- 嚴重度使用 🔴🟡🟢 標記
- 引用來源檔案時附帶行號

## 結構
1. **摘要**（3 句以內）
2. **詳細分析**（含表格）
3. **風險評估**
4. **建議行動**（優先順序排列）

my-plugin/
├── .claude-plugin/
│   └── plugin.json
└── output-styles/
    └── security-audit.md    # Plugin 提供的安全報告風格

---
name: minimal-output
description: "Extremely concise output"
keep-coding-instructions: true    # ← 保留 Claude 的核心編碼行為
---

# Minimal Output
- 只回答問題，不附加說明
- 程式碼不加註解
- 不主動建議改進

# 開啟設定選單，從清單中選擇 Output Style（/output-style 已棄用，請改用 /config）
/config

# 或透過設定檔指定
# settings.json
{
  "outputStyle": "enterprise-report"
}

> 提醒我下午 3 點推送 release 分支
> 45 分鐘後幫我檢查整合測試是否通過
> 每 2 小時檢查一次依賴套件的已知 CVE

> 用 cron 表達式 "0 */2 * * *" 建立排程：每 2 小時檢查依賴套件的 CVE
> 每 30 分鐘執行一次程式碼品質檢查

*/5 * * * *     # 每 5 分鐘
0 9 * * 1-5     # 週一到週五早上 9 點
0 */2 * * *     # 每 2 小時
30 23 * * *     # 每天 23:30