傳統 AI Copilot：
  你 ──→ AI ──→ 輸出（程式碼補全）

gstack Sprint：
  你（需求描述）
     ↓
  /office-hours   ── 釐清真正問題，生成設計文件
     ↓
  /plan-ceo-review  ── 找出 10 星版本的產品
     ↓
  /plan-eng-review  ── 架構、資料流、失敗模式、測試
     ↓
  [實作 2,400 行，約 8 分鐘]
     ↓
  /review  ── 找出通過 CI 但會在生產爆炸的 Bug（自動修復）
     ↓
  /qa     ── 真實瀏覽器點擊，找到並修復 Bug，生成回歸測試
     ↓
  /ship   ── 同步 main，跑測試，推送，開 PR
     ↓
  /land-and-deploy  ── 合併 PR，等待 CI，驗證生產

src/
├── domain/             ← 領域層（Entity, Value Object, Domain Service）
│   ├── entity/
│   ├── repository/     ← 介面定義（不含實作）
│   └── service/
├── application/        ← 應用層（Use Case, DTO, Mapper）
│   ├── usecase/
│   └── dto/
├── infrastructure/     ← 基礎設施層（JPA, Redis, Kafka 實作）
│   ├── persistence/
│   ├── cache/
│   └── messaging/
└── presentation/       ← 表現層（Controller, Request/Response）
    └── controller/

# 安裝 Claude Code（Anthropic 提供的 AI 編碼 CLI）
npm install -g @anthropic-ai/claude-code

# 驗證安裝
claude --version

# 登入 Anthropic 帳號
claude login

Install gstack: run `git clone --single-branch --depth 1 https://github.com/garrytan/gstack.git ~/.claude/skills/gstack && cd ~/.claude/skills/gstack && ./setup` then add a "gstack" section to CLAUDE.md that says to use the /browse skill from gstack for all web browsing, never use mcp__claude-in-chrome__* tools, and lists the available skills: /office-hours, /plan-ceo-review, /plan-eng-review, /plan-design-review, /design-consultation, /design-shotgun, /design-html, /review, /ship, /land-and-deploy, /canary, /benchmark, /browse, /connect-chrome, /qa, /qa-only, /design-review, /setup-browser-cookies, /setup-deploy, /retro, /investigate, /document-release, /codex, /cso, /autoplan, /careful, /freeze, /guard, /unfreeze, /gstack-upgrade, /learn, /checkpoint, /health.

# 確認技能已安裝
ls ~/.claude/skills/gstack/

# 在 Claude Code 中輸入以下指令進行快速測試
/office-hours

Add gstack to this project: run `cp -Rf ~/.claude/skills/gstack .claude/skills/gstack && rm -rf .claude/skills/gstack/.git && cd .claude/skills/gstack && ./setup` then add a "gstack" section to this project's CLAUDE.md that says to use the /browse skill from gstack for all web browsing, never use mcp__claude-in-chrome__* tools, lists the available skills: /office-hours, /plan-ceo-review, /plan-eng-review, /plan-design-review, /design-consultation, /design-shotgun, /design-html, /review, /ship, /land-and-deploy, /canary, /benchmark, /browse, /connect-chrome, /qa, /qa-only, /design-review, /setup-browser-cookies, /setup-deploy, /retro, /investigate, /document-release, /codex, /cso, /autoplan, /careful, /freeze, /guard, /unfreeze, /gstack-upgrade, /learn, /checkpoint, /health.

your-project/
├── .claude/
│   └── skills/
│       └── gstack/        ← 所有 33 個技能定義（Markdown）
│           ├── office-hours/
│           ├── plan-ceo-review/
│           ├── review/
│           ├── qa/
│           ├── ship/
│           ├── cso/
│           ├── browse/
│           ├── checkpoint/
│           ├── health/
│           └── ...（共 33 個）
├── CLAUDE.md              ← 加入 gstack section
├── backend/
├── frontend/
└── README.md

git clone https://github.com/garrytan/gstack.git ~/.claude/skills/gstack

# 安裝至單一專案
git clone --single-branch --depth 1 https://github.com/garrytan/gstack.git .agents/skills/gstack
cd .agents/skills/gstack && ./setup --host codex

# 安裝至使用者帳號（全域）
git clone --single-branch --depth 1 https://github.com/garrytan/gstack.git ~/gstack
cd ~/gstack && ./setup --host codex

git clone --single-branch --depth 1 https://github.com/garrytan/gstack.git ~/gstack
cd ~/gstack && ./setup --host auto

git clone --single-branch --depth 1 https://github.com/garrytan/gstack.git ~/gstack
cd ~/gstack && ./setup --host kiro

## gstack
Use /browse from gstack for all web browsing. Never use mcp__claude-in-chrome__* tools.
Available skills: /office-hours, /plan-ceo-review, /plan-eng-review,
/plan-design-review, /design-consultation, /design-shotgun, /design-html,
/review, /ship, /land-and-deploy, /canary, /benchmark, /browse,
/connect-chrome, /qa, /qa-only, /design-review, /setup-browser-cookies,
/setup-deploy, /retro, /investigate, /document-release, /codex, /cso,
/autoplan, /careful, /freeze, /guard, /unfreeze, /gstack-upgrade, /learn,
/checkpoint, /health.

If gstack skills aren't working, run:
cd .claude/skills/gstack && ./setup

## 會員管理系統 MVP 決策

### 納入 MVP（Sprint 1-2）
1. ✅ 會員註冊 / 登入（核心路徑）
2. ✅ 基本個人資料管理
3. ✅ 密碼重設流程

### 延後（Sprint 3+）
- ❌ 社群登入（OAuth）— 影響範圍大，延後
- ❌ 會員等級制度 — 需更多業務規則討論

### 絕對不做
- ⛔ 直接刪除會員資料（改為停用，保留稽核記錄）

+====================================================================+
|                    REVIEW READINESS DASHBOARD                       |
+====================================================================+
| Review          | Runs | Last Run            | Status    | Required |
|-----------------|------|---------------------|-----------|----------|
| Eng Review      |  1   | 2026-04-03 10:00    | CLEAR     | YES      |
| CEO Review      |  1   | 2026-04-03 09:30    | CLEAR     | no       |
| Design Review   |  0   | —                   | —         | no       |
+--------------------------------------------------------------------+
| VERDICT: CLEARED — Eng Review passed                                |
+====================================================================+

範例：4/10 → 8/10（修復後）
Pass 2 (互動狀態): 2/10 → 4 個 UI 功能，定義 0/20 互動狀態
Pass 4 (AI Slop): 4/10 → 「帶漸層的英雄區塊」是前 2 名 AI 生成外觀

/**
 * 會員登入 Controller
 */
@RestController
@RequestMapping("/api/v1/auth")
@RequiredArgsConstructor
@Slf4j
public class AuthController {

    private final AuthUseCase authUseCase;

    @PostMapping("/login")
    public ResponseEntity<LoginResponse> login(
            @Valid @RequestBody LoginRequest request) {

        log.info("Login attempt for account: {}",
                 maskAccount(request.getAccount()));

        LoginResult result = authUseCase.login(
            new LoginCommand(request.getAccount(), request.getPassword())
        );

        return ResponseEntity.ok(LoginResponse.from(result));
    }

    private String maskAccount(String account) {
        if (account == null || account.length() < 4) return "***";
        return account.substring(0, 2) + "***" +
               account.substring(account.length() - 2);
    }
}

@ExtendWith(MockitoExtension.class)
class AuthUseCaseTest {

    @Mock
    private MemberRepository memberRepository;

    @Mock
    private PasswordEncoder passwordEncoder;

    @Mock
    private JwtTokenProvider jwtTokenProvider;

    @InjectMocks
    private AuthUseCaseImpl authUseCase;

    @Test
    @DisplayName("登入成功 - 帳號密碼正確時應返回 JWT Token")
    void login_whenValidCredentials_thenReturnJwtToken() {
        // Given
        String account = "john@example.com";
        Member member = Member.builder()
            .id(1L).account(account)
            .passwordHash("$2a$12$hashedPassword")
            .status(MemberStatus.ACTIVE)
            .build();

        given(memberRepository.findByAccount(account))
            .willReturn(Optional.of(member));
        given(passwordEncoder.matches(anyString(), eq(member.getPasswordHash())))
            .willReturn(true);
        given(jwtTokenProvider.generateToken(member.getId()))
            .willReturn("jwt.token.here");

        // When
        LoginResult result = authUseCase.login(
            new LoginCommand(account, "Password123!")
        );

        // Then
        assertThat(result.getToken()).isEqualTo("jwt.token.here");
        assertThat(result.isSuccess()).isTrue();
    }

    @Test
    @DisplayName("登入失敗 - 密碼錯誤應拋出 AuthenticationException")
    void login_whenWrongPassword_thenThrowAuthenticationException() {
        // Given
        Member member = Member.builder()
            .id(1L).account("john@example.com")
            .passwordHash("$2a$12$hashedPassword")
            .failedLoginAttempts(0)
            .build();

        given(memberRepository.findByAccount(anyString()))
            .willReturn(Optional.of(member));
        given(passwordEncoder.matches(anyString(), anyString()))
            .willReturn(false);

        // When & Then
        assertThatThrownBy(() ->
            authUseCase.login(new LoginCommand("john@example.com", "wrongPassword"))
        ).isInstanceOf(AuthenticationException.class)
         .hasMessageContaining("帳號或密碼錯誤");
    }
}

CRITICAL: user_search 的 SQL Injection（UserRepository.java:47）
  攻擊情境：攻擊者輸入 "'; DROP TABLE members;--" 可刪除整個會員表
  修復：使用參數化查詢

HIGH: Session Token 儲存於 localStorage（auth.ts:12）
  攻擊情境：XSS 攻擊可竊取所有使用者 Token
  修復：改用 HttpOnly Cookie

MEDIUM: /api/login 缺乏速率限制
MEDIUM: 密碼最短長度未強制（允許 1 字元）

LOW: 缺少 X-Frame-Options 標頭

共 4 個發現，掃描 12 個檔案。

Tests: 42 → 51 (+9 new). PR: github.com/you/app/pull/42

# ── Step 1：需求精煉（任何 Sprint 的起點）
/office-hours
# → 六個強制提問，確認你真正要建構什麼
# → 輸出：~/.gstack/projects/{slug}/design.md

# ── Step 2：CEO 視角優先級確認
/plan-ceo-review
# → 找出需求中藏著的 10 星產品
# → 輸出：MVP 決策文件 + 延後清單

# ── Step 3：工程主管架構設計
/plan-eng-review
# → 鎖定架構、資料流、邊界案例、測試矩陣
# → 輸出：測試計畫（自動傳遞給 /qa）

# ── Step 4：資深設計師設計審查（選用）
/plan-design-review
# → 七項審查通道，評分 0-10
# → 輸出：設計修訂清單

# ── Step 5：實作程式碼（人工或 Claude Code Session）
# → 開發者根據計畫文件實作

# ── Step 6：資深工程師程式碼審查
/review
# → 找出通過 CI 但會在生產爆炸的 Bug
# → [AUTO-FIXED] 自動修復 / [ASK] 等待確認

# ── Step 7：QA 主管功能測試（含瀏覽器）
/qa
# → 真實瀏覽器測試 + 自動生成回歸測試
# → Diff-aware：只測屬於這次 PR 的範圍

# ── Step 8：安全審查
/cso
# → OWASP Top 10 + STRIDE 威脅建模
# → CRITICAL 阻擋 PR，HIGH 本 Sprint 修復

# ── Step 9：建立 PR 並發布
/ship
# → 同步 main，跑測試，稽核覆蓋率，推送，開 PR

# ── Step 10：合併並部署生產
/land-and-deploy
# → 合併 PR，等待 CI + 部署，驗證生產狀態

# ── Step 11：保存工作狀態（推薦）
/checkpoint
# → 建立工作快照，方便跨 Session 繼續
# → 下次開啟 Claude Code 時自動恢復上下文

# ── Step 12：Sprint 回顧與學習
/retro
# → Sprint 回顧，知識沉澱
/learn
# → 從本次 Sprint 的失敗中學習

/autoplan
# → 自動執行 CEO → 設計 → 工程審查
# → 僅在需要品味決策時停下詢問

main           ─────────────────────────────→  生產環境
  ↑ Merge PR（需 2 人審查 + CI 通過）
develop        ──────────────────────────────→  測試環境
  ↑ Merge PR（需 1 人審查 + CI 通過）
feature/*      ──→  各功能開發分支
hotfix/*       ──→  緊急修復

type(scope): 簡短描述 [JIRA-ID]

範例：
feat(member): 新增會員登入 API [MEM-001]
fix(auth): 修復 JWT 過期驗證漏洞 [SEC-042]
refactor(order): 重構訂單 Service 層 [TECH-015]

功能範圍：
- 會員註冊 / 登入 / 登出
- 個人資料管理
- 密碼變更 / 重設
- 操作稽核記錄

# docs/api/member-api.yaml（OpenAPI 3.0）
openapi: "3.0.3"
info:
  title: "會員管理 API"
  version: "1.0.0"
  description: "企業會員管理系統 RESTful API"

servers:
  - url: "https://api.example.com/api/v1"

paths:
  /auth/login:
    post:
      summary: "會員登入"
      tags: [Authentication]
      requestBody:
        required: true
        content:
          application/json:
            schema:
              $ref: '#/components/schemas/LoginRequest'
      responses:
        '200':
          description: "登入成功"
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/LoginResponse'
        '401':
          $ref: '#/components/responses/Unauthorized'
        '423':
          description: "帳號已鎖定"
          content:
            application/problem+json:
              schema:
                $ref: '#/components/schemas/ProblemDetail'

  /members/{memberId}:
    get:
      summary: "取得會員資料"
      security:
        - bearerAuth: []
      parameters:
        - name: memberId
          in: path
          required: true
          schema:
            type: integer
            format: int64
      responses:
        '200':
          description: "成功"
          content:
            application/json:
              schema:
                $ref: '#/components/schemas/MemberResponse'

components:
  schemas:
    LoginRequest:
      type: object
      required: [account, password]
      properties:
        account:
          type: string
          format: email
          example: "john@example.com"
        password:
          type: string
          minLength: 8
          maxLength: 64
          description: "密碼（不會被記錄在 Log）"
    LoginResponse:
      type: object
      properties:
        accessToken:
          type: string
        tokenType:
          type: string
          example: "Bearer"
        expiresIn:
          type: integer
          example: 3600
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT

-- V001__create_member_tables.sql（Flyway Migration）

CREATE TABLE members (
    id              BIGINT          NOT NULL AUTO_INCREMENT,
    account         VARCHAR(100)    NOT NULL COMMENT '登入帳號（Email）',
    password_hash   VARCHAR(255)    NOT NULL COMMENT 'bcrypt hash',
    full_name       VARCHAR(100)    NOT NULL COMMENT '真實姓名',
    phone_encrypted VARCHAR(255)    NULL     COMMENT '電話（AES-256 加密）',
    status          ENUM(
                        'ACTIVE',
                        'LOCKED',
                        'INACTIVE'
                    ) NOT NULL DEFAULT 'ACTIVE',
    failed_login_attempts TINYINT   NOT NULL DEFAULT 0,
    locked_until    DATETIME        NULL,
    last_login_at   DATETIME        NULL,
    created_at      DATETIME        NOT NULL DEFAULT CURRENT_TIMESTAMP,
    updated_at      DATETIME        NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
    PRIMARY KEY (id),
    UNIQUE KEY uq_members_account (account),
    INDEX idx_members_status (status)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='會員主表';

CREATE TABLE member_audit_logs (
    id          BIGINT      NOT NULL AUTO_INCREMENT,
    member_id   BIGINT      NOT NULL,
    action      VARCHAR(50) NOT NULL COMMENT '操作類型: LOGIN, LOGOUT, UPDATE_PROFILE',
    ip_address  VARCHAR(45) NOT NULL COMMENT '支援 IPv6',
    user_agent  VARCHAR(500) NULL,
    result      ENUM('SUCCESS', 'FAILURE') NOT NULL,
    detail      JSON        NULL COMMENT '附加資訊（不含密碼等敏感資料）',
    created_at  DATETIME    NOT NULL DEFAULT CURRENT_TIMESTAMP,
    PRIMARY KEY (id),
    INDEX idx_audit_member_id (member_id),
    INDEX idx_audit_created_at (created_at),
    CONSTRAINT fk_audit_member FOREIGN KEY (member_id) REFERENCES members(id)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='會員操作稽核記錄';

// domain/entity/Member.java
@Entity
@Table(name = "members")
@Getter
@NoArgsConstructor(access = AccessLevel.PROTECTED)
public class Member {

    private static final int MAX_FAILED_ATTEMPTS = 3;
    private static final Duration LOCK_DURATION = Duration.ofMinutes(30);

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    @Column(nullable = false, unique = true)
    private String account;

    @Column(nullable = false)
    private String passwordHash;

    @Column(nullable = false)
    private String fullName;

    @Enumerated(EnumType.STRING)
    @Column(nullable = false)
    private MemberStatus status = MemberStatus.ACTIVE;

    @Column(nullable = false)
    private int failedLoginAttempts = 0;

    @Column
    private LocalDateTime lockedUntil;

    /**
     * 驗證密碼，失敗時累計次數，達上限則鎖定帳號
     */
    public void incrementFailedAttempts() {
        this.failedLoginAttempts++;
        if (this.failedLoginAttempts >= MAX_FAILED_ATTEMPTS) {
            this.status = MemberStatus.LOCKED;
            this.lockedUntil = LocalDateTime.now().plus(LOCK_DURATION);
        }
    }

    /**
     * 登入成功，重置失敗次數
     */
    public void onLoginSuccess() {
        this.failedLoginAttempts = 0;
        this.lockedUntil = null;
        if (this.status == MemberStatus.LOCKED) {
            this.status = MemberStatus.ACTIVE;
        }
    }

    public boolean isLocked() {
        if (status != MemberStatus.LOCKED) return false;
        if (lockedUntil != null && LocalDateTime.now().isAfter(lockedUntil)) {
            // 鎖定已過期，自動解鎖
            this.status = MemberStatus.ACTIVE;
            this.failedLoginAttempts = 0;
            return false;
        }
        return true;
    }
}

// application/usecase/AuthUseCaseImpl.java
@Service
@RequiredArgsConstructor
@Slf4j
public class AuthUseCaseImpl implements AuthUseCase {

    private final MemberRepository memberRepository;
    private final PasswordEncoder passwordEncoder;
    private final JwtTokenProvider jwtTokenProvider;
    private final AuditLogService auditLogService;

    @Override
    @Transactional
    public LoginResult login(LoginCommand command) {
        Member member = memberRepository.findByAccount(command.getAccount())
            .orElseThrow(() -> new AuthenticationException("帳號或密碼錯誤"));

        if (member.isLocked()) {
            auditLogService.record(member.getId(), "LOGIN", "FAILURE", 
                                   "帳號已鎖定");
            throw new AccountLockedException("帳號已鎖定，請稍後再試");
        }

        if (!passwordEncoder.matches(command.getPassword(), 
                                      member.getPasswordHash())) {
            member.incrementFailedAttempts();
            memberRepository.save(member);
            auditLogService.record(member.getId(), "LOGIN", "FAILURE", 
                                   "密碼錯誤");
            throw new AuthenticationException("帳號或密碼錯誤");
        }

        member.onLoginSuccess();
        memberRepository.save(member);

        String token = jwtTokenProvider.generateToken(member.getId());
        auditLogService.record(member.getId(), "LOGIN", "SUCCESS", null);

        log.info("Member {} logged in successfully", 
                 maskAccount(command.getAccount()));

        return LoginResult.success(token, 3600L);
    }

    private String maskAccount(String account) {
        if (account == null || account.length() < 4) return "***";
        return account.substring(0, 2) + "***" + 
               account.substring(account.length() - 2);
    }
}

<!-- src/views/auth/LoginView.vue -->
<template>
  <div class="login-container">
    <el-card class="login-card">
      <h2>會員登入</h2>
      <el-form
        ref="formRef"
        :model="loginForm"
        :rules="rules"
        @submit.prevent="handleLogin"
      >
        <el-form-item prop="account">
          <el-input
            v-model="loginForm.account"
            placeholder="請輸入帳號（Email）"
            autocomplete="username"
          />
        </el-form-item>
        <el-form-item prop="password">
          <el-input
            v-model="loginForm.password"
            type="password"
            placeholder="請輸入密碼"
            autocomplete="current-password"
            show-password
          />
        </el-form-item>
        <el-button
          type="primary"
          native-type="submit"
          :loading="isLoading"
          block
        >
          登入
        </el-button>
      </el-form>
    </el-card>
  </div>
</template>

<script setup lang="ts">
import { reactive, ref } from 'vue'
import { useRouter } from 'vue-router'
import { useAuthStore } from '@/stores/auth'
import { ElMessage } from 'element-plus'

const router = useRouter()
const authStore = useAuthStore()
const formRef = ref()
const isLoading = ref(false)

const loginForm = reactive({
  account: '',
  password: ''
})

const rules = {
  account: [
    { required: true, message: '請輸入帳號', trigger: 'blur' },
    { type: 'email', message: '帳號格式不正確', trigger: 'blur' }
  ],
  password: [
    { required: true, message: '請輸入密碼', trigger: 'blur' },
    { min: 8, message: '密碼最少 8 個字元', trigger: 'blur' }
  ]
}

const handleLogin = async () => {
  if (!await formRef.value?.validate()) return
  
  isLoading.value = true
  try {
    await authStore.login(loginForm.account, loginForm.password)
    router.push('/dashboard')
  } catch (error: any) {
    ElMessage.error(error.message ?? '登入失敗，請稍後再試')
  } finally {
    isLoading.value = false
  }
}
</script>

# .github/workflows/ci.yml
name: CI Pipeline

on:
  pull_request:
    branches: [main, develop]
  push:
    branches: [main, develop]

env:
  JAVA_VERSION: '17'
  MAVEN_OPTS: '-Xmx1024m'

jobs:
  build-and-test:
    name: 編譯與測試
    runs-on: ubuntu-latest
    
    services:
      mysql:
        image: mysql:8.0
        env:
          MYSQL_ROOT_PASSWORD: test-password-ci
          MYSQL_DATABASE: member_test
        ports:
          - 3306:3306
        options: --health-cmd="mysqladmin ping" --health-interval=10s
      redis:
        image: redis:7
        ports:
          - 6379:6379

    steps:
      - name: 取得程式碼
        uses: actions/checkout@v4

      - name: 設定 Java ${{ env.JAVA_VERSION }}
        uses: actions/setup-java@v4
        with:
          java-version: ${{ env.JAVA_VERSION }}
          distribution: 'temurin'
          cache: maven

      - name: 執行測試
        run: mvn verify -P ci
        env:
          SPRING_DATASOURCE_URL: jdbc:mysql://localhost:3306/member_test
          SPRING_REDIS_HOST: localhost

      - name: 上傳測試報告
        uses: actions/upload-artifact@v4
        if: always()
        with:
          name: test-reports
          path: target/surefire-reports/

      - name: SonarQube 掃描
        run: mvn sonar:sonar
        env:
          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}
          SONAR_HOST_URL: ${{ vars.SONAR_HOST_URL }}

  security-scan:
    name: 安全掃描
    runs-on: ubuntu-latest
    needs: build-and-test
    steps:
      - uses: actions/checkout@v4
      
      - name: 相依套件漏洞掃描（OWASP Dependency Check）
        run: mvn org.owasp:dependency-check-maven:check
        
      # 注意：gstack /cso 在 Claude Code Session 內執行，不是 CI 終端指令
      # CI 中建議使用上方 SpotBugs + OWASP Dependency Check
      # 於 PR 合併前，開發者在本機執行 /cso，待 CI 通過後才合併

      - name: 上傳安全報告
        uses: actions/upload-artifact@v4
        with:
          name: security-report
          path: security-report.md

  docker-build:
    name: 建置 Docker 映像
    runs-on: ubuntu-latest
    needs: [build-and-test, security-scan]
    if: github.ref == 'refs/heads/main'
    steps:
      - uses: actions/checkout@v4

      - name: 建置 JAR
        run: mvn package -DskipTests

      - name: 設定 Docker Buildx
        uses: docker/setup-buildx-action@v3

      - name: 登入 Harbor
        uses: docker/login-action@v3
        with:
          registry: ${{ vars.HARBOR_URL }}
          username: ${{ secrets.HARBOR_USER }}
          password: ${{ secrets.HARBOR_PASSWORD }}

      - name: 建置並推送映像
        uses: docker/build-push-action@v5
        with:
          context: .
          push: true
          tags: |
            ${{ vars.HARBOR_URL }}/myapp/backend:${{ github.sha }}
            ${{ vars.HARBOR_URL }}/myapp/backend:latest
          cache-from: type=gha
          cache-to: type=gha,mode=max

# Dockerfile
# Stage 1: 建置
FROM eclipse-temurin:17-jdk-alpine AS builder
WORKDIR /build
COPY pom.xml .
# 預先下載相依套件（提升快取效率）
RUN mvn dependency:go-offline -q
COPY src ./src
RUN mvn package -DskipTests -q

# Stage 2: 執行環境（最小化映像）
FROM eclipse-temurin:17-jre-alpine AS runtime
WORKDIR /app

# 建立非 root 使用者（安全要求）
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
USER appuser

# 從 builder stage 複製 JAR
COPY --from=builder /build/target/*.jar app.jar

# 設定 JVM 參數
ENV JAVA_OPTS="-XX:MaxRAMPercentage=75.0 -XX:+UseG1GC"

EXPOSE 8080

ENTRYPOINT ["sh", "-c", "java $JAVA_OPTS -jar app.jar"]

/land-and-deploy

/setup-deploy

Merging PR #42...
CI Pipeline: ✅ Passed (2m 14s)
Deployment: ✅ Vercel deployed https://app.company.com/
Health check: ✅ /api/health → 200 OK
Land and deploy complete.

/canary

/canary --duration 30min --interval 2min
# → 每 2 分鐘截圖並分析 Console + Network
# → 30 分鐘後產出金絲雀報告

/benchmark

Benchmark comparison:
  LCP: before=2.1s → after=1.8s ✅ (-14%)
  CLS: before=0.05 → after=0.03 ✅ (-40%)
  TTFB: before=320ms → after=290ms ✅ (-9%)
No regressions detected.

Claude Session A：/office-hours → /plan-ceo-review → /plan-eng-review
                  → /review → /qa → /ship（會員登入功能）

Claude Session B：/office-hours → /plan-ceo-review → /plan-eng-review
                  → /review → /qa → /ship（訂單管理功能）

Claude Session C：/retro → /learn（本週回顧與知識沉澱）

# 在 Conductor 設定中引用 gstack 技能
conductor.yml:

sprints:
  - branch: feature/auth
    trigger: /plan-eng-review
    parallel_limit: 3

  - branch: feature/payment
    trigger: /plan-eng-review
    parallel_limit: 3

/browse

# QA 測試特定頁面
/browse → 點擊登入按鈕 → 輸入測試帳號 → 截圖確認

# /qa 工作流程會自動調用 /browse
/qa
# → 讀取 git diff，識別受影響頁面
# → 自動在瀏覽器中重現 Bug
# → 截圖前後對比

# 在終端機中控制真實 Chrome
$B connect

# 啟動 CSS Inspector
$B style

# 互動指令範例
$B style inspect .login-card           # 檢視元素的完整 CSS 規則
$B style edit .login-card padding 24px  # 即時修改樣式
$B style diff                           # 顯示所有樣式變更的 diff
$B style apply                          # 將變更寫回原始 CSS/SCSS 檔案

# Per-tab Agent 範例
Tab 1: Agent A 負責測試登入流程
Tab 2: Agent B 同時測試訂單頁面
Tab 3: Agent C 執行 CSS Inspector 優化

# Claude Code 完成測試後，將瀏覽器控制權交給人工
$B handoff
# → 側邊欄顯示：「瀏覽器控制權已交還」
# → 你繼續操作一段時間後...

# 再次讓 Claude Code 接管
$B resume

# 完全停止瀏覽器 Agent
$B stop

<!-- src/main/resources/log4j2.xml -->
<?xml version="1.0" encoding="UTF-8"?>
<Configuration status="INFO">
  <Properties>
    <!-- 結構化日誌格式（JSON），方便 ELK 解析 -->
    <Property name="LOG_PATTERN">
      {"timestamp":"%d{yyyy-MM-dd'T'HH:mm:ss.SSSZ}","level":"%level",
       "service":"member-service","traceId":"%X{traceId}",
       "spanId":"%X{spanId}","thread":"%thread",
       "logger":"%logger{36}","message":"%message"}%n
    </Property>
  </Properties>

  <Appenders>
    <!-- 控制台輸出（開發環境） -->
    <Console name="Console" target="SYSTEM_OUT">
      <PatternLayout pattern="${LOG_PATTERN}"/>
    </Console>
    
    <!-- 檔案輸出（生產環境，含每日 Rotate） -->
    <RollingFile name="RollingFile"
                 fileName="logs/application.log"
                 filePattern="logs/application-%d{yyyy-MM-dd}-%i.log.gz">
      <PatternLayout pattern="${LOG_PATTERN}"/>
      <Policies>
        <TimeBasedTriggeringPolicy interval="1"/>
        <SizeBasedTriggeringPolicy size="100MB"/>
      </Policies>
      <DefaultRolloverStrategy max="30"/>
    </RollingFile>
    
    <!-- 稽核日誌（獨立檔案，保存 90 天） -->
    <RollingFile name="AuditLog"
                 fileName="logs/audit.log"
                 filePattern="logs/audit-%d{yyyy-MM-dd}.log.gz">
      <PatternLayout pattern="${LOG_PATTERN}"/>
      <Policies>
        <TimeBasedTriggeringPolicy interval="1"/>
      </Policies>
      <DefaultRolloverStrategy max="90"/>
    </RollingFile>
  </Appenders>

  <Loggers>
    <!-- 稽核日誌 Logger -->
    <Logger name="AUDIT" level="INFO" additivity="false">
      <AppenderRef ref="AuditLog"/>
    </Logger>
    
    <!-- 應用程式日誌 -->
    <Root level="INFO">
      <AppenderRef ref="Console"/>
      <AppenderRef ref="RollingFile"/>
    </Root>
  </Loggers>
</Configuration>

// ✅ 正確：只記錄可識別但不敏感的資訊
log.info("Member {} login attempt from IP {}", 
         member.getId(), maskIp(ipAddress));

// ❌ 錯誤：記錄敏感資料
log.info("Member {} login with password {}", 
         member.getEmail(), password); // 絕對禁止

# Prometheus 監控指標設定
management:
  endpoints:
    web:
      exposure:
        include: "health,info,prometheus,metrics"
  metrics:
    tags:
      application: ${spring.application.name}
      environment: ${spring.profiles.active}
    export:
      prometheus:
        enabled: true

/investigate

# 在 Claude Code 中貼上日誌片段後呼叫 /investigate
# 範例：貼上以下內容後執行 /investigate
# 
# ERROR 14:32:15 - login API P99 延遲從 120ms 升至 3200ms
# WARN  14:32:16 - DB connection pool pending queue: 45
# ERROR 14:32:17 - MemberRepository.findByAccount() timeout
#
# → /investigate 會追蹤到 MemberRepository，
#   識別遺漏的 account 欄位索引，生成 Migration SQL

// infrastructure/config/SentryConfig.java
@Configuration
public class SentryConfig {

    @Value("${sentry.dsn}")
    private String sentryDsn;

    @PostConstruct
    public void init() {
        Sentry.init(options -> {
            options.setDsn(sentryDsn);
            options.setTracesSampleRate(0.1); // 10% 採樣
            options.setEnvironment(activeProfile);
            // 過濾敏感資料
            options.setBeforeSend((event, hint) -> {
                event.setUser(null); // 移除使用者 PII
                return event;
            });
        });
    }
}

# 自動升級（推薦）
/gstack-upgrade
# → 同步全域安裝（~/.claude/skills/gstack）
# → 同步專案安裝（.claude/skills/gstack，若有）
# → 自動執行 Migration（./setup 內建）
# → 顯示 Changelog 摘要

# 手動升級（等同效果）
cd ~/.claude/skills/gstack && git pull && ./setup
# ↑ v0.15.2.1 起 ./setup 自動偵測並套用 pending migrations

# 強制重新安裝（跳過快取）
/gstack-upgrade --force

# 查看目前版本
cat ~/.claude/skills/gstack/package.json | grep version

# 查看 Changelog
cat ~/.claude/skills/gstack/CHANGELOG.md | head -100

# 檢視已偵測的平台
/gstack-upgrade --dry-run
# 輸出範例：
# Detected platforms: Claude Code, Codex CLI, Cursor
# Pending migrations: 3
# Would sync to: ~/.claude/skills/gstack, ~/.codex/skills/gstack, .cursor/skills/gstack

<!-- .claude/skills/dba-review.md -->
# 資料庫優化師

你是一位資深資料庫優化工程師。分析以下程式碼中的資料庫存取模式：

1. **N+1 查詢偵測**：識別所有在迴圈中執行的資料庫查詢
2. **索引建議**：對缺少索引的 WHERE / ORDER BY 欄位提出添加建議
3. **Slow Query 風險**：預估超過 100ms 的查詢並說明原因
4. **Migration 腳本**：自動生成修復所需的 ALTER TABLE / CREATE INDEX SQL

輸出格式：
- `[N+1]` 加上程式碼位置和建議的 Eager Loading 改法
- `[INDEX]` 加上完整 SQL 語句
- `[SLOW]` 加上預估毫秒數和改善方向

# 使用說明：在 Claude Code 中直接調用
/dba-review

~/.gstack/
  projects/
    member-service/      ← /office-hours 輸出至此
      design.md
      qa-reports/
    order-service/
      design.md
      qa-reports/
    platform/
      design.md
      qa-reports/

# 安裝社群技能（任何公開 Git repo 均可）
git clone https://github.com/community/spring-batch-skill   ~/.claude/skills/spring-batch-skill

# 開發自訂企業技能
mkdir -p ~/.claude/skills/my-company
cat > ~/.claude/skills/my-company/code-standards.md << 'EOF'
# 公司程式碼標準審查員
你是 XYZ 公司的程式碼標準守門人...
EOF

# 分享給整個團隊（透過 Git 倉庫）
git init my-company-skills
cp -r ~/.claude/skills/my-company my-company-skills/
cd my-company-skills && git push origin main
# 團隊成員執行：
# git clone <url> ~/.claude/skills/my-company

# 手動觸發（建議在 /qa 之後）
/cso

# 在 /ship 前自動觸發（推薦設定）
# 在 CLAUDE.md 加入：
# Always run /cso before /ship

// infrastructure/security/JwtTokenProvider.java
@Component
@Slf4j
public class JwtTokenProvider {

    private static final String ISSUER = "member-service";
    private static final long ACCESS_TOKEN_VALIDITY = 3600L;    // 1 小時
    private static final long REFRESH_TOKEN_VALIDITY = 604800L; // 7 天

    @Value("${jwt.private-key}")
    private RSAPrivateKey privateKey;

    @Value("${jwt.public-key}")
    private RSAPublicKey publicKey;

    /**
     * 使用 RS256 簽發 JWT
     */
    public String generateToken(Long memberId) {
        Instant now = Instant.now();
        return Jwts.builder()
            .issuer(ISSUER)
            .subject(memberId.toString())
            .issuedAt(Date.from(now))
            .expiration(Date.from(now.plusSeconds(ACCESS_TOKEN_VALIDITY)))
            .signWith(privateKey, Jwts.SIG.RS256)
            .compact();
    }

    /**
     * 驗證並解析 JWT
     */
    public Long validateAndGetMemberId(String token) {
        try {
            return Long.parseLong(
                Jwts.parser()
                    .verifyWith(publicKey)
                    .requireIssuer(ISSUER)
                    .build()
                    .parseSignedClaims(token)
                    .getPayload()
                    .getSubject()
            );
        } catch (ExpiredJwtException e) {
            throw new TokenExpiredException("Token 已過期");
        } catch (JwtException e) {
            log.warn("Invalid JWT token: {}", e.getMessage());
            throw new InvalidTokenException("無效的 Token");
        }
    }
}

// 角色定義枚舉
public enum Role {
    ADMIN,      // 系統管理員
    MANAGER,    // 部門主管
    STAFF,      // 一般員工
    GUEST       // 訪客（唯讀）
}

// 操作權限枚舉
public enum Permission {
    MEMBER_READ,
    MEMBER_WRITE,
    MEMBER_DELETE,
    REPORT_EXPORT
}

// 權限對應表
public class RolePermissionConfig {
    public static final Map<Role, Set<Permission>> ROLE_PERMISSIONS = Map.of(
        Role.ADMIN,   EnumSet.allOf(Permission.class),
        Role.MANAGER, EnumSet.of(MEMBER_READ, MEMBER_WRITE, REPORT_EXPORT),
        Role.STAFF,   EnumSet.of(MEMBER_READ, MEMBER_WRITE),
        Role.GUEST,   EnumSet.of(MEMBER_READ)
    );
}

// Controller 使用方式
@PreAuthorize("hasPermission(null, 'MEMBER_DELETE')")
@DeleteMapping("/members/{id}")
public ResponseEntity<Void> deleteMember(@PathVariable Long id) {
    memberUseCase.delete(id);
    return ResponseEntity.noContent().build();
}

# .github/workflows/security.yml
name: Security Scan

on:
  pull_request:
    branches: [main]

jobs:
  sast:
    name: SAST 靜態分析
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      
      # SpotBugs（含 Find Security Bugs 外掛）
      - name: SpotBugs 安全掃描
        run: mvn com.github.spotbugs:spotbugs-maven-plugin:check
        
      # OWASP Dependency Check
      - name: 相依套件 CVE 掃描
        run: |
          mvn org.owasp:dependency-check-maven:check \
            -DfailBuildOnCVSS=7
            
      # 注意：gstack /cso 在 Claude Code Session 內執行
      # 開發者在 PR 開立前須先執行 /cso，Critical 問題歸零才開 PR

  dast:
    name: DAST 動態分析
    runs-on: ubuntu-latest
    needs: [sast]
    steps:
      - name: 啟動測試服務
        run: docker compose -f docker-compose.test.yml up -d
        
      - name: OWASP ZAP 掃描
        uses: zaproxy/action-full-scan@v0.9.0
        with:
          target: 'http://localhost:8080/api'
          rules_file_name: '.zap/rules.tsv'

# ✅ 正確：在受控環境中使用瀏覽器模式
/browse → 導航到 localhost:3000 → 執行 QA 測試

# ❌ 危險：在不受信任的外部網站使用 $B connect
# 惡意網站可能包含 prompt injection 內容
# → 使用 /browse（隔離 Chromium）代替 $B connect

❌ Anti-pattern 1: "跳過 /office-hours 直接寫 Code"
   問題：沒有問題定義就開始實作
   後果：建構了正確的功能，但解決了錯誤的問題
   ✅ 解法：任何功能，無論多小，都先執行 `/office-hours`

❌ Anti-pattern 2: "跳過 /cso 直接 /ship"
   問題：時間壓力下略過安全審查
   後果：包含 SQL Injection / XSS 漏洞的程式碼進入生產
   ✅ 解法：在 CLAUDE.md 中明確寫入「/ship 前必須執行 /cso」

❌ Anti-pattern 3: "完全信任 AI 修復 [AUTO-FIXED]"
   問題：/review 回報 [AUTO-FIXED] 後直接接受，不審查
   後果：AI 自動修復有時解決症狀而非根因
   ✅ 解法：[AUTO-FIXED] 需人工確認修復邏輯正確，[ASK] 必須回覆

❌ Anti-pattern 4: "AI 直接接觸生產資料"
   問題：用 /investigate 連接生產 DB 進行 Debug
   後果：違反資安合規，PII 可能進入 AI 訓練資料（訂閱合約需確認）
   ✅ 解法：/investigate 只在包含匿名化資料的測試環境執行

❌ Anti-pattern 5: "忽略 Token 成本"
   問題：在 CI 中對每個 commit 都執行 /review + /cso + /qa
   後果：Claude API 費用暴增，開發流程被費用限制拖慢
   ✅ 解法：只在 PR 建立時執行完整 Sprint（/qa + /cso + /ship），commit push 只做語法檢查（Checkstyle / ESLint）

環境準備
□ Claude Code 已安裝（npm install -g @anthropic-ai/claude-code）
□ Claude Code 已登入（claude login）
□ Git 2.x+ 已安裝
□ Bun v1.0+ 已安裝（Windows 需 Node.js 18+）
□ ANTHROPIC_API_KEY 已設定

gstack 安裝
□ git clone --single-branch --depth 1 \
    https://github.com/garrytan/gstack.git \
    ~/.claude/skills/gstack
□ cd ~/.claude/skills/gstack && ./setup 已執行（含自動 Migration）
□ Claude Code 重啟後 /help 顯示 gstack 技能（33 個）
□ /office-hours 指令可正常調用
□ /checkpoint 可正常建立工作快照
□ /health 可正常顯示品質分數

CLAUDE.md 設定
□ 專案 CLAUDE.md 已建立（含技術棧、禁止行為）
□ 敏感目錄已加入 .claudeignore
□ 企業自訂技能已安裝（若有）

CI/CD 整合
□ CI 已整合 /cso OWASP 掃描腳本（CRITICAL 阻擋 PR）
□ /setup-deploy 已執行（一次性設定 /land-and-deploy）
□ GitHub Actions 已設定相依套件 CVE 掃描

團隊協作
□ 全體開發人員已安裝 gstack（git clone）
□ 企業 CLAUDE.md 範本已共用
□ /retro global 已設定為每週自動觸發

安全與合規
□ /cso 已在第一個 Sprint 執行並清零 CRITICAL
□ Log 過濾規則已加入（排除 PII）
□ JWT 設定已審查（RS256, 1小時有效期）
□ 相依套件 CVE 掃描已整合進 CI

計畫階段
□ /office-hours → 需求精煉（或 /autoplan 一鍵）
□ /plan-ceo-review → MVP 範圍確認
□ /plan-eng-review → 架構 + 測試計畫
□ /plan-design-review → UI/UX 設計審查（若有視覺需求）

實作後
□ /review → 程式碼審查（AUTO-FIXED 驗收 + ASK 回覆）
□ /qa → 瀏覽器功能測試（Diff-aware）
□ /cso → 安全掃描（CRITICAL = 禁止繼續）
□ /health → 程式碼品質分數（建議 ≥ 7/10 才繼續）
□ /ship → PR 建立（覆蓋率 ≥ 80%）

發布後
□ /land-and-deploy → 合併 + 部署 + 生產驗證
□ /canary → 30 分鐘金絲雀監控
□ /benchmark → 效能回歸檢查
□ /checkpoint → 保存工作狀態快照
□ /retro → Sprint 回顧與知識沉澱
□ /learn → 從失敗中學習（知識累積）