# 2026-03-31

## 修复 PR #454 CI compat-diff 失败

- 分支 `feature/skill-contract-refresh` 新增了 skill 文件（cloud-functions/references/ 子目录 4 个文件 + no-sql-wx-mp-sdk/security-rules.md），导致 compat-baseline.json 与生成产物不匹配
- 在正确分支上运行 `npm run update:compat-baseline` 更新基线（623 files tracked），验证 `diff-compat-config.mjs` 退出码 0
- 提交 `6381bef` 推送到 `github/feature/skill-contract-refresh`
- 注意：初始误在 `fix/code-quality-456` 分支操作，已回退该分支的多余 commit

## 修复 PR #458 和 #459 CI/审查问题

- **PR #459**（`fix/code-quality-456`）：`cloudrun.ts` 3 处 `debug()` 第二参数从 `string` 改为 `Error` 对象；`databaseNoSQL.ts` 删除遗漏的 `toJSONString` 内联定义
- **PR #458**（`fix/security-vulnerabilities-455`）：将块级 `const script` 提到外部修复 `command` 变量引用丢失；`validateAndNormalizePath` 修复根目录 `//` 前缀边界
- PR #459 已合入 main，PR #458 CI 通过

## 创建 pr-review-fix skill

- 路径：`skills/pr-review-fix/`
- 入口：`SKILL.md`（4 阶段工作流：Discovery → Triage → Fix → Verify）
- 参考文档 5 个：`discovery.md`、`triage.md`、`fix-workflow.md`、`ci-pipeline.md`、`fix-recipes.md`
- fix-recipes 包含本项目实际遇到的 7 种常见修复模式（debug 类型、块级变量、重复函数、路径校验、测试环境、安全审查、合并冲突）
- 通过 `validate-skill.mjs` 验证

## 创建 codebase-audit skill

- 路径：`skills/codebase-audit/`
- 入口：`SKILL.md`（5 阶段工作流：Review → Analyze & Classify → Create Issues → Worktree Fix → Verify & Report）
- 参考文档 5 个：`review-strategy.md`（审查清单 7 大类）、`classification.md`（严重性定义 + 去重 + 分批规则）、`issue-workflow.md`（GitHub issue 模板）、`worktree-fix.md`（每 issue 一个 worktree 隔离修复）、`verification.md`（CI 验证 + 最终报告格式）
- 与 `pr-review-fix` 的区别：pr-review-fix 处理已有 PR 的 CI 失败/review 反馈；codebase-audit 是主动全量代码审计 → 建 issue → 修复 → 提 PR 的完整闭环

## codebase-audit skill 增加依赖安全审计能力

- 新增 `references/dependency-audit.md`：完整的 Dependabot / npm audit 依赖漏洞处理流程（拉取告警 → 聚合排序 → 5 种修复策略决策树 → worktree 修复 → 验证）
- 更新 `SKILL.md`：Phase 1 增加依赖扫描步骤、Phase 4 增加依赖修复说明、路由表增加入口、自检清单增加 2 项、scope 增加 `deps`、触发场景增加 Dependabot alerts
- 更新 `review-strategy.md`：Security 检查表增加 Vulnerable dependencies 项

## 移除 miniprogram-ci 依赖

- 分支：`fix/security-vulnerabilities-455`
- miniprogram 工具在 `server.ts` 中已被注释掉（未激活），但 `miniprogram-ci` 仍在 dependencies 中，带入大量古老依赖链（babel 6.x 等），贡献了大部分漏洞
- 改动文件：
  - `mcp/package.json`：移除 `miniprogram-ci` 依赖
  - `mcp/webpack/problematic-deps.cjs`：移除对应排除项
  - `mcp/manifest.json`：移除 4 个 miniprogram 工具声明
  - `mcp/src/utils/cloud-mode.ts`：移除 `uploadMiniprogramCode` 引用
  - `mcp/src/server.ts`：移除注释掉的 miniprogram import 和插件注册
  - 删除 `mcp/src/tools/miniprogram.ts` 死代码文件
- 效果：漏洞数从 68 → 14（降 54 个），剩余 14 个来自 `@cloudbase/mcp`、`cos-nodejs-sdk-v5`、`vitest/esbuild`、`request` 等其他依赖链
- 构建验证：无新增错误（62 个 TS2353 是已有的 `category` 类型问题，与此次改动无关）
