Everything Claude Code (ECC) 完整调研报告
项目地址 : https://github.com/affaan-m/everything-claude-code
调研日期 : 2026-03-25
项目版本 : v1.9.0+
Stars : 105,000+ | Forks : 13,700+ | 支持语言: 12种
一、项目概述
Everything Claude Code(简称 ECC)是一个面向 AI Agent 开发工具链的性能优化系统,最初诞生于 Anthropic 黑客松,经过 10+ 个月的密集开发,已演变为一套生产级的 Claude Code Plugin。它不是简单的配置文件集合,而是一个完整的系统,包含 28 个专用 Agent、125+ Skills、60+ Commands、8 大通用 Rule、完整的 Hook 生命周期管理以及记忆持久化与持续学习机制。
ECC 兼容多个主流 AI 编程助手平台:Claude Code、Codex、Cursor、OpenCode。
核心定位: 将个人级的 AI 编程助手体验,提升为团队级的、可积累的、可治理的 AI 开发基础设施。
二、系统架构总览
2.1 分层架构图
⚙️ 基础设施层
📚 知识与规则层
🎯 编排与调度层
👤 用户交互层
🖥️ 运行平台
Claude Code
Codex
Cursor
OpenCode
🤖 Agent 执行层 (28个)
维护
refactor-cleaner
doc-updater (Haiku)
harness-optimizer (Sonnet)
loop-operator (Sonnet)
chief-of-staff (Opus)
修复
build-error-resolver
语言构建器 x6
测试
tdd-guide (Sonnet)
e2e-runner (Sonnet)
审查
code-reviewer (Sonnet)
security-reviewer
语言审查器 x9
规划
planner (Opus)
architect
开发者
斜杠命令 /plan /tdd /orchestrate ...
CLI 直接操作
orchestrate-worktrees.js
多Agent编排引擎
sessions-cli.js
会话管理器
Git Worktree
并行隔离环境
Handoff Documents
Agent间上下文传递
125+ Skills
领域知识库
Rules 规则系统
8通用 + 12语言
learned/ 自学习技能
Hooks 生命周期引擎
hooks.json
记忆持久化
session-start/end.js
Token/Cost 追踪
cost-tracker.js
安全扫描
InsAIts + AgentShield
持续学习引擎
observe.sh + evaluate-session.js
质量门禁
quality-gate.js
2.2 模块依赖关系图
模块依赖方向 (→ 表示依赖)
调用
触发
注入上下文
Commands
用户入口
Agents
执行单元
Skills
知识参考
Rules
强制约束
Tools
Read/Write/Bash/Grep/Glob
Hooks
自动触发
Scripts
具体逻辑
文件系统
.claude/memory/
关键依赖关系说明:
- Commands → Agents : 每个斜杠命令映射到一个或多个 Agent。例如
/tdd调用tdd-guide,/orchestrate按序调用planner → tdd-guide → code-reviewer → security-reviewer - Agents → Skills : Agent 在执行时按需加载对应 Skill 作为参考知识(如
code-reviewer加载编码风格 Skill) - Agents → Rules : Rules 作为 Agent 的强制约束在系统层自动注入(通过
.claude/rules/*.md自动加载) - Hooks → Scripts: 每个 Hook 配置项指向一个具体的 JS/Shell 脚本执行
- Hooks ↔ Agents: Hook 在 Agent 工具调用前后自动触发(如 PreToolUse 在 Bash 执行前运行安全检查)
三、安装部署与上手
3.1 安装方式对比与选择
ECC 支持三种安装方式,各有利弊。其中插件安装 最快(<2分钟),但需要特别注意的是,插件安装后 Rules 仍需手动安装 。这是因为 Claude Code 插件系统目前尚不支持自动分发规则文件到 .claude/rules/ 目录,必须通过脚本完成。
Claude Code
Cursor
Codex/OpenCode
✋ 方式三: 手动安装
git clone 仓库
手动复制 agents/, skills/, rules/ 到 ~/.claude/
手动配置 hooks.json
⚠️ 必须保留目录结构
(否则 ../common/ 相对路径断裂)
🔧 方式二: 脚本安装
git clone https://github.com/affaan-m/everything-claude-code.git
cd everything-claude-code && npm install
./install.sh typescript python golang
(选择你需要的语言)
📦 方式一: 插件安装 (< 2分钟)
Step 1: 添加市场源
/plugin marketplace add affaan-m/everything-claude-code
Step 2: 安装插件
/plugin install everything-claude-code@everything-claude-code
Step 3: 安装规则 (必须手动!)
git clone https://github.com/affaan-m/everything-claude-code.git
cd everything-claude-code && npm install
./install.sh typescript python
🚀 准备安装 ECC
使用什么平台?
Claude Code
Cursor
Codex / OpenCode
希望哪种安装方式?
插件安装
(推荐,最快)
脚本安装
(可选语言)
手动安装
(完全自定义)
./install.sh --target cursor typescript
./install.sh --target antigravity typescript
关键要点 : 无论选择哪种安装方式,都要确保 Rules 系统完整安装。Rules 是 ECC 的约束层,Agent 执行时会自动加载 .claude/rules/ 下的规则文件(通过 extends 和 override 机制),缺失 Rules 会导致 Agent 行为偏离预期。
3.2 安装后验证与 Hook Profile 配置
安装完成后,需要进行两步验证和配置:第一步是验证 ECC 核心命令是否正常响应;第二步是根据开发需求选择合适的 Hook Profile 严格度(minimal/standard/strict)。这个选择很重要,因为它影响代码审查、安全扫描、质量门禁等自动化检查的行为。
✅ 正常
❌ 报错
环境变量
命令行
全局配置
新手/轻量
日常开发
严格模式
安装完成
运行验证命令
/plan 'Add hello world endpoint'
命令是否正常响应?
配置包管理器 (可选)
运行诊断
node scripts/doctor.js
根据诊断报告修复
选择包管理器
export CLAUDE_PACKAGE_MANAGER=pnpm
/setup-pm
node scripts/setup-package-manager.js --global pnpm
配置 Hook Profile
选择严格度
export ECC_HOOK_PROFILE=minimal
仅: 会话管理 + 成本追踪
export ECC_HOOK_PROFILE=standard
增加: 安全扫描 + 质量门禁 + 持续学习
export ECC_HOOK_PROFILE=strict
增加: 自动格式化 + TS类型检查 + Git提醒
🎉 ECC 就绪!
关键要点:
- minimal 模式适合快速原型和探索性开发,开销最小,但缺少安全和质量检查。
- standard 模式是推荐的日常开发选择,平衡了安全、质量和性能。
- strict 模式适合生产环境和安全关键代码,会启用所有检查和自动修复。
四、28个Agent深度解析
4.1 Agent 总览表
| # | Agent | 模型 | 可用工具 | 核心职责 | 触发条件 |
|---|---|---|---|---|---|
| 1 | planner | Opus | Read, Grep, Glob | 创建多阶段实施计划 | 复杂功能请求/架构变更 |
| 2 | architect | --- | Read, Grep, Glob | 系统设计、技术权衡评估 | 规划功能/重构/架构选择 |
| 3 | chief-of-staff | Opus | Read, Grep, Glob, Bash, Edit, Write | 多渠道通信分拣(邮件/Slack/LINE) | 通信管理工作流 |
| 4 | code-reviewer | Sonnet | Read, Grep, Glob, Bash | 代码质量/安全/可维护性审查 | 代码修改后 |
| 5 | security-reviewer | --- | Read, Grep, Glob, Bash | OWASP Top 10 安全漏洞检测 | 涉及用户输入/认证/API |
| 6 | tdd-guide | Sonnet | Read, Write, Edit, Bash, Grep | TDD红绿重构循环指导 | 新功能/修复 Bug |
| 7 | e2e-runner | Sonnet | Read, Write, Edit, Bash, Grep, Glob | E2E 测试生成/维护/执行 | E2E 测试任务 |
| 8 | build-error-resolver | --- | Read, Grep, Glob, Bash | 通用构建错误诊断修复 | 构建失败 |
| 9 | refactor-cleaner | --- | Read, Grep, Glob, Bash | 死代码检测、依赖清理 | 代码清理任务 |
| 10 | doc-updater | Haiku | Read, Write, Edit, Bash, Grep, Glob | 文档/Codemap 同步更新 | 重大功能/API 变更 |
| 11 | harness-optimizer | Sonnet | Read, Grep, Glob, Bash, Edit | AI工具链配置优化 | 工具链审计请求 |
| 12 | loop-operator | Sonnet | Read, Grep, Glob, Bash, Edit | 自主循环运行/监控/介入 | 自主循环任务 |
| 13 | docs-lookup | --- | Read, Grep, Glob | 文档检索查询 | 文档查询请求 |
| 14-22 | 语言审查器 x9 | --- | --- | 语言特定代码审查 | 对应语言代码变更 |
| 23-28 | 语言构建器 x6 | --- | --- | 语言特定构建错误修复 | 对应语言构建失败 |
4.2 核心 Agent 详解
4.2.1 Planner Agent --- 实施规划专家
设计哲学: "先计划,后编码"。在写任何代码之前,通过系统化的规划降低返工风险。
5步工作流程:
代码库 Planner Agent (Opus) 用户 代码库 Planner Agent (Opus) 用户 alt [用户批准] [用户修改] 复杂功能请求 1. 需求分析 - 读取相关代码 文件结构、现有实现 2. 架构审查 - 识别受影响组件 依赖关系、类似实现 3. 步骤拆解 - 生成分阶段计划 4. 执行排序 - 按依赖关系排优先级 输出结构化计划 (等待审批) "proceed" 开始执行 "modify: 跳过阶段2" 调整计划 更新后的计划
计划输出模板:
markdown
## Overview
[一句话描述]
## Requirements
- 功能需求列表
- 成功标准
## Architecture Changes
- 受影响的组件
- 新增/修改的接口
## Implementation Steps
### Phase 1: [名称]
- Step 1.1: [精确到文件路径和函数名]
- File: `src/services/auth.ts`
- Action: 添加 `validateToken()` 方法
- Complexity: Medium
- Risk: 可能影响现有Session管理
### Phase 2: [名称]
...
## Testing Strategy
## Risks & Mitigations
## Success Criteria
红旗检测清单: 函数超过50行、嵌套超过4层、缺少错误处理、硬编码值、缺少测试、计划中没有测试策略、步骤缺少文件路径。
4.2.2 Code Reviewer Agent --- 代码审查专家
4级严重度分类系统:
Code Reviewer 严重度分类
HIGH 检查项
函数 >50行
文件 >800行
嵌套 >4层
缺少错误处理
mutation模式
残留debug日志
缺少测试
死代码
CRITICAL 检查项
硬编码凭证
SQL注入
XSS漏洞
路径遍历
CSRF问题
认证绕过
不安全依赖
日志泄露密钥
🔴 CRITICAL - 安全
🟠 HIGH - 代码质量
🟡 MEDIUM - 性能
🟢 LOW - 最佳实践
审批标准:
- Approve: 无 CRITICAL 或 HIGH 问题
- Warning: 仅有 HIGH 问题
- Block: 存在 CRITICAL 问题 → 阻止提交
审查流程(5步):
源代码 Git Code Reviewer (Sonnet) 源代码 Git Code Reviewer (Sonnet) CRITICAL: 安全检查 HIGH: 质量检查 MEDIUM: 性能检查 LOW: 实践检查 按严重度排列 含修复代码示例 最终: APPROVE/WARNING/BLOCK 1. git diff --staged / git diff 变更文件列表 2. 识别变更范围和文件间关联 组件依赖图 3. 读取周边上下文代码 完整上下文 4. 逐项检查清单 (>80%置信度阈值) 5. 生成结构化报告
v1.8 增强 --- AI生成代码附录: 当审查 AI 生成的变更时,优先检查行为回归、安全假设、隐藏耦合、不必要的复杂性。标记无理由升级到高成本模型的工作流。
4.2.3 Security Reviewer Agent --- 安全审查专家
三阶段审查方法:
发现CRITICAL
🚨 紧急响应协议
- 记录问题详情
- 立即告警项目负责人
- 提供安全代码示例
- 验证修复有效性
- 轮换已泄露密钥
阶段3: 关键代码模式标记
硬编码密钥 → CRITICAL
用户输入拼接Shell → CRITICAL
字符串拼接SQL → CRITICAL
明文密码比较 → CRITICAL
路由无认证 → CRITICAL
阶段2: OWASP Top 10 逐项验证
A01: 注入攻击
A02: 认证缺陷
A03: 敏感数据暴露
A04: XXE攻击
A05: 访问控制
A06: 配置错误
A07: XSS
A08: 不安全反序列化
A09: 已知漏洞
A10: 日志不足
阶段1: 初始扫描
npm audit / eslint-plugin-security
搜索硬编码密钥
审查高风险区域
触发时机: 新增 API 端点、认证变更、用户输入处理、数据库查询修改、文件上传、支付代码、外部 API 集成、依赖更新。
安全审查自动触发场景:
🔒 自动触发场景
新增 API 端点
修改认证逻辑
处理用户输入
修改数据库查询
处理文件上传
涉及支付代码
集成外部 API
更新依赖版本
/code-review 或
/orchestrate security
4.2.4 TDD Guide Agent --- 测试驱动开发专家
强制性 Red-Green-Refactor 循环:
源代码 测试框架 TDD Guide (Sonnet) 开发者 源代码 测试框架 TDD Guide (Sonnet) 开发者 🔴 RED 阶段 🟢 GREEN 阶段 🔵 REFACTOR 阶段 新功能请求 1. 定义接口/类型 2. 编写失败测试 3. 运行确认失败 ❌ FAIL (预期) 4. 编写最小通过代码 5. 运行确认通过 ✅ PASS 6. 重构改进代码 7. 确认仍然通过 ✅ PASS 8. 检查覆盖率 ≥80% 覆盖率报告 循环完成,进入下一功能
8类必测边界场景:
| # | 场景 | 示例 |
|---|---|---|
| 1 | Null/undefined 输入 | calculateScore(null) |
| 2 | 空集合 | processItems([]) |
| 3 | 类型不匹配 | calculate("string") |
| 4 | 边界条件 | MAX_INT, 0, -1 |
| 5 | 错误场景 | 网络超时、DB断连 |
| 6 | 并发操作 | 同时写入同一资源 |
| 7 | 大数据集 | 10万条记录 |
| 8 | 特殊字符 | <script>, SQL注入串 |
覆盖率要求:
- 普通代码: ≥80%
- 关键代码 (金融计算/认证/安全): 100%
v1.8 增强 --- Eval 驱动集成: 在实现前定义 eval,捕获基线失败,实现后报告 pass@1 和 pass@3 指标。
4.2.5 E2E Runner Agent --- 端到端测试专家
双工具策略:
是
否
E2E 关键原则
语义选择器 > CSS > XPath
等待条件 > 等待时间
测试独立,无共享状态
每步都有断言
降级: Playwright
npx playwright test
Page Object Model 模式
data-testid 选择器
trace: 'on-first-retry'
首选: Agent Browser
agent-browser open URL
agent-browser snapshot -i
获取元素引用 [ref=e1]
agent-browser click @e1
agent-browser fill @e2 'text'
agent-browser screenshot result.png
E2E 测试需求
Agent Browser
是否可用?
Flaky 测试处理 : 使用 test.fixme() 隔离不稳定测试,通过 --repeat-each=10 识别 flaky 测试,常见原因包括竞态条件(用 auto-wait locator 解决)、网络时序(用 waitForResponse 解决)、动画时序(用 networkidle 解决)。
成功指标: 关键流程 100% 通过、总体通过率 >95%、Flaky 率 <5%、执行时间 <10分钟。
4.2.6 Chief of Staff Agent --- 通信管理总管
4层消息分类系统:
Tier 1
Tier 2
Tier 3
Tier 4
来源
来源
来源
来源
收到消息
(Email/Slack/LINE/Messenger)
4层分类
skip
自动归档
info_only
仅摘要
meeting_info
日历交叉引用
action_required
起草回复
noreply / bot / GitHub通知
Slack频道加入/离开
自动化告警
CC邮件 / 收据
群聊闲聊 / @channel
文件分享无提问
含 Zoom/Teams/Meet 链接
日期+会议上下文
.ics 附件
交叉引用日历
自动补全缺失链接
直接消息含未答问题
@user 等待回复
日程安排请求
加载关系上下文
- SOUL.md 语气
→ 生成草稿
Send\] \[Edit\] \[Skip
发送后自动跟进(7步): 创建日历事件 → 更新关系记录 → 更新 Todo → 设置跟进截止 → 归档已处理消息 → 更新分拣文件 → Git commit & push 所有知识文件变更。
4.2.7 其他关键 Agent
Refactor Cleaner --- 死代码清理专家:
- 使用
npx knip(未使用文件/导出)、npx depcheck(未使用依赖)、npx ts-prune(未使用TS导出) - 3级风险分类: SAFE(安全删除)→ CAREFUL(需验证)→ RISKY(可能有副作用)
- 原则: 活跃开发期间避免大规模删除,每次提交聚焦单一清理
Doc Updater (Haiku 模型) --- 文档同步专家:
- 核心原则: "不匹配现实的文档比没有文档更糟糕"
- 通过 AST 分析 TypeScript 编译器 API,自动提取导出/导入关系
- 输出
docs/CODEMAPS/下的结构化文档
Harness Optimizer --- 工具链优化专家:
- 使命: "通过改进工具链配置提升 Agent 完成质量,而不是重写产品代码"
- 5步流程: 执行审计 → 定位3个最高杠杆点 → 建议最小可逆调整 → 验证 → 记录前后对比
Loop Operator --- 自主循环控制专家:
- 升级触发: 连续两个检查点无进展 / 重复相同堆栈错误 / 成本超预算 / 合并冲突阻塞
- 安全检查: 质量门禁活跃 + Eval基线存在 + 回滚路径存在 + 分支/Worktree隔离
4.3 语言特定 Agent 矩阵
| 类型 | TypeScript | Python | Go | Java | Kotlin | Rust | C++ | Flutter |
|---|---|---|---|---|---|---|---|---|
| 代码审查器 | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ | ✅ |
| 构建修复器 | --- | --- | ✅ | ✅ | ✅ | ✅ | ✅ | --- |
| PyTorch专用 | --- | ✅ | --- | --- | --- | --- | --- | --- |
| 数据库专用 | ✅ | --- | --- | --- | --- | --- | --- | --- |
五、Hooks 钩子系统 --- 完整生命周期引擎
5.1 完整 Hook 配置详解
Hooks 是 ECC 的神经系统------在每个工具调用的前后自动触发,无需用户干预。
渲染错误: Mermaid 渲染失败: Parse error on line 38: ...压缩前保存状态 STOP->>END: 会话结束 Note o ---------------------^ Expecting '+', '-', '()', 'ACTOR', got 'end'
5.2 Hook 关键配置代码
json
// hooks.json 核心结构示例
{
"hooks": {
"PreToolUse": [
{
"matcher": "Bash",
"hooks": [{"type": "command", "command": "npx block-no-verify@1.1.2"}],
"description": "阻止 git --no-verify 绕过预提交钩子"
},
{
"matcher": "Edit|Write",
"hooks": [{"type": "command",
"command": "node \"${CLAUDE_PLUGIN_ROOT}/scripts/hooks/run-with-flags.js\" \"pre:edit-write:suggest-compact\" \"scripts/hooks/suggest-compact.js\" \"standard,strict\""}],
"description": "在逻辑间隔建议手动压缩上下文"
},
{
"matcher": "Bash|Write|Edit|MultiEdit",
"hooks": [{"type": "command",
"command": "node \"...run-with-flags.js\" \"pre:insaits-security\" \"scripts/hooks/insaits-security-wrapper.js\" \"standard,strict\"",
"timeout": 15}],
"description": "可选 InsAIts AI 安全监控 (ECC_ENABLE_INSAITS=1)"
},
{
"matcher": "Write|Edit|MultiEdit",
"hooks": [{"type": "command",
"command": "node \"...run-with-flags.js\" \"pre:config-protection\" \"scripts/hooks/config-protection.js\" \"standard,strict\"",
"timeout": 5}],
"description": "阻止修改 linter/formatter 配置文件"
}
],
"Stop": [
{
"matcher": "*",
"hooks": [{"type": "command",
"command": "node \"...run-with-flags.js\" \"stop:cost-tracker\" \"scripts/hooks/cost-tracker.js\" \"minimal,standard,strict\"",
"async": true, "timeout": 10}],
"description": "追踪每个会话的 Token 和成本指标"
}
]
}
}
5.3 Hook Profile 三级配置
ECC_HOOK_PROFILE 配置
包含
在minimal基础上增加
在standard基础上增加
minimal
最小配置
standard
标准配置
strict
严格配置
session-start
session-end
cost-tracker
evaluate-session
suggest-compact
doc-file-warning
observe (持续学习)
insaits-security
quality-gate
console-warn
governance-capture
config-protection
mcp-health-check
post-edit-format
post-edit-typecheck
tmux-reminder
git-push-reminder
run-with-flags.js 机制 : 每个 Hook 通过此脚本包装,根据当前 ECC_HOOK_PROFILE 环境变量决定是否执行。脚本签名: run-with-flags.js <hookId> <scriptPath> <allowedProfiles>。
5.4 Hook 使用与调整流程
调整 Hook 行为可以通过三种方式实现,从临时的环境变量到持久的项目级配置。这为不同使用场景提供了灵活性。
方式3: 全局配置
编辑 ~/.claude/settings.json
影响所有项目
方式2: 项目配置 (持久)
编辑项目 .claude/settings.json
覆盖特定 Hook 配置
方式1: 环境变量 (临时)
export ECC_HOOK_PROFILE=minimal
export ECC_DISABLED_HOOKS='pre:bash:tmux-reminder,post:edit:typecheck'
需要调整 Hook 行为
5.5 三级 Profile 适用场景
🔴 strict --- 最高质量
适合: 生产/金融/安全关键代码
在 standard 基础上增加:
• post-edit-format (自动格式化)
• post-edit-typecheck (TS 类型检查)
• tmux-reminder (长命令提醒)
• git-push-reminder (Push 前确认)
🟡 standard --- 日常推荐
适合: 正式项目开发
在 minimal 基础上增加:
• suggest-compact (压缩提醒)
• observe (持续学习)
• insaits-security (安全扫描)
• quality-gate (质量门禁)
• console-warn (console.log 检测)
• config-protection (配置保护)
• mcp-health-check (MCP 健康)
• governance-capture (治理事件)
🟢 minimal --- 最低开销
适合: 快速原型/探索性开发
活跃 Hook:
• session-start/end (上下文恢复)
• cost-tracker (成本追踪)
• evaluate-session (模式评估)
六、Rules 规则系统 --- 8大通用规则详解
6.1 规则分层架构
🌐 12种语言特定规则
📏 8大通用规则 (common/)
extends + override
extends + override
extends + override
extends + override
extends
extends
extends
extends + override
extends + override
extends + override
coding-style.md
编码风格
git-workflow.md
Git工作流
testing.md
测试标准
performance.md
性能优化
patterns.md
设计模式
security.md
安全准则
hooks.md
钩子使用
agents.md
Agent委派
TypeScript
Python
Go
Rust
Java
Kotlin
C++
C#
Swift
PHP
Perl
Dart
6.2 各规则详细内容
coding-style.md --- 编码风格
| 原则 | 说明 | 强制检查 |
|---|---|---|
| 不可变优先 | 创建新对象而非修改现有对象 | 禁止 mutation 模式 |
| 文件聚焦 | 200-400行/文件,上限800行 | 文件 >800行 → HIGH |
| 函数精简 | 上限50行/函数 | 函数 >50行 → HIGH |
| 嵌套限制 | 最多4层嵌套 | >4层 → HIGH |
| 显式错误处理 | 每层都处理,禁止静默吞异常 | 缺少 → HIGH |
| 边界校验 | 系统边界处必须验证所有输入 | 缺少 → CRITICAL |
| 按功能组织 | 按 feature/domain 组织代码 | --- |
git-workflow.md --- Git 工作流
# Commit 格式
<type>: <description>
# 允许的 type:
feat | fix | refactor | docs | test | chore | perf | ci
PR 流程5步 : 审查完整提交历史 → git diff [base]...HEAD 检查全量变更 → 创建详细摘要 → 规划测试 → 使用 -u 推送新分支。
testing.md --- 测试标准
- 强制 TDD: 写测试 (RED) → 确认失败 → 写代码 (GREEN) → 确认通过 → 重构 → 覆盖率 ≥80%
- 三层必测: Unit (始终) + Integration (始终) + E2E (关键路径)
- 测试失败处理 : 调用
tdd-guideAgent → 验证测试隔离 → 检查 Mock → 修改实现而非测试
performance.md --- 性能与 Token 优化
模型选择策略:
| 模型 | 定位 | 使用场景 | 成本 |
|---|---|---|---|
| Haiku 4.5 | 轻量级 | 轻量 Agent、pair programming、Worker 角色 | 最低 (Sonnet 的 1/3) |
| Sonnet 4.6 | 主力开发 | 工作流编排、复杂编码 | 中等 |
| Opus 4.5 | 深度推理 | 架构决策、分析密集型任务 | 最高 |
上下文窗口管理: 大规模重构/跨文件功能/复杂调试时避免使用最后20%的上下文窗口。扩展思考模式可保留最多 31,999 tokens 用于内部推理。
security.md --- 安全准则
提交前8项必检:
- 无硬编码密钥 (API key, password, token)
- 所有用户输入已验证
- SQL 注入防护 (参数化查询)
- XSS 防护 (HTML 清理)
- CSRF 保护启用
- 认证/授权已验证
- 所有端点有速率限制
- 错误消息不泄露敏感数据
发现漏洞时 : STOP → 使用 security-reviewer Agent → 修复 CRITICAL → 轮换泄露密钥 → 审查全代码库类似问题。
patterns.md --- 设计模式
Repository 模式 : 标准操作接口 (findAll, findById, create, update, delete),隐藏存储实现。
API 响应格式 : 统一信封结构 → { success, data, error, pagination: { total, page, limit } }。
agents.md --- Agent 委派规则
4个自动触发场景:
- 复杂功能请求 → 自动调用
planner - 代码刚修改 → 自动调用
code-reviewer - Bug 修复/新功能 → 自动调用
tdd-guide - 架构问题 → 自动调用
architect
关键原则: "ALWAYS use parallel Task execution for independent operations." --- 独立操作必须并行执行多个 Agent。