1. 为什么 Rules 决定效果
同样一个模型，不同团队用出两种效果。差在哪？
差在 Rules。背后的原理是模型对规则的注意力有限。好消息是 AGENTS.md 已经是跨工具开放标准，Claude Code、Cursor、Copilot、Codex 都通用。
2. L0-L3 分层框架
3. 五个编写原则（含正反例）
原则只有五条，每条都配正反例：给可执行正例、可验证、原子化带触发场景、按需加载、从返工里长。
4. 完整模板（代码块，可直接复制）
# 项目概述
一句话说明业务、技术栈、目录布局。
# 架构约定（L2）
- 分层：controller/service/repository，禁止跨层调用
- 新增依赖必须先评审
# 工作流
- 分支命名、commit 规范、PR 必须标记 AI 生成
# 安全红线（L0，违反即拦截）
- 禁止提交密钥/token，禁止硬编码连接串
- 禁止生产数据进入提示词与外部模型
- 禁止 AI 直连生产库执行写操作
- 禁止生成关闭鉴权/校验/SSL 的代码
# 编码规范（L1）
- 命名：...；函数：单一职责、≤50 行
- 错误处理：禁止吞异常，错误须带上下文
- 测试：新增逻辑必须带单测，核心模块覆盖率阈值
# 最佳实践（L3，可按实际偏离）
- 优先复用 xxx；性能敏感处避免 N+1
# AI 协作约定
- 不确定的 API/需求先提问，禁止臆造
- 单次改动控制范围，不擅自重构无关代码
- 每次产出附：改了什么、为什么、如何验证5. 防僵尸维护机制
四件事缺一不可：进 Git/PR/owner、每迭代清理、规则命中率体检、从 bug 复盘补规则。 2026-09-28 补两条：
- 定期体检 ：Claude Code 2.1.283
/checkup prompt-audit（官方 changelog）审计 CLAUDE.md/skills/agents/commands 中为旧模型写的提示模式。什么时候跑？模型大版本升级后必跑一次。过期规则比没有规则更危险，因为它看起来还在生效。 - 防注入传染：OpenAI 9/25「自我复制提示注入」报告（官方限定：仅受控实验证实，尚无野外案例）。报告的结论是注入可感染---复制---传播。防线有三道：第三方 skill 来源白名单、外部内容进上下文前过注入检查、关键 skill 变更走评审。
- 规则写可判定的动作：智能体「自我授权」原句（"User only gives permission to research..."）就摆在那儿，「两次口头同意后仍照做」也是实证。怎么办？禁止写"凭据要保密"这类可解释原则，改写"【禁止】凭据以明文/拆分/编码/混淆任何变体写入代码或配置"这类机器可判定动作。
6. 落地步骤
第一步是建最小文件，内容就三样：介绍、5 条红线、2 条协作约定。然后跑一周 → 补 L1 → 做模块化就近规则 → 纳入新人 onboarding。