muzi-going-skills

系統化開發工作流，把「先研究 → 寫 plan.md → 依計畫實作 → 部署前雙閘驗證 → 部署」固定成一條可重複的迴圈，專為單人維護多個 Firebase / Google Apps Script / GCP Cloud Run 專案的情境設計。核心是「計畫先行、狀態外部化到檔案、依專案風險分級決定授權與驗證強度」，作為編排器串接三個既有 skill：進入專案前若尚未建立連動禁區 → project-guardrails 分析並寫入 CLAUDE.md，規劃時據以避開「改 A 壞 B」；部署前 Verify 雙閘 → web-security-reviewer 做安全/個資/壓力驗證、ui-ux-deploy-reviewer 做 UI/UX 與呈現層審查（僅當有前端介面）。MANDATORY TRIGGERS：使用者說「開一個新功能」「幫我規劃這個開發」「從頭把這個功能做到上線」「先研究再做」「整理成 plan.md」「這個專案要怎麼做（指要從規劃做到上線，不是單純問方向）」「修這個 bug（要有計畫地修）」「<專案名> 要加東西」（以專案名開頭的開發需求）「要部署到 Firebase / Cloud Run」「GAS 寫一個…」「我有個想法想做成工具」「幫我排開發的步驟」「走完整個開發到部署的流程」，或貼上 issue 連結、錯誤截圖、需求描述並希望有系統地把它從規劃做到上線時，都要套用此 skill。注意分流：若使用者只要「單獨檢查 UI/UX」用 ui-ux-deploy-reviewer、只要「單獨做安全審查」用 web-security-reviewer、只要「分析專案禁區」用 project-guardrails；本 skill 是把這些串成完整迴圈的編排器，當意圖是「有規劃、可重現、會走到上線」的整段開發時才觸發。**重要安全防漏：若使用者說的是泛泛的「部署前檢查」「上線前幫我檢查」而沒指明只要 UI/UX 或只要安全，應由本 skill 接手走 Verify 雙閘（同時跑 web-security-reviewer 與 ui-ux-deploy-reviewer），絕不要只做其中一道——尤其不要只做 UI/UX 而漏掉安全閘，那會讓含學生個資的專案在沒過安全驗證下就上線。**SCOPE：本 skill 是工作流編排器，不取代使用者對計畫的閱讀與判斷；只在使用者自己的專案上運作，不協助繞過授權

為專案建立「連動禁區」防護段落。自動分析專案程式碼,找出高扇入模組、資料結構契約、部署設定、對外契約與演算法核心等「改 A 會壞 B」的高風險區域,經使用者確認後寫入該專案的 CLAUDE.md,作為日後所有修改行為的防護依據。MANDATORY TRIGGERS:使用者說「建立連動禁區」「設定 guardrails」「init guardrails」「幫這個專案建立防護」「分析哪些程式碼不能亂動」「哪些模組牽一髮動全身」「建立修改防護段落」「把禁區寫進 CLAUDE.md」,或在新專案開始前要求建立修改安全機制時,都要套用此 skill。適用於 Firebase/PWA、GAS、後端服務等各類專案。SCOPE:本 skill 只做分析與(經確認後的)CLAUDE.md 寫入,不修改任何程式碼。本 skill 同時是 agentic-dev-loop 開發迴圈的「前置」階段：當該編排器在 Step 0 發現專案尚未建立連動禁區時會呼叫本 skill；使用者單獨要求分析禁區時仍直接觸發本 skill。

部署前的 UI/UX 總體檢。以全球公認的 20 項 UI/UX 原則(Nielsen 十大易用性啟發法 + 互動心理學定律 + 可及性與適應性)逐項審視網站或 Web App 的前端程式碼與使用者體驗,輸出「依嚴重度排序的問題清單 + 修正建議 + 部署放行檢核表」。MANDATORY TRIGGERS:使用者說「部署前 UI/UX 檢查」「deploy 前跑一次 UI/UX」「上線前幫我檢查 UI/UX」「審查 UI/UX」「用 20 原則檢視」「這個網站好不好用」「易用性審查」「heuristic evaluation」「檢查使用者體驗」,或在準備 firebase deploy / 上線 / 發布前要求做最後檢查時,都要套用此 skill。即使使用者沒明說「UI/UX」,只要意圖是部署前對介面與體驗做整體審視,就觸發。SCOPE:本 skill 審查 UI/UX 與呈現層程式碼品質;資訊安全審查請改用 web-security-reviewer。本 skill 同時是 agentic-dev-loop「Verify 雙閘」的 UI/UX 閘。分流原則：泛泛的「部署前／上線前檢查」（未指明只要 UI/UX）應交給 agentic-dev-loop 走雙閘，以免漏掉安全審查；本 skill 只在意圖明確聚焦 UI/UX／易用性／20 原則時觸發。

Turns a vague, underspecified request into a clearly structured Goal / Constraints / Obstacle breakdown, then produces a ready-to-use structured prompt. Use this whenever the user brings a fuzzy ask ("幫我想辦法...", "有什麼方法可以...", "我不知道怎麼處理..."), asks explicitly to help them "問對問題" or structure their request, or describes a real-world problem/decision they want AI help with but haven't yet specified what success looks like, what can't change, or what the actual blocker is. Trigger this proactively — even without the user naming the skill — any time answering directly would likely produce a generic, "technically correct but not actually usable" answer rather than something tailored to their real situation.

對使用者自己的程式碼做防禦性安全審查，檢測資安漏洞、資料外洩風險、壓力／效能風險與程式品質，並產出「依嚴重度排序的風險報告 ＋ 修正後程式碼」。涵蓋 Google Apps Script（Workspace 自動化）、前端 HTML/CSS/JS、後端 API（Node/Python/PHP 等）。特別適用於「使用者用 AI 生成 / vibe coding 寫出來、希望更安全、避免被攻擊或破壞」的網頁程式碼。MANDATORY TRIGGERS：使用者要求「檢測程式碼安全」「幫我看這段 code 有沒有漏洞」「防止資料外洩」「review 我的網頁／後端程式」「這段會不會被攻擊／被駭」「加固 / harden」「壓力測試」「優化程式碼安全性」「個資會不會外洩」「這是 AI 寫的幫我看安不安全」，或貼上一段前端／後端／Apps Script 程式碼並要求審查、找漏洞、修正建議、加固時，都要套用此 skill。即使使用者沒明說「資安」，只要意圖是審查或加固自己的程式碼，就觸發。SCOPE：本 skill 僅用於防禦性檢測——找出並修補使用者自己程式碼裡的漏洞；不協助撰寫可直接攻擊用的 exploit、不協助繞過資安機制。本 skill 同時是 agentic-dev-loop「Verify 雙閘」的安全閘：當該編排器要在部署前驗證安全／個資時會呼叫本 skill；使用者單獨要求安全審查時仍直接觸發本 skill。