菜单
依赖引入与版本选择策略——官方库/标准库优先；新增第三方库必须先询问用户获同意；写版本号前必经官方渠道验证最新版，禁凭训练记忆。触发：编辑 package.json/go.mod/Cargo.toml/Dockerfile/CI workflow/Helm/Terraform 等钉死版本号的文件、新增拉新包的 import、用户要求升级/加库/bump/更新 Actions。跳过：仅改本地代码、仅删依赖、用户已指定具体版本。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
| name | version-policy |
| description | 依赖引入与版本选择策略——官方库/标准库优先；新增第三方库必须先询问用户获同意；写版本号前必经官方渠道验证最新版，禁凭训练记忆。触发：编辑 package.json/go.mod/Cargo.toml/Dockerfile/CI workflow/Helm/Terraform 等钉死版本号的文件、新增拉新包的 import、用户要求升级/加库/bump/更新 Actions。跳过：仅改本地代码、仅删依赖、用户已指定具体版本。 |
适用于：一切会被钉死到项目文件里的外部资产版本号 / tag / digest 的引入与升级。
核心理念：先问"该不该引入"，再问"引入哪个版本"。 官方库 / 标准库优先，新增第三方库须经用户同意；任何版本号在写入文件前都必须经官方渠道验证（训练数据有截止时间，凭记忆填写的"最新版本号"几乎总是过时的）。
TRIGGER（命中任一即应应用本策略）：
package.json、bun.lockb、go.mod、go.sum、requirements.txt、pyproject.toml、Cargo.toml、pom.xml、build.gradle(.kts).nvmrc、.tool-versions、.python-version、Dockerfile 中的 FROM 行、go.mod 中的 toolchain 指令.github/workflows/*.yaml（uses: actions/*@vX）、.gitlab-ci.yaml（include 与 components）Dockerfile 的 FROM、compose.yaml / Helm chart / K8s manifest 中的 image: tagrequired_providers、Pulumi 包、Helm chart versionbrew install <pkg>@<version> / apt install <pkg>=<version> / curl ... | sh 等SKIP（以下情况本策略不适用）：
不限于包管理器声明。本策略覆盖以下所有类型：
| 类别 | 典型文件 / 位置 | 查询命令示例 |
|---|---|---|
| npm 生态 | package.json | npm view <pkg> version / bun pm view <pkg> |
| Go 模块 | go.mod | go list -m -versions <module> |
| Python | requirements.txt、pyproject.toml | pip index versions <pkg> |
| Rust crate | Cargo.toml | cargo search <crate> |
| Java | pom.xml、build.gradle | Maven Central 搜索 |
| 运行时 | .nvmrc、.tool-versions | 官方发布渠道 |
| GitHub Actions | .github/workflows/*.yaml | gh api /repos/<owner>/<repo>/releases/latest --jq .tag_name |
| 容器镜像 | Dockerfile、compose.yaml | Docker Hub / GHCR tags 页 / crane ls <image> |
| Helm chart | Chart.yaml | helm search repo <chart> --versions |
| Terraform provider | *.tf | https://registry.terraform.io/providers/<ns>/<name> |
本节是版本选择的前置门——先通过这道门，才进入后续"查版本、选版本"流程。
实现任何功能时，按以下优先级选取依赖来源：
database/sql、net/http，Python 的 json、http.server）go.mod / package.json / lockfile 中的库，继续使用不算新增）在写入任何 import 语句或依赖文件之前，必须先向用户说明并获得明确同意：
用户同意后才能导入；用户拒绝则改用标准库或现有依赖实现。
/plan 的方案批准）→ 批准即同意，不需重复询问（版本仍按 §3 查最新）import 新第三方库，再事后告知net/http 而未经用户同意）在写入版本号之前，Agent 必须先通过官方渠道查询当前最新版本。
actions/checkout 实际 v6 却写 v4）WebSearch 搜索结果中的版本号，未访问官方源确认npm 生态：
npm view <pkg> version # 单一最新版本
bun pm view <pkg> # bun 方式
# 或访问 https://www.npmjs.com/package/<pkg>
Go 模块：
go list -m -versions <module> # 列出所有版本
# 或访问 https://pkg.go.dev/<module>
Python：
pip index versions <pkg>
# 或访问 https://pypi.org/project/<pkg>
Rust：
cargo search <crate>
# 或访问 https://crates.io/crates/<crate>
GitHub Actions：
gh api /repos/<owner>/<repo>/releases/latest --jq .tag_name
# 或访问 https://github.com/<owner>/<repo>/releases
容器镜像：
docker run --rm quay.io/skopeo/stable list-tags docker://<image>
crane ls <image>
# 或访问 Docker Hub / GHCR 的 tags 页面
Helm chart：
helm search repo <chart> --versions
# 或访问 ArtifactHub
Terraform / OpenTofu provider：
https://registry.terraform.io/providers/<ns>/<name>运行时与工具链（Node.js、Java、Python、Go、Bun、Ubuntu 等）：
兜底：以上命令不可用时，用 webfetch 工具或联网检索访问官方 release 页或 changelog；不可直接输出搜索结果摘要中的版本号，必须打开官方页面确认。
除用户特殊声明外，按以下顺序选取版本：
有 LTS 概念的依赖（Node.js、Java、Python、Ubuntu、Spring Boot、Angular 等）：
无 LTS 概念的普通库（绝大多数 npm / Go / Python / Rust 包、GitHub Actions、容器镜像、Terraform provider 等）：
禁止直接选用以下版本：
如确需锁定到非最新版本，必须在 PR 描述或 commit message 中写明：
不写明原因的"莫名锁旧版"应在 review 中被拦回。
为已有项目升级依赖时同样适用本策略，不因"只是升级"而豁免查询：
bun update <pkg> / go get -u <module> / cargo update -p <crate> 等命令执行前应先确认目标版本bun（详见前端规范），不在本 skill 范围内import 变更后必须 go mod tidy（详见 Go 项目规范）在保存任何含版本号的文件前，逐项确认：
本地 ultrareview——多代理、对抗验证、只读的 PR 级 review；默认 base=main；并发 5 个 finder（质量/安全/简洁/鲁棒性/文档同步），每条 🔴/🟡 发现交 3 个独立怀疑视角对抗验证、多数决去留；可选追加本次 review 重点，注入每个 finder 优先关注（不替代其他维度）。触发：/review、给当前分支做深度审查、PR 前 ultrareview。跳过：不在 git 仓库、当前分支=base。
产出修订（诊断→定向修正→回归验证）——对 spec→plan→exec 偏差做根因归类：spec-defect / impl-defect / requirement-change；先诊断再修正、改代码必先 Red 测试、最小影响只改必须改的层；已完成 plan 是历史审计快照禁止回改；启动先 worktree 感知定位修复现场（主仓库停在 main 时自动定位到进行中的 worktree）。触发：/revise、有 bug、结果不对、和预期不符、产出需要优化、review 发现违规需修复。跳过：纯新增需求（→/spec→/plan）、还没有 spec/plan/代码可对照。
本地 ultrareview——跨模型、多代理、对抗验证、只读的 PR 级 review（依赖 Workflow 工具，Claude Code ≥2.1.154）；默认 base=main；并发 6 个 finder（质量/安全/简洁/鲁棒性/文档同步/Codex 跨模型），每条 🔴/🟡 发现交 3 个独立怀疑视角对抗验证、多数决去留；可选追加本次 review 重点，注入每个 finder 优先关注（不替代其他维度）。触发：/review、给当前分支做深度审查、PR 前 ultrareview。跳过：无 Workflow 工具、不在 git 仓库、当前分支=base。
产出修订（诊断→定向修正→回归验证）——对 spec→plan→exec 偏差做根因归类：spec-defect / impl-defect / requirement-change；先诊断再修正、改代码必先 Red 测试、最小影响只改必须改的层；已完成 plan 是历史审计快照禁止回改；启动先 worktree 感知定位修复现场（主仓库停在 main 时自动定位到进行中的 worktree）。触发：/revise、有 bug、结果不对、和预期不符、产出需要优化、review 发现违规需修复。跳过：纯新增需求（→/spec→/plan）、还没有 spec/plan/代码可对照。
Git 开发流程纪律——禁 main 直接提交；新任务前扫工作区根，有 workspace 标记走多 repo 工作区，否则 `question` 工具 询问 worktree（默认）或切分支；worktree 一律落 `~/.bb-spec/worktrees/` 下、禁嵌套当前 repo / 禁放 sibling 目录；本地 commit 不立即 push、整功能验证完才推；合并后清理本地+远程。触发：开始改代码、提到开分支、要求 commit/push/开 PR、PR 合并后清理。跳过：纯咨询/阅读、极小打字纠错。
前端技术栈强制约束——默认 Vue 3 + TS + Vite + Tailwind；bun 是默认包管理器（新项目强制），既有项目跟随 lockfile 不迁移。触发：新建前端项目；编辑 package.json/vite.config/tailwind.config/.vue/.ts/.tsx；用户提到前端/vue/vite/tailwind。跳过：纯后端/CLI/工具项目；用户明确说用 React/Nuxt/Svelte 等。