用途：本文件用于”新项目初始化后”的执行清单。
适用场景：已拿到初版 PRD，需要基于本脚手架快速落地前后端分离 Web 应用。
工具集成：结合 gstack 和 superpowers skill 加速各阶段交付。
工具速查表
| 场景 | Skill 命令 | 说明 |
|---|---|---|
| 会话启动 | /session-start | 初始化编码上下文 |
| 理解代码库 | /understand | 快速摸清项目结构 |
| 脚手架生成 | /scaffold | 生成模块/组件骨架 |
| 产品头脑风暴 | /office-hours | YC Office Hours 模式 |
| CEO 视角评审 | /plan-ceo-review | 产品价值与优先级 |
| 工程评审 | /plan-eng-review | 技术方案可行性 |
| 设计评审 | /plan-design-review | UI/UX 方向把关 |
| 自动规划 | /autoplan | CEO + 工程 + 设计联合评审 |
| 技术图表 | /diagram-expert | ER 图、流程图、架构图 |
| 生成待办 | /create-todos | 从需求自动拆解任务 |
| 智能实现 | /implement | 上下文感知代码生成 |
| AI 辅助编码 | /codex | Codex CLI 代码生成 |
| 代码审查 | /review | PR 合并前质量门控 |
| 测试运行 | /test | 上下文感知测试执行 |
| BUG 调查 | /investigate | 系统化根因分析 |
| 代码健康 | /health | 代码质量仪表盘 |
| 安全扫描 | /security-scan | 静态安全分析 |
| CSO 审查 | /cso | 基础设施安全评估 |
| 安全专家 | /web-security-expert | OWASP Top 10 审计 |
| 前端设计 | /frontend-design | 生产级界面生成 |
| 多方案设计 | /design-shotgun | 并行生成多套设计方案 |
| 设计定稿 | /design-html | 高保真 HTML 产出 |
| 设计评审 | /design-review | 视觉一致性审查 |
| 网页浏览 | /browse | 无头浏览器操作 |
| QA 测试 | /qa | 全链路 QA + 自动修复 |
| 仅报告 QA | /qa-only | 只报告不修改 |
| 性能基准 | /benchmark | 性能回归检测 |
| 进度存档 | /checkpoint | 保存/恢复工作状态 |
| 应用评分 | /score-app | 综合评分报告 |
| 文档更新 | /document-release | 发布后文档同步 |
| 发布流程 | /ship | 检测 + 合并 + 部署 |
| 落地部署 | /land-and-deploy | 合并 PR 并等待部署 |
| 金丝雀监控 | /canary | 上线后实时监控 |
| 周期复盘 | /retro | 工程回顾分析 |
| 安全操作 | /careful | 危险命令二次确认 |
0. 项目初始化与基线校准
目标
完成脚手架复制、命名替换、环境可运行，建立统一开发基线。
输入
- 初版 PRD 文档（放在
doc/specs/或docs/specs/） - 项目代号 / 包名 / 前端标题等基础信息
执行
- 使用本项目初始化新仓库
- 替换后端包名（默认
com.music163.starter）与模块命名 - 替换前端应用名、页面标题、导航文案中的脚手架占位信息
- 按
README.md完成本地启动验证（后端、前端、数据库）
推荐工具
/session-start— 启动编码会话，建立项目上下文/understand— 快速理解脚手架结构与规范/scaffold— 批量生成初始模块骨架/careful— 执行批量替换前开启安全确认模式
产出与验收
- 新项目可在本地启动并访问
- 不再出现 starter/demo 占位文案
- 初始化变更有独立提交（便于追溯）
1. PRD 快速拆解与需求澄清
目标
把 PRD 转成”可开发需求”，识别不明确项并形成待确认清单。
输入
- 初版 PRD
执行
- 提炼核心业务目标（本期必须实现 / 可延期）
- 拆分功能模块（建议按用户旅程或业务域）
- 梳理角色与权限（游客/登录用户/管理员/运营等）
- 梳理关键业务规则（状态流转、配额、时效、幂等等）
- 记录不明确点，形成”待确认问题列表”
推荐工具
/office-hours— 以 YC 合伙人视角审视产品价值与优先级，快速识别核心 MVP/plan-ceo-review— CEO 模式重新审视问题，避免做错方向/create-todos— 将 PRD 自动拆解为结构化任务列表
产出与验收
- 模块列表（包含优先级）
- 待确认问题清单（逐条可跟进）
- 本期范围冻结（MVP 边界明确）
2. 方案设计与阶段计划
目标
明确技术方案、迭代顺序、里程碑和风险应对。
输入
- 阶段 1 输出物
执行
- 输出阶段计划：M1（核心链路）/ M2（增强）/ M3（优化）
- 明确每阶段”功能范围 + 验收标准 + 时间预估”
- 标注关键依赖与风险（第三方系统、跨团队协作、数据迁移等）
推荐工具
/autoplan— 自动触发 CEO + 工程 + 设计三视角联合评审，输出综合方案/plan-eng-review— 工程经理视角审核技术方案可行性与执行顺序/plan-ceo-review— CEO 视角确认里程碑与商业价值对齐/plan-design-review— 设计师视角把关交互路径合理性/diagram-expert— 生成架构图、模块依赖图、时序图
产出与验收
- 分阶段实施计划（可直接执行）
- 每阶段均有可验收结果
3. Spec 驱动设计（先文档后编码）
目标
确保每个模块先有规格，再进入开发。
输入
- 阶段 1 的模块列表
执行
- 每个模块在
doc/specs/新建规格文档 - 使用
doc/templates/module-spec-template.md填写模块规格 - 每个接口使用
doc/templates/api-endpoint-template.md细化请求/响应/错误码 - 评审并冻结 Spec（需求方 + 开发 + 测试）
推荐工具
/plan-eng-review— 评审接口契约合理性，识别遗漏边界条件/diagram-expert— 为 Spec 生成流程图、状态机图、接口交互图/create-todos— 从 Spec 自动生成开发任务清单
产出与验收
- 模块 Spec 覆盖本期全部功能
- 所有接口均有明确契约
- 未确认项不进入编码阶段
4. 数据建模与 DDL
目标
建立稳定的数据结构，避免开发中频繁返工。
输入
- 已评审通过的 Spec
执行
- 设计实体、关系、索引与唯一约束
- 在
doc/sql/编写 DDL（命名遵循项目规范） - 明确字段语义与枚举值，补充注释
- 评审数据模型（开发 + DBA/后端负责人）
推荐工具
/diagram-expert— 生成 ER 图，直观展示实体关系，辅助评审/cso— 从安全视角审查数据模型（敏感字段加密、权限隔离、审计字段）
产出与验收
- DDL 可在本地环境执行通过
- 核心查询路径具备必要索引
- 字段设计满足审计与扩展需求（如
created_at/updated_at/deleted）
5. 后端实现（按 Spec 对齐）
目标
按模块交付后端能力，保证接口契约稳定。
输入
- Spec + DDL
执行
- 按模块开发：Controller / Service / Mapper / DTO / VO
- 统一返回格式与异常处理
- 权限控制接入 Spring Security（不绕过框架）
- 接口文档注解完善（便于联调和验收）
推荐工具
/implement— 上下文感知代码生成，按 Spec 自动实现模块骨架/codex— 辅助生成复杂业务逻辑、SQL、单元测试/test— 自动识别测试框架，运行并修复失败用例/review— 实现完成后做 PR 质量门控/investigate— 接口调试时系统化定位 BUG 根因/health— 查看后端代码质量仪表盘/checkpoint— 完成一个模块后保存进度快照
产出与验收
- 后端接口覆盖 Spec 定义范围
- 关键业务规则有代码层校验
- 新接口可在 API 文档中验证
6. 前端实现与交互完善
目标
完成页面、状态、权限和联调，保证核心用户路径可用。
输入
- 接口契约与 Mock 数据
执行
- 页面与路由实现（列表/详情/创建/编辑等）
- 统一 API 调用、错误处理、加载态处理
- 接入权限控制与路由守卫
- 联调并修复前后端契约差异
推荐工具
/frontend-design— 生成生产级页面组件，包含完整交互状态/design-shotgun— 并行生成多套 UI 方案，快速选型/design-html— 将设计方案转为高保真 HTML 产物/browse— 在无头浏览器中验证页面效果与交互/qa— 全链路 QA 测试 + 自动修复，覆盖主流程与边界场景/design-review— 视觉一致性审查，发现间距/色彩/字体偏差
产出与验收
- MVP 页面流程可端到端走通
- 主流分辨率下布局可用
- 关键交互状态完整（loading/empty/error/success）
7. 质量保障（测试）
目标
建立回归保护，降低后续迭代风险。
输入
- 后端与前端主功能完成
执行
- 后端：单元测试 + Controller 切片测试
- 前端：组件/Hook 测试 + 必要的 E2E 用例
- 覆盖正常流、边界值、异常流、权限流
- 修复阻塞级缺陷后再进入下一阶段
推荐工具
/qa— 系统化 QA 测试，自动发现并修复问题/qa-only— 仅生成问题报告，不自动修改代码（适合评审场景）/test— 运行测试套件，自动修复失败用例/benchmark— 关键接口性能回归检测/investigate— 系统化调查难以复现的 BUG/checkpoint— 每轮 QA 通过后存档，便于回滚
产出与验收
- 核心链路测试通过
- 关键回归场景有自动化测试
- 测试结果可复现、可追踪
8. 非功能检查（安全与性能）
目标
在发布前完成基础安全与性能基线验证。
输入
- 可运行的候选版本
执行
- 安全检查：鉴权、越权、输入校验、敏感信息暴露
- 性能检查：关键接口响应时间、慢查询、前端加载性能
- 记录问题并按优先级闭环
推荐工具
/web-security-expert— OWASP Top 10 2025 系统化安全审计/cso— 基础设施安全评估（网络、容器、配置）/security-scan— 静态代码安全扫描/benchmark— 接口性能基准测试与回归对比/health— 代码质量仪表盘，识别技术债热点
产出与验收
- 无高危安全问题遗留
- 性能指标达到本期目标或有明确优化计划
9. 综合评估与发布准备
目标
在发布前形成”可交付结论”和后续改进清单。
输入
- 需求、实现、测试、非功能检查结果
执行
- 对照 PRD 逐条验收并标记状态（已完成/部分完成/延期）
- 生成项目评分报告
- 更新必要文档（README、部署说明、模块说明）
- 执行发布流程并监控上线状态
推荐工具
/score-app— 生成前后端分离 Web 项目综合评分报告/document-release— 发布后自动同步 README、CHANGELOG、接口文档/ship— 一键检测 + 合并 + 部署，包含前置门控/land-and-deploy— 合并 PR 后等待 CI/CD 完成部署/canary— 上线后实时监控，自动告警异常/retro— 本期工程复盘，生成改进建议
产出与验收
- 发布建议结论（可发布 / 有条件发布 / 暂不发布）
- 遗留问题清单（负责人 + 截止时间）
附：快速使用方式
- 新项目创建后，先完成阶段 0
- 拿到 PRD 后，优先完成阶段 1~3，再进入编码
- 每完成一个阶段，补齐”产出与验收”并提交
- 禁止跳过 Spec 与 DDL 直接大规模编码
Skill 使用建议
# 项目启动
/session-start → /understand → /scaffold
# 需求分析
/office-hours → /plan-ceo-review → /create-todos
# 方案设计
/autoplan（一键触发三视角评审）
或分步：/plan-ceo-review → /plan-eng-review → /plan-design-review
# 编码阶段（每个模块循环）
/implement → /test → /review → /checkpoint
# 前端实现
/design-shotgun（选型）→ /frontend-design（实现）→ /browse（验证）→ /qa（测试）
# 安全审查
/cso → /web-security-expert → /security-scan
# 上线
/score-app → /ship → /canary → /document-release → /retro