PR #102：给 eyrie 仓库装上一整套护栏

守什么：bun 有个安全设计——只有列在根 package.json 的 trustedDependencies 里的包，安装时才允许跑 install/postinstall 钩子。native 模块（node-pty、better-sqlite3 这种带 C++ 编译的）恰恰靠这个钩子编译出 .node 二进制。忘了上白名单 = 钩子被静默跳过 = 二进制缺失 = require() 时崩。最阴的是：你本机有预编译缓存所以全绿，只有需要从源码编译的 ubuntu CI 会红——node-pty 就这么炸过一次。

怎么守：脚本走一遍 node_modules（含嵌套和 @scope），识别所有 install 钩子会触发 native 编译的包（node-gyp / prebuild-install / cmake-js / napi 等模式），逐个核对是否都在白名单里，缺谁报谁。

守什么：Electron 窗口的 webPreferences 是渲染进程的「牢门」——contextIsolation: false、nodeIntegration: true、sandbox: false 任何一个被翻转，页面里的 XSS 就能直接摸到 Node API，升级成本机代码执行。以前只有一个「配置对象长这样」的测试，既抓不住值被翻转，也抓不住新加一个危险 key（webviewTag、enableRemoteModule 这类）。

怎么守：对 apps/desktop/src/main/ 下的源码做文本级匹配——翻转值（如 sandbox: false）和危险 key（无论什么值）出现即红。文本匹配的好处是不依赖配置对象怎么组装。

守什么：describe.skip / it.skip 是「暂时关掉回头再修」的标准起手式，然后就没有回头了——被 skip 的测试在报告里显示为跳过、不算失败，腐烂得无声无息。

怎么守：biome 的 noSkippedTests 升为 error。注意运行时条件跳过仍然合法：describe.skipIf(条件) 这种按环境降级的写法（比如绑不了 loopback 的机器跳过集成套件）不受影响，禁的只是写死的 .skip。

守什么：daemon 集成测试要在 127.0.0.1 上起真服务。测试 harness 的原设计是「绑不了 loopback 就跳过这批测试」——对开发机是贴心降级，对 CI 是灾难：一台网络配置有问题的 CI 机器会静默跳过 29 个集成测试然后报绿，没人知道少测了。

怎么守：CI 的 verify 步骤设 EYRIE_REQUIRE_LOOPBACK=1；这个变量存在时，绑不上 loopback 不再是「跳过」而是直接抛错红掉。本地不设这个变量，降级行为保持不变。

守什么：渲染层的分层规则（shared → entities → features → app 单向依赖）由 eslint-plugin-boundaries 强制。但这个插件有个致命特性：它得先把 import 语句解析成真实文件才能判层，解析器一坏（比如 @/ 别名配置失效），所有边界规则会静默全部通过——不是报错，是假绿。

怎么守：像煤矿里带金丝雀。脚本往真实的 entities/task 目录里丢一个故意违反分层的 fixture 文件（entity import feature），跑 eslint，断言它真的报错，然后删掉 fixture。金丝雀不叫 = 守卫已死 = CI 红。

// An entity importing a feature — the dependency direction the layer rule forbids.
const fixtureSource = `import { Board } from '${illegalImport}'\n…`  // illegalImport = '@/features/tasks'
// 同时踩中 resolver 的两个易坏点：@/ 别名解析 + .tsx 解析——任何一个失效金丝雀都会“不叫”

守什么：knip 是死代码探测器——从每个 workspace 的入口出发做可达性分析，找出没人 import 的文件和 package.json 里声明了却没人用的依赖。此前它只是「可以手动跑跑看」的软信号，现在 knip --include files,dependencies 进了门禁：死文件 = 红，未使用依赖 = 红。落地当天就顺手删掉了一批死掉的终端/shell 模块和 7 个僵尸依赖。

怎么守：注意门禁只收了 files 和 dependencies 两类；「未使用的 export / 类型」不在门禁里——barrel 桶文件的 re-export 天然噪音太大，等清理完 barrel 再说。

守什么：渲染层颜色统一走 rgb(var(--color-x))，token 的真相源是 theme.ts。CSS 变量有个恶心的特性：引用一个不存在的变量不报任何错，颜色直接渲染成透明。这个守卫的起因就是真实事故——两处写成了 var(--ink-faint)（正确是 --color-ink-faint），UI 上那块颜色悄悄消失，build/lint/test 全绿。

怎么守：两条规则。renderer 里出现的每个 var(--…) 必须能在 theme.ts 的 tokenCssVars 或 tokens.css 里找到定义；.css 文件里不许出现字面色值（hex/rgb 裸写——eslint 的同类禁令只覆盖 .ts/.tsx，这里补上 .css 的洞）。那两处事故本体也在本 PR 里修掉了。

守什么：@eyrie/db 里是 Drizzle 表结构和从它推导的数据库行类型（ProjectRow 这类）。这些类型的形状跟着数据库 schema 走，一旦被 CLI、desktop 或 api/client 包直接 import，以后每次改表结构，整条调用链都会跟着抖。架构上早就规定「DB 类型只住 daemon，外面用 @eyrie/api 的 DTO」，但此前没有任何机械检查。

怎么守：boundaries 脚本加一条 import 规则（源码里 import @eyrie/db 即红）+ 一条 manifest 规则（非 daemon app 的 dependencies 里出现它也红）。同一个 commit 里还把「app 源码不许 import @eyrie/daemon」的老规则从写死的 cli/desktop 路径泛化成任意 apps/* 目录自动生效——将来加 apps/web 不需要回来改守卫：

// Matches source dirs of every app except the daemon, so boundary rules cover future apps
// (apps/web, apps/mobile, …) without editing this file again.
const isNonDaemonAppSource = (path) =>
  path.startsWith('apps/') && !path.startsWith('apps/daemon/') && path.includes('/src/')

守什么：monorepo 有个隐形陷阱叫「幻影依赖」——你 import 一个自己 package.json 里没声明的包，恰好因为别的包依赖它、被 hoist（提升安装）到了根 node_modules，于是能跑。直到某天那个「别人」不再依赖它，你的代码原地爆炸，而且没人改过你一行代码。对将来要开源、包边界要自描述的仓库，这是必须堵的洞。

怎么守：每个 import 必须声明在自己 workspace 的 manifest 或根 manifest 里。两个精心设计的豁免（是正确语义，不是开后门）：测试/config/scripts 文件可以用根上声明的共享 dev 工具（vitest 等 183 处测试 import 因此合法——它们永不进出厂产物）；apps/desktop 整体放宽 devDependencies——electron-vite 把 app 全量打包，electron 本体从 src import devDep 是 Electron 生态的标准姿势。没声明在任何地方的包，在哪都会红。

// Discovered at config load so a new workspace inherits the phantom-import rule automatically.
const workspaceDirs = ['apps', 'packages'].flatMap((group) =>
  readdirSync(resolve(import.meta.dirname, group), { withFileTypes: true })
    .filter((entry) => entry.isDirectory())
    .map((entry) => `${group}/${entry.name}`),
)  // 每个 workspace 一个规则块：packageDir = [根, 本 workspace]，新 workspace 自动继承

落地时全仓扫描零违例——manifests 比预想干净（比如 packages/db 对 drizzle-orm 用的是 peerDependencies，正是库的标准姿势，规则默认放行 peer）。

守什么：biome 早就禁了 eval()，但 new Function('x', 'return x') 是功能完全等价的绕路——同样把运行时字符串变成可执行代码，在 Electron 的 main/preload 信任边界里就是现成的远程代码执行入口。当前全仓零使用，规则是纯预防。

守什么：desktop 渲染页的 CSP（内容安全策略，写在 index.html 的 meta 里）是 XSS 和「XSS 升级成本机代码执行」之间的最后一道墙。已有测试只检查「CSP 这块还在」，往 script-src 里加 'unsafe-eval' 或 'unsafe-inline'（两大放水关键词）可以一路绿过。

怎么守：脚本解析 meta 里的策略，断言 script-src 存在、且不含任何 'unsafe-*'。注意只打 script-src——style-src 里的 'unsafe-inline' 是 Tailwind 注入样式需要的，合法保留。

守什么：审计抓到一个现行漂移：本地 packageManager 精确钉在 bun@1.3.14，CI 却写着 bun-version: 1.3.x 浮动——bun 出个有行为差异的 patch，就会出现「本地绿、CI 红」且极难排查的日子。同理，engines.node 以后升了大版本，没人会记得回来改 workflow 里的 node-version。

怎么守：ci.yml 的 bun 版本改成精确 1.3.14（漂移当场修掉）；新守卫脚本断言所有 workflow 的 bun-version 恰好等于 packageManager 的值（不许范围），所有 node-version 的大版本等于 engines.node 的大版本。

守什么：全仓 typecheck 是 bun --filter '*' typecheck 挨个 workspace 调用的。这个命令对没声明 typecheck 脚本的 workspace 静默跳过、照样 exit 0——新建一个 package 忘写这个脚本，它的代码就永远不过 tsc，而所有门禁常绿。

怎么守：凡是 git 里有 .ts/.tsx 源码的 workspace，package.json 必须声明 typecheck。没有源码的配置包（packages/tsconfig）自然豁免——判定标准是「有没有 tracked 源码」而不是写死的名单。（原计划连 test 脚本一起强制，落地时实证推翻：本仓测试由根 vitest 单配置全局 glob 发现，新 workspace 的测试自动被收集，不存在静默跳过的洞，强制反而会逼出三个没人调用的死脚本——所以只守 typecheck。）

守什么：tailwind.config.ts 和 drizzle.config.ts 此前不在任何 tsconfig 的 include 里——tsc 从来没看过它们，里面写出类型错误没有任何工具会发现（eslint 对 config 文件也关了类型感知）。

怎么守：各自加进邻近项目的 include。顺手拆了一颗小雷：packages/db 的 tsconfig 原来写着 rootDir: "src"，在 noEmit 模式下它只剩「限制文件必须在 src 下」这一个作用，恰好挡住 config 进来，删掉了。

守什么：仓库将来开源，源码注释、字符串必须英文（i18n 语言包除外），有专门的 CJK 扫描闸。但闸的扫描范围按扩展名来，漏了 .sql（Drizzle 迁移文件）和 .example（env 示例）——中文注释可以从这两种文件溜进去。改动是正则里加两个扩展名。

守什么：* text=auto eol=lf 这一行是跨平台协作的地基：没有它，Windows checkout 会把文件换行改写成 CRLF，而 .husky/ 下的钩子是 sh 脚本——sh 遇到 \r 直接罢工，整条本地钩子链在 Windows 上静默失效（顺带所有文件的 diff 被换行符污染）。

怎么守：断言文件存在且全局 LF 规则完好（属性顺序、空白宽容；*.bat 保 CRLF 的窄规则不受影响）。

守什么：GitHub Actions 的 workflow 不写 permissions: 块时，拿到的 GITHUB_TOKEN 是默认宽权限——CI 只做 checkout + 跑本地脚本，多出来的权限纯属攻击面（供应链攻击拿到 workflow 上下文时能干的事）。其他 workflow 早已有权限块，只剩 ci.yml 裸奔。

怎么守：顶层 permissions: contents: read，两个 job 都只需要读。

守什么：checkout@v4 / setup-node@v4 跑在 GitHub 正在弃用的 Node 20 action 运行时上，CI 日志一直刷弃用警告。升到 v5（迁到 Node 24 的最小大版本，刻意不冲最新的 v7/v6，减小行为变更面）。setup-bun@v2 已是最新不动。独立成一个 commit，靠 push 后 CI 全绿完成验证——已验证通过。