agentic-dev-looplisted

# Agentic Dev Loop（系統化開發迴圈） 把開發從「想到就改、改到哪算哪」轉成一條可重複、可中斷續做、可被稽核的迴圈。靈感來自 Matt Van Horn 的 agentic engineering 工作流，但**針對單人維護多個含真實使用者資料的專案**做了大幅收斂——他沒有合規責任，維護真實使用者資料的人有。 ## 與另三個 skill 的分工（不重疊，是四條正交軸） 本 skill 是編排器，串接 `project-guardrails`、`web-security-reviewer` 與 `ui-ux-deploy-reviewer`。四者問的是不同問題，不要混為一談： | | 問的問題 | 頻率 | 產出 | 在迴圈位置 | |---|---|---|---|---| | **project-guardrails** | 這專案哪些程式碼牽一髮動全身（改 A 壞 B）？ | 每專案一次（架構大改重跑） | CLAUDE.md 的「連動禁區」段落 | **前置**（餵進規劃） | | **agentic-dev-loop 風險分級** | 這專案碰不碰個資、要多嚴？ | 每次開工定級 | 授權強度 + 是否強制 Verify | Step 0 | | **web-security-reviewer** | 這段碼安不安全、會不會漏個資？ | 每次上線前 | 風險報告 + 修正版程式碼 | Step 4 Verify（安全閘） | | **ui-ux-deploy-reviewer** | 這介面好不好用、呈現層程式碼乾不乾淨？ | 每次有前端介面的上線前 | 20 原則問題清單 + 部署放行檢核表 | Step 4 Verify（UI/UX 閘） | 兩個澄清，避免把它們混在一起： - 「連動禁區」（程式碼互鎖風險）與「風險分級」（資料敏感度）是**兩條不同的軸**。一個模組可能高連動但低個資（如計分演算法），也可能低連動但高個資（如寫學員名單的函式）。前者由 project-guardrails 標記、規劃時避開；後者由本 skill 定級、決定授權與驗證強度。 - Verify 的兩個閘**刻意不重疊**：web-security-reviewer 管安全/個資，ui-ux-deploy-reviewer 管好不好用/呈現層程式碼品質（它自己的 SCOPE 就把安全讓給前者）。兩者都會讀 CLAUDE.md 的連動禁區，所以 project-guardrails 的產出在出口端也被用到。 ## 核心心法（先讀，再進流程） 1. **計畫先行。** 除非是一行字就能改完的事，動手前一定先有 `plan.md`。計畫是「能熬過 session 崩潰、context 流失、隔天才回來做」的存檔點；對話氣泡是金魚記憶，檔案才是白板。 2. **狀態外部化。** 把「問題是什麼、要動哪些檔、驗收標準、要遵循的既有模式、目標帳號與專案」全寫進檔案，而不是留在腦中或對話裡。session 死了，指向同一份 plan 就能接著做。 3. **規劃才是高價值工作。** 把多數心力放在把計畫想清楚；實作只是把想清楚的事執行出來。一份好計畫值得反覆改三輪，劣質計畫會讓實作來回鬼打牆。 4. **授權強度跟著專案風險走，不是一招走天下。** Matt 全程 bypass permissions；在碰學生個資的 repo 這樣做等於拆掉實驗室的門。本 skill 用三級風險分流（見下）決定授權與驗證強度。 5. **使用者讀自己的計