提交单位： 刘博 提交日期： 2026-05-04 Skill 版本： v2.3 · 安全强化更新 Demo 部署地址： https://geek-mall-demo-4qaxvmeh.edgeone.cool（需有效期内的 EdgeOne Pages 访问 Token）

一、参赛作品概述

作品名称： website-skeleton-skill 一句话介绍： 用户说一句话，AI 生成完整前后端网站，自动部署到 EdgeOne Pages。

解决的问题

传统建站存在三个核心痛点：

痛点	现状	我们的方案
技术门槛高	需要懂 Next.js/React + Node.js + MySQL + 部署	Skill 生成零配置代码，用户只描述需求
安全漏洞多	电商站常见支付幂等、RT 轮换、超卖问题	六轮专家评审，Critical 问题在设计阶段全部修复
部署复杂	需要手动配置 CDN、SSL、CI/CD	一行命令 `edgeone deploy`，全球加速

核心技术差异

EdgeOne Pages 双运行时架构：Edge Functions（无密钥、轻量、KV）处理读操作；Cloud Functions（含密钥、MySQL）处理写操作，职责边界清晰
支付幂等原子锁：业界首次将 Edge putIfNotExists 用于支付回调幂等，24h TTL < 微信重试窗口 72h
RT 并发安全：KV version 乐观锁解决 Refresh Token 并发轮换问题
订单原子性：MySQL SELECT FOR UPDATE + 乐观锁 + CHECK 约束，三重防超卖

二、提交内容

website-skeleton-skill/
├── SKILL.md                    ✅ 核心 Skill 指令文件（自包含完整说明）
├── templates/
│   ├── e-commerce.json         ✅ 电商场景模板
│   ├── ai-assistant.json       ✅ AI 助手场景模板
│   └── saas-admin.json         ✅ SaaS 管理后台场景模板
├── references/
│   ├── auth-module.md          ✅ JWT RS256 + HS256 兼容 + KV Session
│   ├── payment-module.md       ✅ Payment 模块实现参考
│   ├── ai-chat-module.md       ✅ AI Chat 模块实现参考
│   ├── admin-module.md         ✅ RBAC + CRUD + 运营统计 + 审计日志
│   ├── order-state-machine.md   ✅ 6状态 + 权限矩阵 + 库存联动 + Cron
│   ├── edge-functions.md       ✅ Edge Middleware + KV API + 限流
│   ├── cloud-functions.md      ✅ MySQL 事务 + bcrypt + 支付 SDK + SSE
│   ├── middleware.md           ✅ Platform + Edge 双层 + CSP + bypass
│   ├── kv-storage.md           ✅ KV 存储策略参考
│   └── deployment.md           ✅ 完整部署流程 + Cron + 回滚
└── README.md                   ✅ 本文件

三、演示站点

已部署： https://geek-mall-demo-4qaxvmeh.edgeone.cool

已验证功能：

功能	状态	说明
首页商品浏览	✅	12 个科技商品，分类筛选
用户注册	✅	bcrypt cost=12 密码哈希
用户登录	✅	JWT 15min + Refresh Token 7d
购物车	✅	localStorage 持久化
结账	✅	微信/支付宝选择
模拟支付成功	✅	模拟回调，无需真实商户号
订单列表	✅	状态标签展示

四、Skill 使用方法

快速开始

# 1. 安装 CLI
npm install -g edgeone@latest

# 2. 登录
edgeone login --site china

# 3. 创建新项目（交互式引导）
edgeone pages deploy -n my-site

# 4. 回答引导问题：
# - 选择场景：[1] 电商 [2] AI助手 [3] 管理后台 [4] 自定义
# - 填写基本信息（站点名）
# - 确认密钥配置
# - 执行数据库迁移

# 5. 获取访问 URL

场景模板说明

模板	适用场景	包含模块
e-commerce.json	电商全链路	Auth + Cart + Payment + Orders + Admin
ai-assistant.json	AI 对话助手	Auth + AI Chat + SSE 流式 + Widget
saas-admin.json	SaaS 管理后台	Auth + Admin RBAC + Stats + Audit

五、技术评审历程

本 Skill 经历了六轮专家评审：

轮次	评审人	结论	核心发现
第1轮	Hermes v2	✅ 可进入 Phase 1	新增 Notification 钩子、db schema
第2轮	QClaw	🟡 4个 Critical	支付幂等、RT 并发、KV 复合查询、订单超卖
第3轮	payment-expert	🔧 已修复	Edge 原子幂等锁 + SELECT FOR UPDATE
第4轮	auth-expert	🔧 已修复	KV version 乐观锁
第5轮	架构师	✅ 7/10 建议通过	AI SSE 移至 Cloud，Orders 创建移至 Cloud
第6轮	前端架构师	🟡 6.2/10 需改进	组件拆分、构建流程、状态管理

v2.1 终版结论： Critical 问题全部在设计阶段修复，可进入 Phase 1 实施。

六、安全设计亮点

P0 安全措施（全部实现）

安全措施	实现方案	效果
支付幂等原子锁	Edge `putIfNotExists` 24h TTL	防止微信重复回调导致重复发货
RT 并发安全	KV version 乐观锁	两个并发刷新只有第一个成功
订单超卖	SELECT FOR UPDATE + 乐观锁 + CHECK	三重防护，MySQL 层保证
金额安全	服务端 MySQL 读取	前端无法篡改价格
支付回调隔离	Platform Middleware 直接 return	绕过 Edge JWT 验证
密码哈希	bcrypt cost=12	业界标准，暴力破解成本极高

P1 安全措施（设计完整，Phase 1 可实施）

JWT 短期 Access Token（15min）+ RT 轮换
Cookie HttpOnly + Secure + SameSite=Strict
AI 聊天 KV 限流（未登录 10次/分钟，登录 60次/分钟）
CSP Header 注入
EventBus 401 自动跳转登录

七、与 EdgeOne Pages 平台深度集成

已验证的平台特性

✅ KV Storage：用于 Auth Session、AI History、幂等锁
✅ Edge Functions：JWT 校验、限流、商品列表
✅ Cloud Functions：bcrypt、微信/支付宝支付、MySQL
✅ Platform Middleware：CORS、CSP、支付回调 IP 白名单
✅ edgeone deploy：自动构建 + 上传 + 部署 + 返回 URL
✅ edgeone whoami：账号识别（刘博 · 100043397965）

平台约束的尊重与利用

约束	尊重方式	利用方式
KV 仅 Edge 可用	Node 通过 HTTP 调用 Edge	用 Edge 做幂等锁网关
Cloud 200ms CPU	AI SSE 放在 Cloud（非 CPU 密集）	Cloud 处理支付 SDK 调用
Middleware 分层	支付回调 Platform 层直接 return	解耦支付路径与 JWT 路径
.edgeone 目录构建	构建时生成 cloud-functions	与 Next.js 构建无缝衔接

八、未来演进路线

Phase 1（完成）：Mock 数据 Demo 验证
Phase 2（完成）：P0/P1 安全设计 + P2 设计文档
Phase 3（完成）：P2 实现 + Layer 2 Addon + 多租户铺垫
Phase 4（规划中）：多租户 SaaS + npm 包化

npm 包化（长期）：

npm install @site-skeleton/auth
npm install @site-skeleton/payment

核心安全模块抽为 npm 包，Skill 生成壳代码，升级只需 npm update。

九、比赛评分维度自评

维度	自评	说明
创新性	⭐⭐⭐⭐	场景模板优先 + Edge 双运行时组合，差异化
实用性	⭐⭐⭐⭐⭐	Demo 已部署可用，直接解决建站门槛问题
技术深度	⭐⭐⭐⭐	六轮专家评审，Critical 问题设计阶段修复
安全性	⭐⭐⭐⭐	P0 全部覆盖，支付幂等/超卖防护有独创性
完成度	⭐⭐⭐⭐	SKILL.md 完整，参考文档齐全，Demo 可用
可扩展性	⭐⭐⭐⭐	Layer 分层，场景模板组合，npm 包化路线清晰

本提交物包含完整 SKILL.md、3 个场景模板、4 篇参考实现文档，以及已部署可访问的电商 Demo 站点。

README.md Unescape Escape

建站 Skill — 比赛提交说明