# 外部规范资料索引

本页收集与“非技术人员借助 AI 开发，并将成果交付研发团队”相关的一手标准、官方指南和公开实践。它是进一步阅读的索引，不是对目标项目自动生效的规则。采用前应核对原文的最新版本、产品场景和目标项目约定；不要整套复制检查表。

调研时间：2026 年 10 月。

## 从需求到 Agent 开发

| 来源 | 值得阅读的内容 | 与本库的关系 |
| --- | --- | --- |
| [GOV.UK Service Standard](https://www.gov.uk/service-manual/service-standard) | 从用户需求出发，覆盖可用性、安全、成功指标和服务运行。政府服务的制度要求不能直接套用到一般产品，但它提醒开发任务要有可验证的用户结果。 | 可用于补充任务定义与交付验收；本库目前更多聚焦工程实现。 |
| [AGENTS.md 开放格式](https://agents.md/) | 给编码 Agent 一个可预测的仓库级入口，记录构建、测试和项目约定。 | 对照 [`AGENTS.md` 项目规范](../../engineering/workflow/agents-md-standard.md)；本库的具体模板仍以目标项目事实为准。 |
| [GitHub Copilot 自定义指令支持范围](https://docs.github.com/en/copilot/reference/custom-instructions-support) | 不同环境支持的指令文件类型不完全相同，不能假设 Agent 都会自动读取同一个入口。 | 支持在接入指南中明确：需把站点入口交给 Agent，并确认其能访问原文。 |
| [GitHub Awesome Copilot](https://github.com/github/awesome-copilot) | 社区贡献的指令、Agent 和 Skill 示例，可观察实际写法与组织方式。 | 仅作样例库；具体内容需逐条审阅，不把社区示例当作标准。 |

## 可交付的工程实现

| 来源 | 值得阅读的内容 | 与本库的关系 |
| --- | --- | --- |
| [The Twelve-Factor App](https://12factor.net/) | 依赖声明、配置与代码分离、构建／发布／运行分离、开发与生产环境关系。主要针对服务型应用。 | 对照[项目蓝图](../../engineering/scaffolds/project-blueprint.md)与[工程边界](../../engineering/scaffolds/engineering-boundaries.md)；纯静态项目不必套用全部要素。 |
| [Azure Well-Architected：运营卓越检查表](https://learn.microsoft.com/en-us/azure/well-architected/operational-excellence/checklist) | 可重复部署、可观测性、测试、故障处理和安全发布的审阅问题。 | 可作为研发接手时的提问清单；云平台方案和大型团队流程不应成为小项目的默认要求。 |
| [OpenAPI Specification](https://spec.openapis.org/oas/) | 用机器可读的描述约定 HTTP API，使人和工具都能理解接口。 | 有真实跨团队 API 交付时可参考；没有独立 API 契约时不必先建规范文件。 |
| [Google Engineering Practices](https://google.github.io/eng-practices/) | 代码审查与可审阅变更的公开指南。 | 对照[团队 Git 协作](../../engineering/workflow/team-git-collaboration.md)和[可读代码](../../engineering/backend/readable-code.md)；审查流程按团队实际规模调整。 |

## 安全与供应链

| 来源 | 值得阅读的内容 | 与本库的关系 |
| --- | --- | --- |
| [OWASP ASVS](https://owasp.org/projects/asvs) | Web 应用安全控制与验收要求，比只看常见风险清单更适合选择可测试的安全要求。 | 本库尚缺一篇按身份、授权、输入、数据保护等主题组织的安全基线；应按产品风险挑选条目。 |
| [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/) | 对认证、会话、访问控制、注入防护等具体问题给出开发指导。 | 适合在写安全基线时链接到对应专题，避免复制大量可能过时的做法。 |
| [NIST SSDF](https://csrc.nist.gov/pubs/sp/800/218/final) | 安全开发流程的高层框架，覆盖准备、保护、生产和漏洞响应。 | 适合检查交付过程是否遗漏安全责任；不直接当作逐项编码规则。 |
| [SLSA 规范](https://slsa.dev/spec/v1.2/) | 软件构建来源与供应链完整性的分级模型。 | 只有在发布来源、构建产物可信性成为真实问题时再深入；不为一般小项目预建证明体系。 |

## 性能、可靠性与界面

| 来源 | 值得阅读的内容 | 与本库的关系 |
| --- | --- | --- |
| [web.dev Core Web Vitals](https://web.dev/articles/vitals) | 用 LCP、INP、CLS 观察网页加载、交互和视觉稳定性，并按真实访问数据评估。 | 可给[性能研发规范](../../engineering/performance/performance-principles.md)中的网页任务提供衡量方法；接口和后台任务仍需另定指标。 |
| [Google SRE：实施 SLO](https://sre.google/workbook/implementing-slos/) | 从用户体验出发选择服务指标和目标，避免只有内部机器指标。 | 适用于已有在线服务及运行数据时；新项目先确认关键路径和基本健康检查。 |
| [WCAG 2.2](https://www.w3.org/TR/WCAG22/) | 可测试的网页无障碍成功准则，包括键盘操作、焦点、对比度和表单反馈。 | 本库已有局部无障碍要求，但缺少覆盖完整用户任务的检查入口。 |
| [GOV.UK Design System](https://design-system.service.gov.uk/) | 组件与任务模式同时说明使用场景、内容和错误处理。视觉样式针对 GOV.UK 服务。 | 借鉴交互与表单模式的验证方法，不复制品牌色、组件外观或政府身份要求。 |
| [Diátaxis](https://diataxis.fr/) | 按教程、操作指南、参考和解释区分文档读者的不同需求。 | 对照[工程文档体系](../../engineering/workflow/documentation-system.md)；只有资料查找出现实际困难时才调整目录结构。 |

## 本库下一步值得补的内容

1. **安全基线**：针对常见产品功能，写清身份、授权、输入、秘密与数据保护的最小可验证要求；以 ASVS 选要求，用 Cheat Sheet 解释实现方法。
2. **研发接手检查**：围绕真实启动、环境配置、数据库迁移、关键路径、性能基线和已知限制给出简短交付清单；复用现有项目蓝图与性能文章，不另建发布平台。
3. **无障碍检查**：从完整任务检查键盘操作、焦点、表单错误与对比度，链接 WCAG 原文；不要只检查颜色数值。

外部资料的内容和版本会变化。更新本库规范时重新核对对应原文、记录适用范围，并优先修改已有文章；本页保留为来源索引。