pm-skills /document-app实战逆向工程代码库生成系统文档的完整演示【免费下载链接】pm-skillsPM Skills Marketplace: 100 agentic skills, commands, and plugins — from discovery to strategy, execution, launch, and growth.项目地址: https://gitcode.com/GitHub_Trending/pm/pm-skillspm-skills 是一个开源 AI 技能市场汇集 100 智能体技能与斜杠命令。其 AI Shipping Kit 插件提供的/document-app命令可对 AI 生成的代码库vibe-coded app做逆向工程以代码为唯一事实来源自动产出架构、权限、流程等系统文档让项目变得可评审、可审计。本文通过一次完整演示带你从零跑通这个文档生成流程。一、为什么 AI 生成的项目更需要系统文档AI 代理写代码很快但它从不留下意图记录系统应该做什么谁被允许做什么角色与权限密钥和敏感配置放在哪里哪些规则真的被测试验证过没有这份记录无论是人类评审员还是审计代理都无法判断代码能否安全上线。通用扫描器linter只能检查代码内部是否自洽无法回答代码是否做了你想做的事——因为它们没有意图模型。/document-app正是为此而生它把代码当作唯一事实来源source of truth逆向生成一份诚实的系统地图描述这个系统本身而不是抄一份通用模板。整个插件的定位和设计细节见 pm-ai-shipping/README.md。 记住一句话这些文档是后续每一次安全/性能审计的意图基线——没有基线审计无从谈起。二、/document-app 来自哪里AI Shipping Kit 插件pm-skills 包含 9 个插件覆盖产品发现、策略、执行、调研、分析、GTM、营销增长、工具包与 AI 交付。/document-app属于其中的pm-ai-shippingAI Shipping Kit专为对 AI 所写代码负责的 PM 和创始人设计类型名称作用技能shipping-artifacts定义可评审文档集核心文档 条件文档规定每份文档必须捕获什么技能intended-vs-implemented找出文档声称与代码实际之间的差距的方法命令/document-app逆向工程代码库生成系统文档本文主角命令/derive-tests把文档规则转化为测试覆盖地图命令/security-audit-static基于信任边界的静态安全审计命令/performance-audit-static发现过度取数、缺失索引、缓存机会命令/ship-check串联以上所有步骤产出交付包shipping packet三、安装步骤两种入口任选其一入口 AClaude Cowork适合非开发者打开左下角Customize进入Browse plugins→Personal→ 点选择Add marketplace from GitHub输入phuryn/pm-skills9 个插件一次性装好入口 BClaude CodeCLI# 第一步添加市场 claude plugin marketplace add phuryn/pm-skills # 第二步只装本文用到的插件 claude plugin install pm-ai-shippingpm-skills建议整包安装插件而不是单挑技能——一个工作流通常依赖多个一起发布的技能。四、/document-app 完整实战演示4.1 调用方式指定范围越精准越好/document-app # 不给参数 → 文档化整个仓库 /document-app supabase/functions # 指定目录 /document-app the backend # 甚至可以用自然语言指定区域不指定范围时命令会优先审计后端代码、认证、数据访问、后台任务和一切发送/调度/暴露数据的部分。4.2 第 1 步确定范围Scope命令解析你的参数后把目标区域的代码当作唯一事实来源开始阅读——不是问你的记忆而是读代码本身。4.3 第 2 步逆向工程生成文档到 /documentation/这一步应用shipping-artifacts技能完整规范见 pm-ai-shipping/skills/shipping-artifacts/SKILL.md产出分两类核心文档每个应用必有4 份文档捕获内容评审员怎么用architecture.md系统概览、技术栈、认证流、信任边界、已知风险索引根文档其余文档都从这里交叉引用flows.md每个受保护步骤的授权检查、信任边界穿越、副作用静态权限矩阵看不到的运行时视图permissions.md角色、scope 推导、资源×操作×角色矩阵、RLS 与代码强制的分工访问控制审计的对照基线variables.md配置与密钥映射到风险等级和轮换计划事故响应时的密钥泄露面清单条件文档有该能力才写没有就一行带过文档触发条件emails.md应用会发交易/自动邮件cron.md存在定时或后台任务seo.md存在公开/可被爬虫索引的路由automation.md内嵌 AI 代理、LLM 工作流或 Webhook⚠️ 反 PRD 规则不触碰权限、数据完整性、资金、隐私的普通功能流程不写进flows.md——这是安全/运维地图不是功能说明书。另外注意测试覆盖地图tests.md不在此处生成它由/derive-tests从其他文档推导而来。4.4 第 3 步汇报Report命令会总结创建/更新了哪些文档跳过了哪些条件文档、为什么哪些地方代码模糊到无法自信地写文档——这些缺口本身就是第一优先级修复项4.5 第 4 步给出下一步建议演示结束时命令会主动提出后续动作按需执行即可 需要我推导测试覆盖地图/derive-tests给每条已记录规则配一份验证计划吗 意图已记录是否立即运行安全审计⚡ 要不要检查性能问题过度取数、缺索引、缓存 是否运行/ship-check串联全部流程产出完整的交付包完整工作流定义可查阅 pm-ai-shipping/commands/document-app.md。五、生成的文档写给谁看文档刻意写给两类读者人类评审员以及下一个接手代码的 AI 编码代理。因此它粗暴地诚实——目标是准确的地图而不是一张健康证明书。文档齐备后intended-vs-implemented技能就能发挥作用文档说admin only代码里真的处处强制了吗注释写着 validated elsewhere能拿出文件与行号证据吗这正是通用扫描器发现不了的那一类缺陷方法细节见 pm-ai-shipping/skills/intended-vs-implemented/SKILL.md ——正确路径为 pm-ai-shipping/skills/intended-vs-implemented/SKILL.md。六、实战技巧与常见误区✅从子目录开始大型仓库先用/document-app supabase/functions验证效果再对整个仓库运行✅让缺口暴露出来代码写得太乱、无法文档化的部分恰恰是最该先修的地方❌不要伪造内容某能力不存在时命令只会写一行无此能力而不是发明一份空文档——评审可信度来自诚实的地图❌不要把文档当 PRD这些是系统地图描述现状而非愿景通用理论一概不进跑完/document-app后建议接着执行/ship-check定义见 pm-ai-shipping/commands/ship-check.md文档 → 安全审计 → 性能审计 → 测试地图 → 一份可供人类签核的 Shipping Packet。市场整体结构与更多命令示例见根目录 README.md。总结/document-app的价值不止是生成文档——它把 AI 写代码时丢失的意图记录补了回来让/security-audit-static、/derive-tests、/ship-check这条交付链路有了可对照的基线。装好 pm-ai-shipping 插件对着你的仓库敲下/document-app十分钟后你就拥有一套评审员和下一位 AI 代理都能读懂的系统文档。【免费下载链接】pm-skillsPM Skills Marketplace: 100 agentic skills, commands, and plugins — from discovery to strategy, execution, launch, and growth.项目地址: https://gitcode.com/GitHub_Trending/pm/pm-skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考