开发约定

TypeScript严格校验，新增代码避免any；后端使用DTO白名单和Prisma参数化访问，权限检查在服务边界重查。Service方法写有意义单测，Controller核心路径用真实HTTP/守卫验证，覆盖率目标不等同实物验收。

通用设备能力不得按产品ID/名称在后端分叉。产品只注册属性/设置/硬件适配；所有请求明确身份、归属、版本和有效期，失败不能乐观更新状态。模板里残留文件不等于当前可用功能。

提交前检查凭据/构建输出，组件先提交推送，总仓库再锁定子模块指针；具体流程见总仓库git-commit skill。只改文档运行构建与链接检查，有副作用命令先确认目标环境。