添加一家公司

docs/import/reusable/general-development-guidelines.md

@@ -16,6 +16,9 @@
 - 遇到不确定的技术栈、目录、接口契约或数据模型，先确认再继续。
 - 新项目初始化或技术栈升级前，必须检查前端、后端、构建工具、测试工具和运行时版本兼容性。
 - 输出分层结构、目录树、数据模型、字段映射或接口示例时，必须补充中文说明，不能只依赖英文命名表达业务含义。
+- 软件开发默认从简单到复杂；第一版优先实现可运行、可验证的功能闭环，不为假想未来提前引入复杂架构或大而全抽象。
+- 高级安全、高并发、性能、完整可观测性和复杂扩展性可以后续迭代；基础安全底线必须从第一版保留，包括 Secret 管理、基础权限边界、输入校验、敏感日志控制、数据隔离和错误响应脱敏。
+- 如果把某些加固能力后置，必须在 Spec、Project State 或任务输出中明确记录，不能让后续 agent 误判为已经完成。
 
 ## 3. 分支与提交
 
@@ -57,6 +60,8 @@
 
 项目各功能模块必须保持低耦合、高内聚和高可维护性。新增功能时，应先明确模块边界、输入输出、依赖方向和验收标准，再开始实现。
 
+第一版实现应保持结构清晰但不过度设计：只抽取已经有真实重复或稳定语义的公共能力，不为了“未来可能需要”提前建立复杂框架。后续扩展点应通过清晰模块边界、接口契约和测试保护，而不是通过难以理解的通用模型堆叠。
+
 落地要求：
 
 - 每个模块只负责一个清晰业务能力。
@@ -86,7 +91,7 @@
 - 外部系统通过 Port / Adapter 隔离，业务层不直接依赖厂商 SDK 或外部 DTO。
 - 数据库变更必须可追踪；已发布 migration 不直接修改。
 - 新项目建表前必须明确数据库字符集和 collation 策略；MySQL 项目默认建议使用 `utf8mb4_bin`，避免外部 ID、Token、哈希、状态码或业务代码因大小写不敏感而误判。
-- 写接口要考虑幂等、并发版本、审计、失败恢复和脱敏。
+- 第一版写接口必须保留输入校验、权限边界、错误脱敏和 Secret 不泄露；幂等、并发版本、审计、失败恢复等能力按业务风险决定当前实现深度，并在后置项中记录未完成边界。
 
 Java 后端代码默认参考 Alibaba Java Coding Guidelines。可复用摘要见 `docs/import/reusable/alibaba-java-coding-guidelines-summary.md`。
 
@@ -124,6 +129,7 @@ Java 后端代码默认参考 Alibaba Java Coding Guidelines。可复用摘要
 - 不假装测试通过。
 - 优先做小的可验证闭环，再逐步扩展业务能力。
 - 高风险改动需要补充更接近真实使用路径的测试。
+- 如果本版本只覆盖功能闭环，必须说明尚未覆盖的高并发、安全加固、性能或可观测性验证范围。
 
 ## 12. Agent 协作规则