核心用法
xz01-dev-skill 是 Hermes 与 Claude Code 协作的专用工作流技能，用于围绕用户现有的 OpenClaw/xz01 模板资料进行规范化开发。核心机制包括：
- 严格角色分离：Main（调度/监督）、Dev（Claude Code 编码）、Test（独立验证）、Rule（流程审计）四角色各司其职，禁止角色坍缩
- 只读边界：
/root/.openclaw及其所有子目录为只读学习资料库，禁止写入任何配置、模板、日志、截图、报告或临时文件 - 双端导航强制规则：PC 与移动端顶部导航必须成对处理，均须从现有菜单数据（
get_nav_menu/$vo.name/$vo.href）渲染，禁止硬编码猜测标签或虚构链接 - 视觉验收标准：整页截图 + AI 视觉分析为强制流程，非首屏截图不得作为 PASS 依据
- Karpathy 原则融入：精准修改、目标驱动、避免过度抽象，变更前明确成功标准
开发输出路径：
- 测试产物 →
/www/wwwroot/www.900az.com - 验证通过的模板压缩包 →
/root/.hermes/workspace/xz01/ - 临时脚本 →
/tmp/（禁止写入/root/.openclaw）
显著优点
1. 边界清晰：只读/可写路径、角色职责、前后端分工均有硬规则约束，避免常见越界操作
2. 双端一致性：PC/m 导航同步修复、同步验证，防止单侧遗漏
3. AI 视觉闭环：全页截图 + 分段检查 + AI 复检，降低视觉回归风险
4. Hook 式门禁：预置 xz01-hook-gate.py 支持 pre-dev/post-dev/pre-test/pre-package 等多阶段拦截，可集成至 Claude Code hooks 或 Hermes 工作流
5. 模板级安全：明确禁止模板开发中修改 PHP/Controller/Model/Config，强制主题级（public/themes/<theme>）限定，防止后端污染
潜在局限
- 并发限制：默认强制串行队列，未显式授权时不允许多角色并行执行，可能降低大批量任务吞吐
- 无内置安全扫描：明确排除通用安全扫描需求，需额外接入独立安全流程
- OpenClaw 运行时隔离：Hermes 原生工作流不得直接调用 OpenClaw
flow-controller等运行时机制，需使用delegate_task/ Kanban 等替代方案，迁移成本需评估 - 搜索功能默认禁用：双端搜索框仅保留视觉外壳，功能默认关闭，如需启用需用户显式授权
适合人群
- 使用 Hermes + Claude Code 进行 xz01/OpenClaw 模板开发的团队
- 需要严格分离开发/测试/审计角色、避免单人全栈越界的工作流
- 追求 PC/移动端视觉一致性、需要通过 AI 视觉分析保障 UI 质量的项目
- 具备 Docker 环境、可部署 Lanhu MCP 进行设计稿联动的团队
常规风险
1. 路径误写风险：开发者可能惯性将临时脚本/截图写入 /root/.openclaw，触发门禁拦截或数据污染
2. 角色坍缩风险：Main 可能因紧急需求直接 patch 模板，违反"即使小修也必须走 Dev→Test"规则
3. 缓存失效遗漏：每次增删改后必须清理 /www/wwwroot/www.900az.com/runtime/，遗忘将导致验证通过假象
4. URL 双前缀错误：cmf_url() 可能已返回绝对 URL，重复拼接导致 https://www.900az.comhttps://... 类错误
5. 导航硬编码回退：开发或测试时可能因数据缺失而临时 hardcode 导航标签，需通过门禁和 AI 复检拦截