Claude Code Subagents 與 Plan Mode：智能協作新紀元

---
name: architecture-planner
description: 架構設計規劃專家，用於分析現有程式碼架構並提出改進計畫
model: sonnet
disallowedTools: [Write, Edit, Bash, NotebookEdit]
---

# 架構設計規劃專家

你是軟體架構規劃專家，專注於分析現有程式碼架構並提出改進方案。

## 分析重點

### 1. 架構模式識別
- 辨識目前使用的架構模式（MVC、MVVM、Clean Architecture 等）
- 評估模式實施的完整性和一致性
- 找出偏離標準模式的地方

### 2. 依賴關係分析
- 繪製模組間的依賴關係圖
- 識別循環依賴
- 評估耦合度和內聚度
- 找出違反依賴倒置原則的地方

### 3. 可擴展性評估
- 分析系統的水平擴展能力
- 評估垂直擴展的限制
- 識別潛在的瓶頸點
- 評估微服務化的可行性

### 4. 程式碼組織
- 評估目錄結構的合理性
- 檢查模組劃分的清晰度
- 分析檔案大小和複雜度分佈
- 識別需要重構的區域

## 輸出格式

### 現況分析
\```markdown
## 架構現況

### 採用的模式
- 主要模式：[模式名稱]
- 實施程度：[百分比]
- 優點：
  - [優點1]
  - [優點2]
- 缺點：
  - [缺點1]
  - [缺點2]

### 依賴關係圖
\```mermaid
graph LR
    A[模組A] --> B[模組B]
    B --> C[模組C]
    C --> A
    style C fill:#ff6b6b
\```
（標示循環依賴為紅色）

### 問題清單
1. **循環依賴** (Critical)
   - 位置：模組A <-> 模組C
   - 影響：難以測試和維護

2. **高耦合** (Major)
   - 位置：模組B
   - 影響：修改成本高
\```

### 改進建議
\```markdown
## 重構計畫

### 短期改進（1-2 週）
1. 解決循環依賴
   - 步驟1：建立介面層
   - 步驟2：注入依賴
   - 預期效果：提升可測試性

2. 抽取共用邏輯
   - 目標：減少重複程式碼 30%
   - 方法：建立共用工具模組

### 中期改進（1-2 月）
1. 實施分層架構
   - Presentation Layer
   - Business Logic Layer
   - Data Access Layer

2. 引入依賴注入容器
   - 工具建議：[具體工具]
   - 預期效果：降低耦合度

### 長期願景（3-6 月）
1. 微服務化可行性評估
   - 候選服務：[列表]
   - 數據隔離策略
   - API 閘道設計

## 風險評估
- 重構風險：[高/中/低]
- 建議策略：[增量重構/大爆炸重構]
- 測試要求：[具體要求]
\```

{
  questions: [
    {
      question: string;           // 完整的問題文字
      header: string;             // 簡短標籤（最多 12 字元）
      multiSelect: boolean;       // 是否允許多選
      options: [
        {
          label: string;          // 選項顯示文字（1-5 個字）
          description: string;    // 選項詳細說明
        }
      ];  // 2-4 個選項
    }
  ];  // 1-4 個問題
}

{
  questions: [
    {
      question: "這個 API 應該使用哪種認證方式？",
      header: "認證方式",
      multiSelect: false,
      options: [
        {
          label: "JWT",
          description: "JSON Web Token，適合無狀態認證，支援分散式系統"
        },
        {
          label: "OAuth 2.0",
          description: "業界標準，適合第三方登入和授權委派"
        },
        {
          label: "Session",
          description: "傳統 session-based 認證，簡單但需要狀態管理"
        },
        {
          label: "API Key",
          description: "簡單的 API 金鑰認證，適合內部服務或簡單場景"
        }
      ]
    }
  ]
}

{
  questions: [
    {
      question: "這個功能需要實作哪些額外功能？",
      header: "額外功能",
      multiSelect: true,  // 允許多選
      options: [
        {
          label: "快取機制",
          description: "使用 Redis 實作快取，提升查詢效能"
        },
        {
          label: "速率限制",
          description: "防止 API 濫用，保護系統穩定性"
        },
        {
          label: "審計日誌",
          description: "記錄所有操作，滿足合規要求"
        },
        {
          label: "資料驗證",
          description: "使用 JSON Schema 驗證輸入資料"
        }
      ]
    }
  ]
}

{
  questions: [
    {
      question: "選擇資料庫類型",
      header: "資料庫",
      multiSelect: false,
      options: [
        { label: "PostgreSQL", description: "關聯式資料庫，ACID 保證，支援 JSON" },
        { label: "MongoDB", description: "文件導向資料庫，靈活的 schema" },
        { label: "MySQL", description: "成熟的關聯式資料庫，生態系統完整" }
      ]
    },
    {
      question: "選擇 ORM/ODM 工具",
      header: "資料存取",
      multiSelect: false,
      options: [
        { label: "Prisma", description: "現代 TypeScript ORM，型別安全" },
        { label: "TypeORM", description: "功能完整的 ORM，支援多種資料庫" },
        { label: "Mongoose", description: "MongoDB ODM，schema 驗證" },
        { label: "原生查詢", description: "直接使用資料庫驅動，最大彈性" }
      ]
    },
    {
      question: "需要實作哪些功能？",
      header: "功能需求",
      multiSelect: true,
      options: [
        { label: "全文搜尋", description: "使用 Elasticsearch 或資料庫全文索引" },
        { label: "即時通知", description: "WebSocket 或 Server-Sent Events" },
        { label: "檔案上傳", description: "支援大檔案上傳和處理" }
      ]
    }
  ]
}

{
  questions: [
    {
      question: "這個系統的主要使用場景是什麼？",
      header: "使用場景",
      multiSelect: false,
      options: [
        {
          label: "內部管理系統",
          description: "公司內部員工使用，需要高安全性和權限管理"
        },
        {
          label: "公開 Web 應用",
          description: "一般使用者註冊使用，需要支援社群登入"
        },
        {
          label: "Mobile App API",
          description: "行動應用後端，需要 token 刷新機制"
        },
        {
          label: "微服務間認證",
          description: "服務間的相互認證，需要服務身份驗證"
        }
      ]
    },
    {
      question: "需要支援哪些登入方式？",
      header: "登入方式",
      multiSelect: true,
      options: [
        {
          label: "帳號密碼",
          description: "傳統的使用者名稱/Email + 密碼登入"
        },
        {
          label: "社群登入",
          description: "Google、Facebook、GitHub 等第三方登入"
        },
        {
          label: "雙因素認證",
          description: "2FA/TOTP 提供額外安全層"
        },
        {
          label: "生物辨識",
          description: "指紋、臉部辨識等（需要前端支援）"
        }
      ]
    },
    {
      question: "對於安全性的要求等級？",
      header: "安全等級",
      multiSelect: false,
      options: [
        {
          label: "基本安全",
          description: "密碼雜湊、HTTPS，適合一般應用"
        },
        {
          label: "強化安全",
          description: "包含 2FA、密碼政策、登入監控"
        },
        {
          label: "金融級安全",
          description: "符合 PCI DSS、加密通訊、完整審計追蹤"
        }
      ]
    }
  ]
}

# 使用者認證系統實作計畫

## 架構概述
基於回答，我將實作一個適合公開 Web 應用的認證系統，支援：
- 本地帳號密碼登入
- OAuth 2.0 社群登入（Google、GitHub）
- JWT token 認證
- 密碼強度驗證和暴力破解防護

## 技術棧
- 後端框架：Express.js + TypeScript
- 認證策略：Passport.js
- 密碼雜湊：bcrypt (cost factor: 12)
- Token：JWT (RS256)
- Session：Redis
- 資料庫：PostgreSQL

## 實作步驟

### 階段一：基礎設施（1-2 天）
1. 設定 Express + TypeScript 專案
2. 配置 PostgreSQL 連線
3. 設定 Redis 連線
4. 建立使用者資料模型

### 階段二：本地認證（2-3 天）
1. 實作註冊功能
   - Email 驗證
   - 密碼強度檢查（最少 8 字元，需包含大小寫、數字）
   - bcrypt 雜湊處理

2. 實作登入功能
   - Passport Local Strategy
   - JWT token 生成
   - Refresh token 機制

3. 實作密碼重設
   - Email 驗證碼
   - Token 時效性（15 分鐘）

### 階段三：社群登入（2-3 天）
1. Google OAuth 整合
   - 設定 Google Console
   - Passport Google Strategy
   - 使用者資料同步

2. GitHub OAuth 整合
   - GitHub App 設定
   - Passport GitHub Strategy
   - Email 驗證處理

### 階段四：安全強化（2-3 天）
1. 速率限制
   - 登入嘗試：5 次 / 15 分鐘
   - 註冊：3 次 / 小時
   - 密碼重設：3 次 / 小時

2. 安全標頭
   - Helmet.js 配置
   - CORS 設定
   - CSP 政策

3. 登入監控
   - 異常登入偵測（新裝置、新位置）
   - Email 通知
   - 登入歷史記錄

### 階段五：測試與文件（2-3 天）
1. 單元測試（Jest）
2. 整合測試
3. API 文件（OpenAPI/Swagger）
4. 使用者指南

## 資料庫 Schema
[Schema 定義...]

## API 端點
[API 規格...]

## 安全考量
[詳細安全措施...]

# 1. 重啟 Claude Code
# 2. 先手動切換到 Plan Mode
/plan

# 3. 然後再使用需要提問的 Skill

# CLAUDE.md

## 互動式問題指南

當面對以下情況時，請使用 AskUserQuestion 工具：

1. **需求不明確**
   - 有多種實作方式可選擇
   - 技術選型需要決策
   - 功能範圍不清楚

2. **問題設計原則**
   - 每個問題最多 4 個選項
   - 選項標籤保持簡短（1-5 個字）
   - 描述要清楚說明選擇的影響
   - 使用 multiSelect 當選項非互斥時

3. **範例情境**
   - 選擇認證方式
   - 決定資料庫類型
   - 確認功能優先順序
   - 技術棧選擇

---
name: my-subagent
description: 範例 subagent
model: sonnet  # 可選值：sonnet, opus, haiku, inherit
---

---
name: quick-search
description: 快速程式碼搜尋，找出特定函數或類別的位置
model: haiku
---

# 快速搜尋專家

你的任務是快速找出程式碼中的特定元素：
- 使用 Grep 搜尋函數定義
- 使用 Glob 找出相關檔案
- 回報位置和簡短說明

不需要深入分析，只需要快速定位。

---
name: architecture-analyzer
description: 深度分析複雜系統架構，提供專業建議
model: opus
---

# 架構分析專家

你需要進行深度分析：
- 理解複雜的系統設計
- 識別微妙的架構問題
- 提供深入的改進建議
- 考慮多種權衡因素

---
name: code-reviewer
description: 標準程式碼審查任務
model: sonnet
---

# 程式碼審查專家

執行標準的程式碼審查流程...

---
name: safe-analyzer
description: 安全的唯讀分析 subagent
disallowedTools: [Write, Edit, Bash, NotebookEdit]
---

# 安全分析專家

你只能讀取和分析程式碼，不能進行任何修改。

---
name: read-only-explorer
description: 唯讀程式碼探索，絕對不修改任何內容
model: sonnet
disallowedTools:
  - Write
  - Edit
  - Bash
  - NotebookEdit
  - TodoWrite  # 也不能建立待辦事項
---

# 唯讀探索專家

你的職責是探索和分析程式碼，提供洞察和建議。

## 允許的操作
- Read：讀取檔案
- Grep：搜尋內容
- Glob：找出檔案
- WebFetch：查閱文件

## 禁止的操作
- 任何檔案修改
- 執行命令
- 建立新檔案
- 編輯筆記本

## 工作方式
1. 使用 Read/Grep/Glob 收集資訊
2. 分析和理解程式碼
3. 提供詳細的文字報告
4. 建議具體的改進方向（但不實作）

---
name: offline-analyzer
description: 離線分析，不存取外部資源
model: sonnet
disallowedTools:
  - WebFetch
  - WebSearch
  - Bash  # 防止使用 curl/wget
---

# 離線分析專家

你只能使用本地資源進行分析，不能存取網路。
這確保敏感專案的資訊不會外洩。

---
name: secure-code-auditor
description: 安全程式碼審計，唯讀且離線
model: sonnet
disallowedTools:
  # 禁止修改
  - Write
  - Edit
  - NotebookEdit

  # 禁止執行
  - Bash
  - KillShell

  # 禁止網路存取
  - WebFetch
  - WebSearch

  # 禁止互動（自動化審計）
  - AskUserQuestion

  # 禁止任務管理
  - TodoWrite
  - Task
---

# 安全程式碼審計專家

你是自動化的程式碼安全審計工具，執行無人值守的安全掃描。

## 工作流程

### 1. 資訊收集
- 使用 Read 讀取所有原始碼檔案
- 使用 Grep 搜尋安全相關模式
- 使用 Glob 找出特定檔案類型

### 2. 安全檢查

#### 常見漏洞掃描
- SQL 注入風險
- XSS 攻擊向量
- CSRF 防護檢查
- 路徑遍歷漏洞
- 不安全的反序列化

#### 敏感資料檢查
- 硬編碼的密碼、API 金鑰
- 未加密的敏感資料
- 不安全的加密演算法使用

#### 依賴安全性
- 檢查已知漏洞的依賴版本
- 過時的套件

### 3. 報告生成

生成結構化的 Markdown 報告：

\```markdown
# 安全審計報告

## 執行時間
[時間戳記]

## 掃描範圍
- 檔案數：[數量]
- 程式碼行數：[數量]

## 發現的問題

### 🔴 Critical（需立即修復）
1. **SQL 注入風險**
   - 檔案：`src/db/users.ts:45`
   - 程式碼：`db.query("SELECT * FROM users WHERE id = " + userId)`
   - 風險：使用者輸入直接拼接到 SQL 查詢
   - 建議：使用參數化查詢

### 🟡 Major（建議修復）
[...]

### 🟢 Minor（可選改進）
[...]

## 統計摘要
- Critical：[數量]
- Major：[數量]
- Minor：[數量]

## 建議優先順序
1. [最優先項目]
2. [次優先項目]
\```

{
  questions: [
    {
      question: "需要支援哪些認證方式？",
      header: "認證方式",
      multiSelect: true,
      options: [
        { label: "Email/密碼", description: "標準的 email + 密碼登入" },
        { label: "OAuth", description: "Google、GitHub 等第三方登入" },
        { label: "魔術連結", description: "無密碼的 email 登入連結" }
      ]
    },
    {
      question: "Session 管理偏好？",
      header: "Session",
      multiSelect: false,
      options: [
        { label: "JWT", description: "無狀態 token，適合 API" },
        { label: "Server Session", description: "傳統 session，需要 Redis" },
        { label: "混合模式", description: "JWT + Refresh token" }
      ]
    }
  ]
}

# 認證系統實作計畫

## 總覽
實作包含本地認證和 OAuth 的混合認證系統，使用 JWT access token 和 refresh token 機制。

## 技術架構
- Passport.js：認證策略
- JWT：Access token (15 分鐘) + Refresh token (7 天)
- bcrypt：密碼雜湊
- Redis：Refresh token 儲存
- Prisma：使用者資料管理

## 實作階段

### 階段 1：資料模型（30 分鐘）
1. 建立 User model
2. 建立 RefreshToken model
3. 執行 migration

### 階段 2：本地認證（2 小時）
1. 註冊端點
2. 登入端點
3. Token 生成邏輯
4. Refresh token 端點

### 階段 3：OAuth 整合（2 小時）
1. Google OAuth
2. GitHub OAuth
3. 帳號綁定邏輯

### 階段 4：中介軟體（1 小時）
1. JWT 驗證中介軟體
2. 權限檢查中介軟體

### 階段 5：測試（1 小時）
1. 單元測試
2. 整合測試

[詳細實作步驟...]