SpecShip 工程工作流
用契约、TDD 与独立验证，把 AI 编码从规划推进到可审查的 PR。
- Star 数
- ★ 257
- 最近更新
- 3 个月前
- License
- MIT
- 主语言
- Shell
- FA 评分
- 61/100 · 存在缺口
30 秒速览
- 运行形态
- 可在哪里用
- 平台专用
- 上手难度
- 中 · 需要几步配置
- 开始前需要
- 典型场景
- 使用 Kiro 的开发者希望为新功能先定义验收标准，再按任务和里程碑实现。
- 不适合
- 不使用 Kiro 的开发者
- 要求经过外部安全审查的团队
- 源码审查
- 61/100 · 存在缺口
这个 Agent 能做什么，适合哪些场景？
SpecShip 是面向 Kiro 的 Power，通过 steering 文件编排从侦察、规划、构建、验证到交付的工程流程。棕地项目可先逆向梳理代码库、技术栈、接口、数据模型、基线测试和需保留的行为；规划阶段生成需求、设计、任务及市场研究材料。构建阶段按里程碑执行任务，先写失败测试，再实现，并在每个里程碑通过类型检查、测试和构建门禁。验证阶段并行运行独立验证器，依据契约给出带证据的结论，发现问题后可进入最多三轮的修复。安装脚本将文件部署到 Kiro steering 目录；交付阶段准备 PR、变更记录和归档，无 Git 远端时会提供本地推送说明。
运行 ./install.sh 可检测并安装 superpowers 与 gstack、复制 SpecShip steering 文件，并检查 Playwright MCP 配置。通过 Kiro 的自动技能或 /specship-plan、/specship-validate 等命令，工作流可先生成 requirements.md、design.md、tasks.md 及相关 artifacts，再逐任务构建并在每个里程碑执行类型检查、测试和构建。验证器并行检查代码、安全、集成、浏览器、设计和契约对齐；存在性能 NFR 时还会进行负载验证。各验证器提供带证据的类型化结论，汇总结果决定合并、修复或升级处理；修复最多循环三轮。交付准备 PR、changelog、归档和含用时、捕获缺陷及里程碑拆分的报告。
- 使用 Kiro 的开发者希望为新功能先定义验收标准，再按任务和里程碑实现。
- 维护棕地代码库的团队需要在改动前记录接口、基线测试、保留行为和受影响文件。
- 需要让独立检查者验证 AI 生成代码的团队，可并行运行代码、安全和集成验证。
- 想把测试优先作为实现门槛的工程团队，可在每个里程碑要求类型检查、测试和构建通过。
- 希望从中断处继续工作的 Kiro 用户，可调用 SpecShip 的恢复技能继续任务。
- 需要产出待审查 PR 与变更记录的小团队，可用交付阶段生成归档和交付报告。
如何安装或部署这个 Agent？
在仓库目录运行安装脚本。默认安装到用户级 Kiro steering 目录；也可传入项目级目录。脚本会处理所需配套项，并检查 Playwright MCP 配置；README 未说明 Kiro 本身的安装步骤或模型/API 费用。
如何使用这个 Agent？
在 Kiro 中用自然语言触发自动技能，也可用斜杠命令指定技能。默认引导模式会在构建前暂停，完全自主模式则端到端运行。
这个 Agent 有哪些优点和局限？
- 棕地侦察把基线测试、需保留行为和受影响文件纳入规划输入。
- 每个构建里程碑都要求类型检查、测试和构建通过，并采用先写失败测试的 TDD 流程。
- 验证器并行工作且与构建者分离，输出带证据的类型化结论。
- 引导和自主两种模式都可用，并提供中断任务恢复技能。
- 工作流面向 Kiro Power，采用它需要使用 Kiro。
- 安装依赖 superpowers、gstack，并会检查 Playwright MCP；增加了环境配置步骤。
- README 标明项目未经外部安全审查，生成代码在生产使用前需要 AppSec 审查。
- 自主模式可一路运行到 PR 准备阶段，团队需要明确适合自己的审批边界。
这个 Agent 与同类方案有什么区别？
与相关度最高的同类 agent 并排比较关键指标。
| Agent | 源码审查 | 形态 / 费用 | Star | 最近更新 | 主语言 | 完整支持的平台 |
|---|---|---|---|---|---|---|
| SpecShip 工程工作流 当前 | 61 · 存在缺口 | Agent 插件 / 技能 | ★ 257 | 3 个月前 | Shell | — |
| Agent Skills — 生产级工程技能包 | 71 · 存在缺口 | 命令行工具免费 + 模型费 | ★ 113k | 3 天前 | JavaScript | Codex · Claude Code · OpenAI API |
| Pilot Shell | 53 · 缺口较多 | 命令行工具付费 | ★ 2.1k | 今天 | Shell | Claude Code |
| Consort 软件工程编排器 | 59 · 缺口较多 | 命令行工具 | ★ 37 | 今天 | TypeScript | Claude Code |
FollowAgents 如何评估这个 Agent？
查看各维度的扣分理由
SECURITY.md 明确说明 Agent 以用户权限读取、写入和提交项目，MCP 进程也有本机权限，因此最小权限仅部分落实（least_privilege=2）。安装 gstack setup 默认不执行、交互默认拒绝，且发布前要求针对具体 push/merge 获得人工同意，确认控制充分（user_confirmation=3）。文档说明市场研究和浏览器验证会联网，并列出查询不得包含的项目或机密信息，但未提供运行时数据流证明（data_flow_transparency=2）。说明不存储凭据、排除 .env，并要求不得提交密钥；仍由使用者负责敏感项目边界（sensitive_data_handling=2）。锁文件完整性、固定版本和 SHA 引用提供一定依赖控制，但无 npm 可用时回退到无锁 npx，且上游 companions 默认不固定（dependency_security=2）。SHIP 准备 PR 而不自动发布，明确禁止未经同意 push/merge 和强推，外部副作用控制较强（external_effects=3）。安装器备份覆盖文件，卸载器声称仅移除安装项，但所给内容不足以审查恢复细节（rollback=2）。GitHub 私密漏洞报告路径清楚；发布者身份未经验证，不能据此确认维护者身份或出处（source_attribution=1）。
README 对阶段、输出和 guided/autonomous 模式有连贯描述；SECURITY.md 的权限、网络和依赖风险也与其定位大致一致，但具体实现文件未提供，无法核验全部流程主张（self_consistency=2）。文档依赖 Kiro、superpowers、gstack、npm/npx、Playwright 和 Chrome DevTools MCP，并提到 npm 缺失回退路径；上游可用性和兼容保证证据有限（dependency_availability=1）。虽描述校验门、失败恢复和最多三轮恢复，但所给材料未展示错误提示或故障处理实现（failure_messages=1）。
覆盖新项目与 brownfield 场景，提供 guided 与 autonomous 模式，适用场景说明较具体但主要是作者描述（audience_and_scenarios=2）。文档披露 Agent 有项目读写提交权限、MCP 仍以用户权限运行、产出代码需审查等边界；权限隔离不足限制了边界控制评分（capability_boundaries=2）。列出自然语言意图、明确阶段触发词和 slash 命令，触发方式清楚，但未提供误触发或冲突规则证据（trigger_precision=2）。安装路径以 Kiro 和特定 MCP/伴侣工具为中心，并给出部分 Node.js 指引；跨环境兼容信息有限（environment_fit=1）。
README 提供阶段说明、安装、使用、模式、文件结构和定制章节，SECURITY.md 与 LICENSE 分工清楚（information_architecture=3）。安装命令和全局/项目级安装方式明确，也说明依赖配置；升级、失败排查等细节不足（install_notes=2）。SpecShip 阶段、技能和文件命名整体一致，但没有独立的稳定性或兼容承诺（naming_stability=2）。包含调用示例和常见意图，但没有 FAQ 或较多端到端示例（examples_and_faq=2）。安全文档具体列出权限、供应链、MCP、完整性检测和残余风险（known_limitations=3）。仓库提供完整 MIT 许可证文本（license=3）。所给材料没有版本策略或变更日志信息（versioning_changelog=1）。安全报告入口明确，但没有清楚说明维护责任人或持续维护安排；发布者身份未知（maintenance_responsibility=1）。
宣称产出需求、设计、任务、测试、逐里程碑提交、验证 verdict 和 PR 准备结果，输出形式较具体，但所给材料没有实际样例佐证可用性（output_usability=2）。TDD、契约、独立验证和恢复流程提供了相对清晰的工作流价值主张；效果仍是文档主张，未能从所给材料独立确认（marginal_value=2）。自动安装伴侣、运行多代理验证和 MCP 会增加时间、依赖及权限成本；文档披露这些成本，但未提供成本效益衡量或简化配置证据（cost_benefit=1）。
安全控制与风险主张具体到变量、路径、选项和边界，便于对照文件核验，但实现文件不在所给材料内（claim_traceability=2）。README、SECURITY.md 和 LICENSE 提供少量互相支持的信息，但缺少脚本、清单或测试等第二来源佐证细节（cross_source_corroboration=1）。文档把产品能力、安全控制和残余风险分开陈述，也承认未经过外部安全审查；部分性能和质量收益仍为未验证主张（fact_inference_separation=2）。
- 安装会引入以用户权限运行的第三方 companions 和 MCP；默认 companions 未固定版本，npm 不可用时会回退到无锁 npx。使用前应审查依赖并按文档固定版本。
- Agent 对目标项目有完整读写和提交权限，且本身没有沙箱。将其用于敏感代码前应评估隔离方式并审查生成代码。
- README 和 SECURITY.md 中关于测试门、验证器和恢复的说明未由所给实现文件佐证；本评估未执行安装或运行。