Nanostack：给 AI 从能写代码到完整交付的方法

Fen9Pi2026/6/8大约 8 分钟

Nanostack

你的 AI 已经能写代码了。
但它知道怎么交付吗？
Nanostack 给 AI 一个交付方法： scope → plan → build → review → security → QA → ship
每一步都写下一个 artifact，下一步读取这个 artifact。
不是依赖聊天历史，而是依赖结构化的交付物。

对比：没有 vs 有了 Nanostack

没有 Nanostack：

❌ 模糊的 prompt 直接变成代码 ❌ 计划消失在聊天历史里 ❌ AI 悄悄重构了三个你没要求的东西 ❌ QA 和安全只在有人记得的时候才做 ❌ PR 描述只说「加通知」，没人知道真正改了什么 ❌ 周五 5 点 rush commit，周一发现坏了不相关的东西

有了 Nanostack：

✅ /think 把想法变成简报、风险、最小有用版本 ✅ /nano 保存计划：文件、风险、检查项、范围外内容 ✅ /review 对比计划和代码，scope drift 可见 ✅ /qa 打开你的 app 测试，/security 每次都跑 ✅ /ship 解释为什么改、怎么检查的、还有什么遗留 ✅ Git commit 被阻塞，直到 review、security、QA 通过

Nanostack 是什么？

什么是 Nanostack

Nanostack 是一个本地交付工作流 harness。

不是 SaaS，不是云服务，不是 daemon。

是：

纯文本 skills
本地 JSON artifacts
已验证的 adapters
无 Nanostack cloud

七步默认 Sprint

Sprint

Nanostack 的默认 sprint 是一个完整的交付流程：

步骤	命令	角色	做什么
01	`/think`	产品发现	挑战 scope，找到最小有用版本
02	`/nano`	工程经理	规划实现，命名文件、风险、检查项
03	`build`	你或 AI	写代码
04	`/review`	资深工程师	两轮代码审查，scope drift 检测
05	`/security`	安全工程师	OWASP A01-A10 + STRIDE 威胁建模
06	`/qa`	QA 负责人	功能测试 + 视觉 QA
07	`/ship`	发布工程师	PR 创建、CI 验证、release notes

第 1 步：/think —— 挑战 Scope

Think

作用： 在规划之前挑战 scope。

AI 会做什么：

提出关键问题
找到最小有用版本
生成结构化的 brief
保存到 .nanostack/know-how/briefs/

示例：

你：我需要给 app 加通知功能。用户总错过回复。

/think

AI：在你构建之前，用户今天怎么应对这个问题？
你：他们一天打开 app 3-4 次。有时错过回复几个小时。

AI：我要挑战「通知」。你说他们一天打开 3-4 次。这是高参与度。
   问题不是「触达不到」，是「到达时看不出什么变了」。
   
   这是新鲜度问题，不是消息问题。
   
   通知系统（email、push、in-app、preferences、digest、unsubscribe）
   是 3 周项目。导航上的红点说「有新内容」今天下午就能上线。
   
   一个解决症状（不被通知）。另一个解决原因（看的时候看不出新）。
   
   建议：缩小范围。上线红点。看投诉是否下降。

第 2 步：/nano —— 规划实现

Nano

作用： 生成产品规格和技术规格。

AI 会做什么：

自动检测项目复杂度
根据复杂度生成不同级别的规格
列出实现步骤
命名文件、风险、检查项

复杂度级别：

Scope	输出
Small (1-3 文件)	实现步骤
Medium (4-10 文件)	产品规格 + 实现步骤
Large (10+ 文件)	产品规格 + 技术规格 + 实现步骤

产品规格涵盖：

问题、解决方案
用户故事
验收标准
用户流程
边界情况
范围外内容

技术规格涵盖：

架构
数据模型
API 契约
集成
技术决策
安全考虑
迁移/回滚

第 3 步：Build —— 写代码

Build

作用： 你或 AI 写代码。

关键点：

不是 AI 自己写
是你或 AI 写
Nanostack 不关心谁来写
它关心接下来的审查

第 4 步：/review —— 两轮代码审查

Review

作用： 两轮代码审查 + scope drift 检测。

AI 会做什么：

第 1 轮：结构审查

代码结构
命名规范
组织方式

第 2 轮：对抗审查

逻辑错误
边界条件
安全漏洞
性能问题

Scope Drift 检测：

对比 /nano 生成的计划
检查代码是否超出范围
报告：「CLEAN」或「DRIFT DETECTED」

自动修复：

机械问题（格式、命名）自动修复
判断性问题询问你

第 5 步：/security —— 安全审计

Security

作用： OWASP A01-A10 + STRIDE 威胁建模。

AI 会做什么：

自动检测你的技术栈
扫描：
- Secrets
- Injection
- Auth
- CI/CD
- AI/LLM 漏洞
生成 A-F 评级报告
每个发现都包含修复方法
与 /review 交叉引用，检测冲突

评级系统：

评级	含义
A	Critical (0) High (0) Medium (0-1) Low (0-1)
B	Critical (0) High (0) Medium (2-3) Low (2-3)
C	Critical (0) High (1-2) Medium (3-5) Low (3-5)
D	Critical (1-2) High (3-5) Medium (5-8) Low (5-8)
F	Critical (3+) High (6+) Medium (9+) Low (9+)

第 6 步：/qa —— 功能测试

作用： 功能测试 + 视觉 QA。

AI 会做什么：

打开你的 app
执行用户流程
截图
分析 UI
报告：什么通过、什么失败

支持模式：

模式	用途
Browser	浏览器测试
API	API 测试
CLI	CLI 测试
Debug	根因调试

WTF Heuristic： 在修复导致回归之前停止。

第 7 步：/ship —— 发布

Ship

作用： PR 创建、CI 验证、sprint journal。

AI 会做什么：

Pre-flight 检查
仓库质量检查
创建 PR
监控 CI
生成 release notes
保存 sprint journal

PR 描述包括：

为什么这个 change 存在
怎么检查的
还有什么遗留

Commit 后询问：

本地运行？
部署到生产？
完成？

生产路径引导：托管、域名、监控、成本。

关键特性：Artifact-First 交付

Artifact-First

Nanostack 的核心思想：artifact-first delivery。

不是依赖聊天历史。

每一步都写下一个 artifact，下一步读取这个 artifact。

Artifact 链条：

/think → brief（JSON）
  ↓
/nano → plan（JSON）
  ↓
/review → review_report（JSON）
  ↓
/security → security_report（JSON）
  ↓
/qa → qa_report（JSON）
  ↓
/ship → sprint_journal（JSON）+ PR

好处：

好处	说明
可追溯	每个步骤都留下了证据
可检查	每个 artifact 都可以被渲染和审查
可重放	不需要重新进入聊天历史
可共享	brief 可以分享给团队

三种审查模式

三种模式

不是每个 change 都需要完整审计。

/review、/qa、/security 支持三种模式：

模式	标志	什么时候用
Quick	`--quick`	拼写错误、配置、文档。只报告明显的。
Standard	（默认）	正常功能和 bug 修复。
Thorough	`--thorough`	Auth、支付、基础设施。标记所有可疑的。

Autopilot：自动执行

Autopilot

讨论想法，批准 brief，然后走开。

/think --autopilot

AI 会做什么：

生成 brief（交互式）
你批准 brief
其余全部自动执行：
- /nano → build → /review → /security → /qa → /ship

在 Claude Code 上：

Phase gate 在 hook 层强制执行
即使 AI 判断任务「简单」并跳过审查
Git commit 也会被阻塞，直到所有 phase 都有 fresh artifacts

在其他 agents 上：

同样的 gate 作为引导指令运行
安全性取决于 agent 是否遵循

Retro：Sprint 回顾

Retro

/think --retro

AI 会做什么：

读取 sprint journal
读取 compound solutions
读取 pattern report
读取 git metrics
应用同样的强制问题
不是针对「将要构建什么」
是针对「已经构建了什么」

Retro 回答：

对的问题？
惊喜？
重复出现的问题？
下一步建议？

Visual Artifacts：可视化 Artifacts

Visual Artifacts

每个 phase 的 artifact 可以被渲染为本地 HTML。

bin/render-artifact.sh <phase>

为什么有用？

在浏览器中审查
分享给团队
不需要打开聊天历史
独立于 agent

支持的 Agents

已验证的 adapters：

Claude Code
Cursor
OpenAI Codex
OpenCode
Gemini CLI

Skill 文件是纯文本。

其他 agents 可能加载它们，但只有这 5 个有：

已验证的 adapter
adapters/ 中的 capability 声明

Enforcement Levels

Enforcement

Nanostack 是 agent-agnostic 的。

但 agent hosts 不暴露相同的控制点。

Level	含义
L0 Guided	Skill 告诉 AI 做什么，但不能阻止它
L1 Checked	Nanostack 能检测和报告，但不能阻止
L2 Guarded	Host 在 action 前运行 nanostack hook
L3 Enforced	Hook 能阻止 action，host 会遵守阻止
L4 Continuously Verified	CI job 在每次 change 时锻炼能力

安装和使用

一键安装：

npx create-nanostack

检测你的 agents，安装所有东西，运行 setup。

然后在你的 agent 里运行：

/nano-run

第一次 sprint 时，/think 会显示完整 pipeline。

写在最后：Nanostack 的价值

Nanostack 不是工具集。

Nanostack 是流程。

它回答了一个问题：

如何让 AI 从「能写代码」到「完整工程流程」？

答案：

给 AI 一个交付方法。

不是更强的模型。

不是更大的上下文。

是 structure + artifacts + gates。

Scope → Plan → Build → Review → Security → QA → Ship

每一步都留下 artifact。

每一步都可以被检查。

每一步都有 gate 阻止 bad ship。

Nanostack 是 local-first 的。

Skills 是纯文本
Artifacts 是本地 JSON
无 Nanostack cloud
无 daemon
无 app runtime

你的 AI 已经能写代码了。

Nanostack 给它一个交付方法。

项目地址： https://github.com/garagon/nanostack

灵感来源： gstack by Garry Tan