chore: release v1.4.0 — 上游漂移 P0 全量修复 + 防回归基建

[jnMetaCode]

你要解决什么问题？

跟 PR #28 + #30 + #31 一起构成 v1.4.0 的完整内容——本 PR 只做发布层（版本号 bump + plugin manifest 同步 + release notes），不动任何 skill 内容、不动 installer、不动 hooks。

为什么需要一个独立的 release PR： 上游 fork 的发布流程是 "skill/fix PR 单独 merge → release commit 单独 bump version + 写 release notes"（参见 6c1fe58 chore: release v1.3.0 提交模式）。本 PR 严格按此模式走。

这个 PR 做了什么改变？

版本号 1.3.0 → 1.4.0：

• package.json 1.3.0 → 1.4.0
• .claude-plugin/plugin.json 1.3.0 → 1.4.0
• .claude-plugin/marketplace.json plugins.0.version 1.3.0 → 1.4.0
• .cursor-plugin/plugin.json 1.3.0 → 1.4.0
• .codex-plugin/plugin.json 1.3.0 → 1.4.0
• gemini-extension.json 1.1.6 → 1.4.0（顺带修复长期漂移）

工具链顺带修复：

• scripts/sync-plugin-version.js 的 TARGETS 加入 gemini-extension.json —— 这是 gemini-extension.json 长期卡在 1.1.6 的根因（在 .version-bump.json 列了但 sync-plugin-version.js 的 TARGETS 漏掉了）
• package.json 的 `version` 钩子 git add 列表加上 `gemini-extension.json`

RELEASE-NOTES.zh.md 新增 v1.4.0 段（78 行）：

按"上游同步"性质分组列出本次 release 的 9 项修复：

• 🔴 v5.0.6 brainstorm server 拆分（→ PR chore(skills): 同步上游 P0 漂移修复（hooks-cursor + brainstorm + code-reviewer 引用） #30）
• 🔴 v5.1.0 Code Review 整合（→ PR chore(skills): 同步上游 P0 漂移修复（hooks-cursor + brainstorm + code-reviewer 引用） #30）
• 🔴 v5.1.0 worktree 安全修复（→ PR chore(skills): 同步上游 v5.1.0 worktree 安全修复（issue #19 第一批） #28）
• 🔴 Windows Cursor hook 回归修复（→ PR chore(skills): 同步上游 P0 漂移修复（hooks-cursor + brainstorm + code-reviewer 引用） #30）
• 🆕 CI 自动漂移检测基建（→ PR chore(ci): 加 audit 脚本 + workflow 自动检测上游漂移（防回归基建） #31）
• 🔧 gemini-extension.json 版本号长期漂移修复（本 PR）

明确标注每项的上游 ref + 本 fork PR 号 + 不在范围的项（executing-plans 扩写、中国特色技能路由等主动选择）。

这个改变适合放在核心库中吗？

适合。版本号管理是 release 流程的核心环节，6 个 plugin manifest 全部对齐 + gemini-extension.json 长期漂移修复，对所有走 marketplace / extension 安装的用户都有效。

你考虑了哪些替代方案？

1. 把 release 内容塞到 PR chore(skills): 同步上游 P0 漂移修复（hooks-cursor + brainstorm + code-reviewer 引用） #30 里：违反 fork 的发布流程惯例（chore: release 应该独立 commit）。Pass。
2. 不修 gemini-extension.json，等下个 release：该文件已经卡在 1.1.6 几个月，趁本 release 一起追上，避免漂移积累。这个 1 行 sync-plugin-version.js 改动 + 1 行 package.json git add 改动，scope 是合理的"顺带修工具链 bug"。
3. 现方案：版本 bump + 工具链修 + release notes 一起 ✓

这个 PR 是否包含多个不相关的改变？

否。三件事通过共同性质绑定："v1.4.0 release prep"。版本号 bump 必然牵动 6 个 manifest；gemini-extension.json 的 sync-plugin-version.js 修复正是为了让"版本号 bump"这件事一次性正确完成（否则 gemini-extension 又会被漏掉）。release notes 文档化本次发布内容。

已有的 PR

• 我已查看所有已开放和已关闭的 PR，确认没有重复或先前的类似工作
• 相关 PR：
  • PR chore(skills): 同步上游 v5.1.0 worktree 安全修复（issue #19 第一批） #28（worktree v5.1.0 同步）—— 本 PR release notes 描述的内容之一
  • PR chore(skills): 同步上游 P0 漂移修复（hooks-cursor + brainstorm + code-reviewer 引用） #30（P0 漂移 + code-reviewer 整合）—— 本 PR release notes 描述的内容之一
  • PR chore(ci): 加 audit 脚本 + workflow 自动检测上游漂移（防回归基建） #31（audit script + CI workflow）—— 本 PR release notes 描述的内容之一
  • 历史 PR fix(scripts): sync-plugin-version 支持嵌套字段路径，修 marketplace.json 卡在 1.1.8 的老漂移 #23（sync-plugin-version 支持嵌套字段）—— 同类工具链修复，本 PR 是 fix(scripts): sync-plugin-version 支持嵌套字段路径，修 marketplace.json 卡在 1.1.8 的老漂移 #23 的延续（fix(scripts): sync-plugin-version 支持嵌套字段路径，修 marketplace.json 卡在 1.1.8 的老漂移 #23 加了嵌套路径支持，本 PR 把遗漏的 gemini-extension.json 也加进 TARGETS）

⚠️ merge 顺序敏感：本 PR 必须最后 merge（在 #28 / #30 / #31 之后），否则 release notes 引用的 PR 在 git log 里还没出现。

测试环境

工具	工具版本	模型	模型版本/ID
Claude Code	latest	Claude Opus	claude-opus-4-7

本地验证：

• `node scripts/sync-plugin-version.js` 运行后，6 个 manifest 全部 1.4.0 对齐（含 gemini-extension.json，之前卡在 1.1.6）
• `grep -rn '1.3.0' .claude-plugin/ .cursor-plugin/ .codex-plugin/ gemini-extension.json package.json` → 无残留
• RELEASE-NOTES.zh.md v1.4.0 段对照 chore(skills): 同步上游 v5.1.0 worktree 安全修复（issue #19 第一批） #28 / chore(skills): 同步上游 P0 漂移修复（hooks-cursor + brainstorm + code-reviewer 引用） #30 / chore(ci): 加 audit 脚本 + workflow 自动检测上游漂移（防回归基建） #31 的内容，每个修复项都能在 PR 里找到对应 commit

评估

不适用 —— 本 PR 是 release prep（版本号 + 工具链 + 文档），不改任何 skill 内容、不影响模型行为。

严格性

• 这不是 skill 内容改变，无需对抗式压力测试
• 没有修改任何精心调优的 skill 内容
• 修改的是 fork 自有版本管理 / release notes

人工审核

• 提交前已有人工审核过 diff（8 文件 86 +/7 -）
• 完整文本 review 待你在 GitHub PR diff 视图 inline 评论

---

推荐 merge 顺序

1. PR #28（worktree v5.1.0 安全修复）  ←  纯 skill 内容
2. PR #30（P0 漂移 + code-reviewer 整合）  ←  纯 skill 内容
3. PR #31（audit script + CI）  ←  基建独立
4. PR #27（文案漂移）  ←  你定夺，可选
5. PR #34（本 PR：release v1.4.0）  ←  最后做 release commit
6. 你手动：git tag v1.4.0 + git push --tags + npm publish