feat(skill): 技能治理 v0.2 —— 分桶/调用模式/校验/安全/清单/安装矩阵

- 新增 SCOPE.md 收录门槛 + .out-of-scope/ 拒绝档案
- 生命周期分桶 promoted/beta/deprecated，marketplace 只发布 promoted
- 调用模式 model-invoked/user-invoked（user-invoked 不占模型目录）
- 新增脚本 validate-skills.py / generate-catalog.py / scan-skill.sh(+allowlist)
- 新增 beta 技能 skill-creator、ai-proj-helper-entry、verification-before-completion（各带 evals）
- install-skills.sh: --agent dsh / --link / --audit / --include-beta / --no-validate
- 融合：dev-review 接收评审意见、req-design 依赖边、agent-swarm 并行编排、dev-test TDD
- catalog.json 61 个技能（58 promoted / 3 beta）；validate 0 错误；scan 0 高危；现有测试通过

skills-req/req-design-plugin/skills/SKILL.md

@@ -474,3 +474,13 @@ PRD 说「做什么」（用户故事、业务规则、验收标准），设计
 | V1.0 | 2026-01-26 | 初始版本（原名 req-dev） |
 | V2.0 | 2026-04-06 | 重构为 req-design：移除架构指南和编码规范，聚焦 API 契约 + 任务拆分 |
 | V2.1 | 2026-04-16 | 新增 Memory 隔离规则（REQ-20260416-0017） |
+
+## 任务依赖边（blocking edges）
+
+拆子任务时，每个任务必须显式声明依赖，而不是只给层级：
+
+- 每个任务写 `blockers: [任务编号...]`，没有依赖就写 `blockers: []`；
+- **被阻塞的任务不得先开工**，即使它看起来更简单；
+- 依赖图落进需求的任务描述，供 ai-proj / PM 检查；
+- 出现循环依赖直接拒绝拆分方案，重新设计边界；
+- 验收时检查：所有 blockers 是否 completed，再开自己。