[CLAUDE] Skill: thêm 3 skill ops project-specific

Khảo sát alirezarezvani/claude-skills repo — phần lớn skill đã có ở
user-level (code-reviewer, sql-database-assistant, focused-fix,
senior-frontend, mcp-builder...). Bulk import sẽ trùng + nhiều skill
là doc-dump generic không có YAML when-to-use.

Thay vào đó: viết 3 skill PROJECT-SPECIFIC encode kiến thức
SOLUTION_ERP-only mà generic không thể biết:

- dependency-audit-erp: dotnet list --vulnerable + npm audit cho
  fe-admin/fe-user, respect pin constraint MediatR 12.4.1 +
  Swashbuckle 6.9.0 + Node 20.x, dẫn chiếu gotchas, output template
  + CI integration TODO Phase 5.1

- ef-core-migration: 8 migration history + 3-file rule + Design
  TimeDbContextFactory + 6 pitfalls cụ thể (bao gồm cascade vs
  restrict cho WorkflowDefinitionId), workflow add entity mới end-
  to-end, prod apply via idempotent script

- iis-deploy-runbook: 3 IIS site topology + win-acme cert + NSSM
  gitea-runner shared VIETREPORT + LibreOffice 25.8.6 headless,
  debug playbook 500/502/SignalR/login, deploy steps + manual
  emergency, rotate creds + backup commands, dẫn chiếu gotcha #25/26/28/29

Skills README cập nhật: 6 skill (3 domain + 3 ops). CLAUDE.md
+ docs/CLAUDE.md sync count.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

.claude/skills/README.md

@@ -4,11 +4,21 @@ Skill này là tài liệu chuyên biệt để Claude (và developer khác) dù
 
 ## Skills hiện có
 
+### Domain skills (logic nghiệp vụ)
+
 | Skill | Mục đích | Trigger ví dụ | Trạng thái |
 |---|---|---|---|
-| `contract-workflow` | State machine 9 phase, role × phase guard, SLA timer, auto-approve | "approve contract", "chuyển phase", "auto-approve quá hạn" | 📝 Placeholder (Phase 3) |
-| `form-engine` | Render template docx/xlsx, parse 8 form, field mapping, PO generator | "export contract as word", "điền form", "render template" | 📝 Placeholder (Phase 2) |
-| `permission-matrix` | Role × MenuKey × CRUD, seed, reset password, 3-layer resolution | "permission denied", "gán role", "menu không hiện" | 📝 Placeholder (Phase 1) |
+| `contract-workflow` | State machine 9 phase + versioned workflow per ContractType + role × phase guard + SLA + auto-gen mã HĐ RG-001 | "approve contract", "chuyển phase", "versioned workflow", "HĐ cũ giữ cũ" | ✅ Tier 3 updated |
+| `form-engine` | Render template docx/xlsx + FieldSpec JSON + DynamicForm + PDF export LibreOffice | "export contract as word", "điền form", "render template", "PDF export" | ✅ Active |
+| `permission-matrix` | Role × MenuKey × CRUD + seed + 3-layer resolution + inherit Contracts/Workflows | "permission denied", "gán role", "menu không hiện", "inherit permission" | ✅ Active |
+
+### Ops/infra skills (devops + security + schema)
+
+| Skill | Mục đích | Trigger ví dụ | Trạng thái |
+|---|---|---|---|
+| `dependency-audit-erp` | Scan CVE NuGet + npm 2 FE, respect pin constraint (MediatR 12.4.1, Swashbuckle 6.9.0) | "npm audit", "dotnet vulnerable", "deps scan", "nâng cấp package" | ✅ New Tier 3 |
+| `ef-core-migration` | Tạo/revert EF Core 10 migration, 3-file rule, DesignTimeDbContextFactory, 8 migration history | "thêm migration", "EF migration", "schema update", "snapshot lỗi" | ✅ New Tier 3 |
+| `iis-deploy-runbook` | 3 IIS site + win-acme cert + gitea-runner + LibreOffice + debug 500/502/SignalR prod | "prod 500", "IIS fail", "cert hết hạn", "restart app pool", "deploy IIS" | ✅ New Tier 3 |
 
 ## Format chuẩn 1 skill
 
@@ -17,34 +27,36 @@ Mỗi skill là 1 folder với ít nhất `SKILL.md` + optional `examples/` + `r
 ```
 .claude/skills/<skill-name>/
 ├── SKILL.md                  ← Entry point: description, when-to-use, workflow
-├── examples/                 ← Code snippets mẫu
+├── examples/                 ← Code snippets mẫu (optional)
 │   └── *.cs | *.tsx
-└── references/               ← Link đến file code thật, docs
+└── references/               ← Link đến file code thật, docs (optional)
 ```
 
-**Frontmatter `SKILL.md`:**
+**Frontmatter `SKILL.md` (BẮT BUỘC `when-to-use` để skill auto-trigger):**
 
 ```markdown
 ---
-name: contract-workflow
-description: State machine 9 phase cho hợp đồng — guard rule, SLA, auto-approve
+name: skill-name-kebab-case
+description: 1-3 câu mô tả skill làm gì + stack specificity (để embedding match chính xác)
 when-to-use:
-  - "approve contract"
-  - "state machine bug"
-  - "SLA expired"
+  - "trigger phrase 1"
+  - "trigger phrase 2"
+  - "keyword tiếng Việt"
 ---
 
-# Contract Workflow Skill
+# Skill Name
 
 ## Context
 ...
 
-## Workflow
+## Workflow / Commands
+...
+
+## Pitfalls
 ...
 
 ## Code pointers
-- `src/Backend/SolutionErp.Domain/Contracts/ContractPhase.cs`
-- `src/Backend/SolutionErp.Application/Contracts/Commands/TransitionContractCommand.cs`
+- `path/to/file.cs`
 ```
 
 ## Tạo skill mới — checklist
@@ -52,4 +64,28 @@ when-to-use:
 1. Tạo folder `.claude/skills/<kebab-case-name>/`
 2. Viết `SKILL.md` với frontmatter + sections: Context / Workflow / Code pointers / Common pitfalls
 3. Add row vào bảng "Skills hiện có" phía trên
-4. Commit `[CLAUDE] Skill: add <name>`
+4. Update `docs/CLAUDE.md` (dòng skill count)
+5. Commit `[CLAUDE] Skill: add <name>`
+
+## Nguyên tắc design skill
+
+**PROJECT-SPECIFIC, không clone generic:**
+- Skill user-level global đã có sẵn (`code-reviewer`, `sql-database-assistant`, `focused-fix`, ...)
+- Skill project-level phải encode kiến thức SOLUTION_ERP-only mà generic không có:
+  - Commit convention `[CLAUDE] <scope>: ...`
+  - Path pattern `src/Backend/SolutionErp.*/...`
+  - Pin constraint (MediatR 12.4.1, Swashbuckle 6.9.0, TypeScript 6 erasableSyntaxOnly)
+  - Gotcha-referenced (dẫn chiếu `docs/gotchas.md#N`)
+  - Workflow Vietnamese-first
+
+**Keep it actionable:**
+- Commands copy-pastable (không pseudocode)
+- Paths đầy đủ (không `src/...`)
+- Version pinned (không "latest")
+- Dẫn chiếu gotcha/migration # cụ thể
+
+## Related
+
+- `docs/CLAUDE.md` — quick rules + full stack context
+- `docs/gotchas.md` — 32 bẫy đã gặp
+- `docs/changelog/migration-todos.md` — roadmap 5 phase + Tier 3