docs: add bilingual (EN/ZH) versions of CONTRIBUTING, CHANGELOG, SECURITY

CHANGELOG.md

@@ -1,22 +1,24 @@
 # Changelog
 
+English | [简体中文](CHANGELOG.zh-CN.md)
+
 ## 0.1.0
 
-- 重写中英文 README，突出项目价值、快速开始、工作流和 Edition 选择。
-- 将首个公开版本升级为稳定版，并统一 npm、Python、CLI 和发布验证版本。
-- Classic small 流程改为只创建 solo-developer 并由其直接完成最终汇总。
-- 测试阶段改为根据目标项目现有体系选择单元、集成/API 或 E2E 测试。
-- 发布 CodeBuddy、Codex 和跨宿主 DevFlow Skills。
-- 移除组织内部运维、部署和 MCP 配置，保留原工作流权限语义并说明风险。
-- 增加安全策略、贡献指南、第三方声明与自动验证。
-- 保留 Superpowers 的原生文档路径，并为 DevFlow 模式提供独立产物覆盖规则。
-- 增加 Cursor、Claude Code 仓库级投影、共享执行器事实源和 CI drift 检测。
-- 支持可追踪的 Skill 复制安装与安全刷新，补齐 Cursor/Claude 安装冒烟测试。
-- 明确区分 Classic 与 Portable 两个 edition，新增完整 Classic Cursor/Claude 宿主包。
-- 增加可通过 pipx 安装的统一 `loopforge` CLI，支持四宿主的安装、状态、更新、卸载和诊断。
-- 增加与原 Python CLI 共用安装核心的 npm/npx 入口，支持临时执行和 npm 全局安装。
-- 增加统一 edition 注册表以及只读的 `loopforge editions`、`loopforge plan`，使两套事实源、入口和安装内容可发现并可校验。
-- `loopforge install <host>` 默认安装 Classic，Portable 使用易识别的 `loopforge skills install <host>` 命令组。
-- 增加显式 `--force` 覆盖安装，默认仍在用户文件或软链接冲突时停止。
-- `install --force` 支持在同一宿主上直接切换 Classic 与 Portable edition。
-- CodeBuddy Portable 的阶段执行器与调研助手统一启用自动运行和 `bypassPermissions`。
+- Rewrote English and Chinese READMEs to highlight project value, quick start, workflow, and edition selection.
+- Promoted the first public release to a stable version and unified npm, Python, CLI, and release validation versions.
+- Classic small flow now only creates solo-developer, which directly completes the final summary.
+- Test stage now selects unit, integration/API, or E2E tests based on the target project's existing test layers.
+- Released CodeBuddy, Codex, and cross-host DevFlow Skills.
+- Removed internal operational, deployment, and MCP configurations while keeping the original workflow permission semantics and documenting risks.
+- Added security policy, contribution guide, third-party notices, and automated validation.
+- Retained Superpowers native document paths and provided independent artefact override rules for DevFlow mode.
+- Added Cursor and Claude Code repository-level projections, a shared executor source of truth, and CI drift detection.
+- Supported traceable Skill copy installation and safe refresh, with Cursor/Claude installation smoke tests.
+- Clarified the distinction between Classic and Portable editions and added complete Classic Cursor/Claude host packages.
+- Added a unified `loopforge` CLI installable via pipx, supporting install, status, update, uninstall, and diagnostics for four hosts.
+- Added an npm/npx entry that shares the installation core with the original Python CLI, supporting one-off execution and npm global install.
+- Added a unified edition registry and read-only `loopforge editions` / `loopforge plan` to make the two sources of truth, entry points, and installation contents discoverable and verifiable.
+- `loopforge install <host>` defaults to Classic; Portable uses the distinct `loopforge skills install <host>` command group.
+- Added explicit `--force` to overwrite installation; by default it still stops on user file or symlink conflicts.
+- `install --force` supports switching between Classic and Portable editions on the same host.
+- CodeBuddy Portable stage executors and research assistants uniformly enable auto-run and `bypassPermissions`.

CHANGELOG.zh-CN.md

@@ -0,0 +1,24 @@
+# Changelog
+
+[English](CHANGELOG.md) | 简体中文
+
+## 0.1.0
+
+- 重写中英文 README，突出项目价值、快速开始、工作流和 Edition 选择。
+- 将首个公开版本升级为稳定版，并统一 npm、Python、CLI 和发布验证版本。
+- Classic small 流程改为只创建 solo-developer 并由其直接完成最终汇总。
+- 测试阶段改为根据目标项目现有体系选择单元、集成/API 或 E2E 测试。
+- 发布 CodeBuddy、Codex 和跨宿主 DevFlow Skills。
+- 移除组织内部运维、部署和 MCP 配置，保留原工作流权限语义并说明风险。
+- 增加安全策略、贡献指南、第三方声明与自动验证。
+- 保留 Superpowers 的原生文档路径，并为 DevFlow 模式提供独立产物覆盖规则。
+- 增加 Cursor、Claude Code 仓库级投影、共享执行器事实源和 CI drift 检测。
+- 支持可追踪的 Skill 复制安装与安全刷新，补齐 Cursor/Claude 安装冒烟测试。
+- 明确区分 Classic 与 Portable 两个 edition，新增完整 Classic Cursor/Claude 宿主包。
+- 增加可通过 pipx 安装的统一 `loopforge` CLI，支持四宿主的安装、状态、更新、卸载和诊断。
+- 增加与原 Python CLI 共用安装核心的 npm/npx 入口，支持临时执行和 npm 全局安装。
+- 增加统一 edition 注册表以及只读的 `loopforge editions`、`loopforge plan`，使两套事实源、入口和安装内容可发现并可校验。
+- `loopforge install <host>` 默认安装 Classic，Portable 使用易识别的 `loopforge skills install <host>` 命令组。
+- 增加显式 `--force` 覆盖安装，默认仍在用户文件或软链接冲突时停止。
+- `install --force` 支持在同一宿主上直接切换 Classic 与 Portable edition。
+- CodeBuddy Portable 的阶段执行器与调研助手统一启用自动运行和 `bypassPermissions`。

CONTRIBUTING.md

@@ -1,22 +1,23 @@
 # Contributing
 
-感谢参与 LoopForge。
+English | [简体中文](CONTRIBUTING.zh-CN.md)
 
-## 开发流程
+Thanks for contributing to LoopForge.
 
-1. 从功能分支开始修改。
-2. 保持模板通用，不引入特定组织、仓库或云资源信息。
-3. 不提交任何凭据、本地权限配置或生产数据。
-4. 先标明改动属于 Classic、Portable 或共享行为合同。Portable 只修改 `skills/`；
-   Classic 的 `.cursor/.claude` 不直接修改，运行 `build-classic-hosts.py --write`。
-5. 修改共享工作流契约时分别说明两个 edition 的影响；不要在二者之间复制运行文件。
-6. 提交前运行 `bash scripts/validate.sh` 和 `bash scripts/smoke-install.sh`。
+## Development workflow
 
-## Pull Request 要求
+1. Start changes from a feature branch.
+2. Keep templates generic; do not introduce organisation-, repository-, or cloud-specific information.
+3. Do not commit credentials, local permission configurations, or production data.
+4. First indicate whether a change belongs to Classic, Portable, or shared behaviour contracts. Portable only modifies `skills/`; Classic `.cursor/.claude` files are not edited directly — run `build-classic-hosts.py --write`.
+5. When modifying shared workflow contracts, describe the impact on both editions separately; do not copy runtime files between them.
+6. Run `bash scripts/validate.sh` and `bash scripts/smoke-install.sh` before submitting.
 
-- 说明改动解决的问题和适用运行时。
-- 列出行为变化、兼容性影响和验证结果。
-- 新增第三方内容时补充来源、许可证和修改说明。
-- 不要把内部部署或运维能力放进核心模板；使用单独的私有扩展。
+## Pull request requirements
 
-提交信息建议遵循 Conventional Commits，例如 `feat: add workflow checkpoint validation`。
+- Describe the problem the change solves and the applicable runtime.
+- List behaviour changes, compatibility impact, and verification results.
+- When adding third-party content, include source, licence, and modification notes.
+- Do not put internal deployment or operational capabilities into core templates; use a separate private extension.
+
+Commit messages should follow Conventional Commits, e.g. `feat: add workflow checkpoint validation`.

CONTRIBUTING.zh-CN.md

@@ -0,0 +1,23 @@
+# Contributing
+
+[English](CONTRIBUTING.md) | 简体中文
+
+感谢参与 LoopForge。
+
+## 开发流程
+
+1. 从功能分支开始修改。
+2. 保持模板通用，不引入特定组织、仓库或云资源信息。
+3. 不提交任何凭据、本地权限配置或生产数据。
+4. 先标明改动属于 Classic、Portable 或共享行为合同。Portable 只修改 `skills/`；Classic 的 `.cursor/.claude` 不直接修改，运行 `build-classic-hosts.py --write`。
+5. 修改共享工作流契约时分别说明两个 edition 的影响；不要在二者之间复制运行文件。
+6. 提交前运行 `bash scripts/validate.sh` 和 `bash scripts/smoke-install.sh`。
+
+## Pull Request 要求
+
+- 说明改动解决的问题和适用运行时。
+- 列出行为变化、兼容性影响和验证结果。
+- 新增第三方内容时补充来源、许可证和修改说明。
+- 不要把内部部署或运维能力放进核心模板；使用单独的私有扩展。
+
+提交信息建议遵循 Conventional Commits，例如 `feat: add workflow checkpoint validation`。

SECURITY.md

@@ -1,19 +1,21 @@
 # Security Policy
 
+English | [简体中文](SECURITY.zh-CN.md)
+
 ## Reporting a vulnerability
 
-请使用 GitHub Security Advisory 的私密报告功能联系维护者。不要在公开 Issue、Discussion 或 Pull Request 中提交：
+Please use GitHub Security Advisory's private reporting feature to contact maintainers. Do not submit the following in public issues, discussions, or pull requests:
 
-- SecretId、SecretKey、Token、Cookie 或密码；
-- 内部域名、服务器、集群、Bucket、Topic 或流水线 ID；
-- 未脱敏的日志、用户数据或配置文件。
+- SecretId, SecretKey, Token, Cookie, or passwords;
+- Internal domain names, servers, clusters, buckets, topics, or pipeline IDs;
+- Unredacted logs, user data, or configuration files.
 
-报告应包含受影响版本、复现条件、潜在影响和建议修复方式。维护者会先确认收到，再根据风险安排修复与披露。
+Reports should include the affected version, reproduction conditions, potential impact, and suggested fix. Maintainers will acknowledge receipt first, then schedule fix and disclosure based on risk.
 
 ## Supported versions
 
-目前仅维护最新稳定版本和默认分支。安全修复会进入后续补丁版本。
+Only the latest stable version and the default branch are maintained. Security fixes go into subsequent patch releases.
 
 ## Deployment responsibility
 
-本仓库不提供生产凭据或运维配置。部署方应使用最小权限身份、短期凭证或安全的 Secret Manager，并确保本地配置被 `.gitignore` 排除。
+This repository does not provide production credentials or operational configuration. Deployers should use least-privilege identities, short-lived credentials, or a secure Secret Manager, and ensure local configuration is excluded by `.gitignore`.

SECURITY.zh-CN.md

@@ -0,0 +1,21 @@
+# Security Policy
+
+[English](SECURITY.md) | 简体中文
+
+## Reporting a vulnerability
+
+请使用 GitHub Security Advisory 的私密报告功能联系维护者。不要在公开 Issue、Discussion 或 Pull Request 中提交：
+
+- SecretId、SecretKey、Token、Cookie 或密码；
+- 内部域名、服务器、集群、Bucket、Topic 或流水线 ID；
+- 未脱敏的日志、用户数据或配置文件。
+
+报告应包含受影响版本、复现条件、潜在影响和建议修复方式。维护者会先确认收到，再根据风险安排修复与披露。
+
+## Supported versions
+
+目前仅维护最新稳定版本和默认分支。安全修复会进入后续补丁版本。
+
+## Deployment responsibility
+
+本仓库不提供生产凭据或运维配置。部署方应使用最小权限身份、短期凭证或安全的 Secret Manager，并确保本地配置被 `.gitignore` 排除。