Build macreate — native macOS creative/media MCP marketplace (macdoc's creative twin)

[kiki830621]

Problem / Goal

建立 macreate — 原生 macOS 創作／媒體 MCP marketplace，作為 macdoc（文件處理）的創作側雙生子。把散落在 psychquant-claude-plugins 的圖形類 plugin 收攏成一個主題品牌，涵蓋 2D 圖形 / 3D / 音訊。

Original text（使用者對話逐字決策）:
「還是作一個repo是 macreate」
「你創立macreate資料夾，然後在裡面用 /idd-issue」
scope 選擇：「收所有媒體(加 blender 3D + logic-pro 音訊)」
遷移策略：「乾淨搬遷 + 遷移註記」
— Source: conversational（2026-07-18 session）

Type

feature（multi-phase build / epic tracker）

背景與定位

macdoc 證明「用主題把一組相關 MCP 收成品牌 + marketplace」可行。macreate 套用同一 pattern 到創作側：

	macdoc	macreate
主題	文件處理（Word / PDF / PowerPoint + OCR）	創作／媒體（2D 圖形 / 3D / 音訊）
品牌軸	mac + doc	mac + create

che-creative-suite（router + agent，無 binary）是這個品牌內的協調層，被 macreate 包含，不與之衝突。

成員成熟度矩陣（launch 分批的依據）

成員	Org	Notarized release	現況	Phase
che-pixel-mcp	PsychQuant	v0.1.0 ✅	在 psychquant-claude-plugins；repo 為 PRIVATE	1
che-svg-mcp	PsychQuant	v0.1.0 ✅	在 psychquant-claude-plugins；PUBLIC	1
che-creative-suite	（無 binary）	n/a	在 psychquant-claude-plugins	1
che-blender-mcp	kiki830621	❌ 無	未在任何 marketplace	2
che-logic-pro-mcp	kiki830621	❌ 無	未在任何 marketplace	2

關鍵落差：blender / logic-pro 尚無 notarized release，wrapper 無 binary 可下載 → 不能上架，需完整 onboarding，故排 Phase 2。macreate 的身分是全媒體，但上架分兩波。

Phase 1 — 三個 ready 成員遷入 + 首發 ✅ DONE（見 Implementation Complete）

• macreate repo scaffold：README（已種子）、marketplace.json、plugins/ 目錄骨架
• che-pixel-mcp repo 轉 PUBLIC（private 的 release asset 匿名下載失敗，wrapper 抓不到 binary；與 svg 一致）
• 把 che-pixel-mcp / che-svg-mcp / che-creative-suite 以 submodule 掛進 macreate（mcp/ + plugins/），對齊 macdoc 的目錄慣例
• 撰寫 macreate .claude-plugin/marketplace.json，三個 plugin 條目 + wrapper 指向各 release
• 從 psychquant-claude-plugins 移除這三個 plugin 條目，兩邊各寫遷移註記（「自 X 起以 PsychQuant/macreate 為準」，對齊 macdoc 遷 che-word 前例）
• 過 security baseline gate：macdoc/scripts/audit-security.sh macreate 全綠（secret scanning / Dependabot / branch protection）才發首 tag
• macreate repo 轉 PUBLIC（marketplace 需匿名 claude plugin marketplace add）
• 首發 tag + 驗證 claude plugin marketplace add PsychQuant/macreate → install 三個 plugin 成功

Phase 2 — blender + logic-pro onboarding（後續，各自獨立工作，可拆子 issue）

• （建議）che-blender-mcp / che-logic-pro-mcp org 轉移 kiki830621 → PsychQuant，對齊全 PsychQuant 慣例
• 兩者各過 security baseline gate + 首發 notarized release（sign + notarize，che-mcps-notary）
• 各建 plugin wrapper（.mcp.json + wrapper.sh，auto-download binary from release）
• 加進 macreate marketplace.json
• （可選）擴充 che-creative-suite 的 creative-router，從 pixel+svg 擴到也認得 3D / audio 任務

Impact / Risks

• 遷移是 breaking change：既有從 psychquant-claude-plugins 安裝 pixel/svg/creative-suite 的使用者，需重新 marketplace add PsychQuant/macreate。遷移註記緩解。
• pixel repo 轉 public：需確認 repo 內無敏感內容再轉（既有 private 狀態的潛在雷，順手解掉）。
• security gate 是硬關（見 che-claude-config common-release-flow.md）：新 PsychQuant repo 首發前必過 audit，否則供應鏈風險。
• Phase 2 是兩個新 build，工作量遠大於 Phase 1 的遷移；不應 block macreate 上線。

參照

• 模板：PsychQuant/macdoc（marketplace + submodule + audit-security.sh + SECURITY.md）
• 遷移前例：macdoc README「che-word / macdoc 原先發布於 psychquant-claude-plugins，自 2026-07 起以本 marketplace 為準」
• 簽章 pipeline：che-mcps-notary keychain profile、Developer ID Team 6W377FS7BS

---

Current Status

• Phase: implemented (Phase 1 done; T1–T5 all green)
• Complexity: Plan (Layer P: ordered deps + 8 steps + breaking migration + public-flip risk; hard-gate triggered)
• Conflict Class: C_shared_module_coord (psychquant-claude-plugins marketplace.json + 3 submodule repos)
• Next: /idd-verify #1 — Phase 2 (blender/logic-pro) 另開追蹤；hygiene follow-up pixel/svg plugin.json version (0.1.1) ahead of published release (v0.1.0) #2
• Diagnosis: Build macreate — native macOS creative/media MCP marketplace (macdoc's creative twin) #1 (comment)

[kiki830621]

Diagnosis

Type

feature（multi-phase infra build；本次診斷限 Phase 1 = marketplace bootstrap + 乾淨遷移）

Analysis（需求拆解 + 依賴排序）

Phase 1 的目標：把 PsychQuant/macreate 立成一個能用的全媒體創作 marketplace，上架三個 ready 成員（pixel / svg / creative-suite），從 psychquant-claude-plugins 乾淨遷出，過 security baseline gate，public 且可安裝。

把 Phase 1 拆成工作單元 + 依賴（這正是它是 Plan-tier 的原因——步驟間有硬性順序）：

#	工作單元	依賴	說明
1	Scaffold	—	照 macdoc 骨架建 .claude-plugin/marketplace.json + mcp/ + plugins/
2	pixel 轉 public	—	前置：先掃 repo 無 secret 才轉。private 的 release asset 匿名下載失敗，wrapper 抓不到 binary
3	Submodule 掛入	1	mcp/che-pixel-mcp、mcp/che-svg-mcp；creative-suite → plugins/che-creative-suite
4	marketplace.json	3	3 個 plugin 條目 + wrapper 指向各 repo release（copy macdoc/psychquant-claude-plugins 的 wrapper pattern）
5	本地測試	4 + 2	claude --plugin-dir 或本地 marketplace add，install 三個 plugin 驗證
6	Security gate	1–5	macdoc/scripts/audit-security.sh macreate 全綠（secret scan / Dependabot / branch protection）→ blocks 首 tag
7	macreate 轉 public	6	marketplace 需匿名 claude plugin marketplace add
8	遷移 + 首發驗證	7	從 psychquant-claude-plugins 移除 3 條目 + 兩邊遷移註記；首 tag；端對端 install 驗證

Impact

• Repos 觸及：PsychQuant/macreate（新建）、PsychQuant/che-pixel-mcp（可見性）、psychquant-claude-plugins（marketplace.json 移除 + 註記）。三個成員 repo 作為 submodule 被引用。
• 使用者流程：既有從 psychquant-claude-plugins 裝 pixel/svg/creative-suite 的人，下次 plugin update 會斷 → 需重新 marketplace add PsychQuant/macreate。遷移註記緩解。
• Wrapper 下載路徑：pixel binary 必須可匿名抓取（→ 轉 public 是硬前置）。

Strategy

照抄 macdoc 的已驗證結構。排序是關鍵：多個步驟硬依賴前置，且一個 breaking / 難回復的動作（public flip + 遷移）壓在尾端，順序錯會讓使用者短暫兩個 marketplace 都失效。

• 掃 che-pixel-mcp repo 確認無 secret，再 gh repo edit --visibility public
• Scaffold macreate：.claude-plugin/marketplace.json + mcp/ + plugins/，對齊 macdoc layout
• 掛 submodule：mcp/che-pixel-mcp、mcp/che-svg-mcp、plugins/che-creative-suite
• 寫 macreate marketplace.json：3 條目 + wrapper release 指標（copy macdoc/psychquant-claude-plugins wrapper pattern）
• 本地測試 install 三個 plugin（claude --plugin-dir 或本地 marketplace add）
• 跑 macdoc/scripts/audit-security.sh macreate，紅的補綠（secret scanning / Dependabot / branch protection）
• macreate 轉 public
• 順序鐵律：macreate live + public 之後才從 psychquant-claude-plugins 移除 3 條目 + 兩邊遷移註記
• 首 tag/release；端對端驗證 claude plugin marketplace add PsychQuant/macreate → install 三個成功

Conflict Class

C_shared_module_coord — named 共享資源：(1) psychquant-claude-plugins/.claude-plugin/marketplace.json（遷移時移除 3 條目）；(2) che-pixel-mcp / che-svg-mcp / che-creative-suite 三個 repo（遷移窗口內同時被兩個 marketplace 以 submodule 引用）。需序列協調，確保遷移窗口不會讓使用者兩邊皆失效。

Complexity

Plan。Layer P 命中信號：

• 2+ 檔有順序依賴：submodule → marketplace.json → 遷移；pixel-public → install-verify。無法 parallel edit。
• Strategy 有 8 個 ordered steps：sequential 複雜度，受惠於 explicit checkpoint。
• Decision-heavy（2+ valid approaches）：creative-suite 用 submodule vs 直接 copy；遷移採 migrate-then-verify vs 短暫 dual-list；mcp/ + plugins/ 目錄 layout 是否完全照抄 macdoc。
• 觸及 risk-sensitive 邊界：breaking migration（使用者 install 斷）、repo 可見性 flip（安全——轉 public 前必掃 secret）、security baseline gate。

Hard-gate: triggered — 單一概念（macreate marketplace）散佈到 ≥5 個協調檔：macreate marketplace.json + .gitmodules + plugins/ + psychquant-claude-plugins/marketplace.json + 兩邊 README 遷移註記。強化 Plan 判定。

Vagueness Pre-check（Layer V）

• V1（vague WHAT）：2 — WHAT 已由 8 項 checklist 明確界定，非模糊。
• V4（vague ACCEPTANCE）：2 — 完成定義清楚（marketplace add + install 三個成功、security 全綠）。
• Triggered：no — 兩軸皆 ≤ 3。

Risks

• pixel 轉 public 前未掃 secret → 洩漏。把可見性 flip 閘在一次乾淨 secret scan 之後（不可逆：public 過的內容視同已公開）。
• 遷移窗口：若在 macreate live+public 之前就從 psychquant-claude-plugins 移除，使用者兩邊皆無。順序鐵律：macreate 先 live+public，再移除舊條目。
• Security baseline gate 可能卡首 tag：PsychQuant 免費 tier，org *_enabled_for_new_repositories flag 是意圖非自動；audit 可能全紅，需 gh api 逐項開。
• Wrapper release-pointer 格式必須對齊 macdoc/psychquant-claude-plugins wrapper 的預期，否則 auto-download 斷。

Residue

Phase 2（blender / logic-pro onboarding）已 checklist 化，但其觸發時機——是否／何時把兩個 repo 轉 PsychQuant org 並投入首發 release——是取決於它們成熟度的判斷，現在無法 operationalize。「全媒體品牌、三成員 launch」這個落差是 issue 刻意保留的 horizon，不是遺漏。

[kiki830621]

Implementation Plan (Plan tier) — macreate Phase 1

核心結構決定（先講，因為它讓計畫比 diagnosis 更簡單）

Recon macdoc 後確認：marketplace 服務的是 ./plugins/<name>/（普通目錄的 wrapper plugin def，非 submodule）；macdoc 的 mcp/<name> submodule 只是 binary 的 build home。

關鍵決定：macreate 是純 distribution shell，不放 mcp/ submodule。 理由：pixel/svg 的 build home 已在 che-mcps umbrella，macreate 再掛一次 submodule 會製造第二個 build home（與 che-mcps 冗餘、易 drift）。這與 macdoc 不同是刻意的——word/pdf/pptx 是 macdoc 原生產物、build home 就在 macdoc；pixel/svg 不是。這也對齊你先前「marketplace-only 殼、不上原生核心」的定調。

於是 macreate 結構收斂成：

macreate/
├── .claude-plugin/marketplace.json     ← 3 條目，source 指 ./plugins/<name>
├── plugins/
│   ├── che-pixel-mcp/        ← 從 psychquant-claude-plugins 複製（wrapper + .mcp.json + plugin.json）
│   ├── che-svg-mcp/          ← 同上
│   └── che-creative-suite/   ← 同上（無 binary，router+agent+skills）
├── README.md                 ← 已種子
└── .gitignore                ← 已種子

無 submodule、無 binary。binary 仍從各自 source repo 的 GitHub Release 匿名下載（wrapper 內的 repo slug 不變）。

Files & Changes

macreate repo（新增）

• plugins/che-pixel-mcp/ — 從 psychquant-claude-plugins/plugins/che-pixel-mcp/ 複製（排除 .DS_Store）。wrapper 內的 release repo slug 保持 PsychQuant/che-pixel-mcp 不動
• plugins/che-svg-mcp/ — 同樣複製
• plugins/che-creative-suite/ — 同樣複製（依賴宣告 pixel/svg，內容不動）
• .claude-plugin/marketplace.json — 新建，name: macreate、owner: PsychQuant、3 個 plugin 條目 source: ./plugins/<name>，版本沿用各 plugin 現有 plugin.json 版本

psychquant-claude-plugins repo（遷移）

• .claude-plugin/marketplace.json — 移除 che-pixel-mcp / che-svg-mcp / che-creative-suite 三個條目
• README.md（或 CLAUDE.md）— 加遷移註記「創作類 plugin 自 遷至 PsychQuant/macreate，以該 marketplace 為準」
• plugins/che-pixel-mcp/, plugins/che-svg-mcp/, plugins/che-creative-suite/ — 暫不刪目錄（見 Decision Point 3：先 delist，proven 後另一 commit 刪）

GitHub 設定（非檔案）

• PsychQuant/che-pixel-mcp 可見性 PRIVATE → PUBLIC（前置：secret scan 綠）
• PsychQuant/macreate 可見性 PRIVATE → PUBLIC（前置：security gate 綠）
• macreate branch protection / Dependabot / secret scanning（security baseline）

Family-wide scope

n/a（硬閘因「單一概念散佈 ≥5 檔」命中，非 shared-abstraction 命中）

Sequencing & Dependencies（順序是這個 Plan 的重點）

A. pixel secret scan → pixel 轉 public              ┐ 可與 B 平行
B. macreate scaffold: 複製 3 個 plugins/ + marketplace.json ┘
        ↓
C. 本地驗證：marketplace add（本地路徑）+ install 三個
        ↓
D. security baseline gate（audit-security.sh macreate 綠）
        ↓
E. macreate 轉 public
        ↓  ← 鐵律分界：E 完成（macreate live+public）才能做 F
F. psychquant-claude-plugins delist 3 條目 + 遷移註記
        ↓
G. 首發驗證：從 PsychQuant/macreate 匿名 add + install 三個

兩條不可違反的順序：

1. pixel 轉 public 前必先 secret scan（public 不可逆）。
2. E 先於 F：macreate live+public 之前不得從舊 marketplace delist，否則使用者兩邊皆空窗。

Decision Points

#	決定	選項	建議
1	macreate 要不要 mcp/ submodule	(a) 不放，純 shell / (b) 照抄 macdoc 放	(a) 不放 — build home 已在 che-mcps，避免第二個 build home
2	plugin def 用複製還是 submodule	(a) 複製（同 psychquant-claude-plugins 現況） / (b) submodule	(a) 複製 — 現況本就是普通目錄，history 留在原 repo，複製最直接
3	psychquant-claude-plugins 的舊 plugin 目錄	(a) 先 delist、目錄留著，proven 後另 commit 刪 / (b) 一次刪掉	(a) delist-first — 可逆；macreate 驗證無誤後再刪目錄
4	creative-suite 進 macreate 的形式	直接複製目錄（無 binary，無爭議）	複製

Risks & Mitigations

• pixel 轉 public 洩漏 → 轉前跑 secret scan（gh secret-scanning / gitleaks / 人工掃 repo），綠了才 flip。不可逆，這關最硬。
• 遷移窗口兩邊皆空 → 嚴守 E→F 順序；F 之前 macreate 必須已 public 且 install 驗證過。
• security baseline gate 卡首發 → PsychQuant 免費 tier，org flag 是意圖非自動；audit 若紅，用 gh api 逐項開（secret scanning、Dependabot alerts、branch protection），參 macdoc/SECURITY.md Hardening baseline。
• wrapper release-pointer 失效 → 複製 wrapper 後不改 repo slug；本地 install 驗證 binary 真的抓得到（含 pixel 轉 public 後匿名抓取）。
• 跨 repo commit 混淆 → macreate 與 psychquant-claude-plugins 各自 commit，各自 Refs #1 對應；psychquant-claude-plugins 的 commit message 註明是 macreate Build macreate — native macOS creative/media MCP marketplace (macdoc's creative twin) #1 的遷移。

Test Plan（infra 驗證閘，非 TDD 單元測試）

閘	驗證	通過條件
T1	本地 marketplace add + install（step C）	三個 plugin 從本地 macreate 裝成功
T2	pixel binary 匿名下載（pixel 轉 public 後）	無認證下 wrapper 抓到 binary
T3	audit-security.sh macreate（step D）	全綠（secret scan / Dependabot / branch protection）
T4	首發端對端（step G）	claude plugin marketplace add PsychQuant/macreate → install pixel/svg/creative-suite 三個成功
T5	遷移無回歸	psychquant-claude-plugins delist 後，其餘 plugin 仍正常；創作類已改由 macreate 提供

Out-of-scope（本次不碰）

• Phase 2 全部：blender / logic-pro onboarding（org 轉移、首發 release、wrapper）。
• creative-suite router 擴充到 3D/audio。
• psychquant-claude-plugins 舊目錄的實體刪除（Decision Point 3 選 delist-first，刪除留後續 commit）。
• macreate 的原生 Swift 核心（維持純 shell）。

Tangential Observations (filed mid-plan, v2.42.0+ #524)

• committed .DS_Store in plugin dirs（recon 時發現 macdoc/plugins/*/、psychquant-claude-plugins/plugins/*/ 都有 tracked .DS_Store）→ none filed：對 macreate 自我解決（種子 .gitignore 已排除 .DS_Store，複製時排除即可，copies 不會帶入）；上游 repo 的既有 .DS_Store 屬其他 repo、非本 issue scope。屬 (a) 對 macreate unactionable-because-self-resolved + out-of-repo-scope。
• 其餘無 surfaced。

[kiki830621]

Implementation Progress — reversible steps done, gate checkpoint reached

Done (reversible)

• B scaffold (3425b49): copied che-pixel-mcp / che-svg-mcp / che-creative-suite plugin defs into macreate/plugins/ + wrote .claude-plugin/marketplace.json (mirrors macdoc schema, 3 creative entries). No mcp/ submodules, no binary — pure distribution shell.
• A-scan (pixel public gate): che-pixel-mcp secret scan clean — no sensitive files, no secret patterns in tracked content, no history of secret filenames. (gitleaks not installed → manual pattern scan.)
• T1 structural: all 3 plugins resolve — source dir + plugin.json + wrapper present & executable + version matches marketplace entry. PASS.
• Dependabot alerts enabled on macreate.

Finding — approved-plan ordering must invert (surface before proceeding)

The approved plan sequenced D (security gate green) → E (macreate public). But the audit shows macreate private → secret scanning / push protection / branch protection are N/A while private (GitHub free-tier public-only features). So the baseline cannot go fully green until after the public flip.

Adjusted order: E (macreate public) → enable public-only hardening → D-reverify green — instead of D-then-E. Dependabot alerts (the one private-enableable item) is already on.

Remaining = irreversible / outward-facing batch (paused for confirmation)

• pixel PRIVATE → PUBLIC (scan clean; irreversible)
• macreate PRIVATE → PUBLIC → enable hardening → re-audit green
• delist 3 entries from psychquant-claude-plugins + migration note (breaking for existing installs)
• first release/tag + end-to-end marketplace add PsychQuant/macreate verify (T4)

[kiki830621]

Implementation Complete — Phase 1 done ✅

macreate 已上線為 public 全媒體創作 marketplace，三個成員可安裝。

Files & Changes（已 land）

• macreate plugins/che-pixel-mcp / che-svg-mcp / che-creative-suite + .claude-plugin/marketplace.json（3425b49，已 push origin/main）
• che-pixel-mcp PRIVATE → PUBLIC（secret scan clean 後）
• macreate PRIVATE → PUBLIC + hardening（secret scanning / push protection / Dependabot alerts+updates / branch protection）
• psychquant-claude-plugins delist 3 條目 + README 遷移註記（a956b74 on main）

驗證閘（全過）

閘	結果
T1 structural	✅ 3 plugins 全解析（source + plugin.json + wrapper exec + 版本相符）
T2 匿名 binary 下載	✅ cafebabe Mach-O universal，28.8 MB，無 auth 抓得到
T3 security audit	✅ audit-security.sh macreate → public(OK)，baseline 全綠
T4 marketplace add	✅ claude plugin marketplace add PsychQuant/macreate 成功，serves 3 plugins
T5 delist 生效	✅ psychquant-claude-plugins 同步後 34 → 31，creative 三個消失

過程中的一個修正（誠實記錄）

delist commit 一度誤 commit 到 psychquant-claude-plugins 的 in-progress feature branch idd/mail275-last-updated-rfc822（該 checkout 當時停在那）。已修正：cherry-pick 到 main（a956b74）、feature branch rewind 回 a080992（mail275 工作完整保留、只移除誤放的 commit）、checkout 還原。main 與 feature branch 皆恢復正確狀態，無資料遺失。

Sister concern filed

• pixel/svg plugin.json version (0.1.1) ahead of published release (v0.1.0) #2 — pixel/svg plugin.json version (0.1.1) 領先 published release (v0.1.0)。遷移前既存的 mismatch，wrapper fallback 使安裝仍可用；版本對齊留 pixel/svg plugin.json version (0.1.1) ahead of published release (v0.1.0) #2。

Out-of-scope（如計畫）

Phase 2（blender / logic-pro onboarding）、creative-suite router 擴 3D/audio、psychquant-claude-plugins 舊目錄實體刪除（delist-first，留後續 commit）。