docs(refactor): [DOC-06] authorize dependencies and project scripts

refactor/toolchain-release.md

@@ -6,6 +6,21 @@ TypeScript 用于自有源码、检查与声明生成；Vite/Rollup 保留现有
 
 这是项目方向，不是已完成的切换。工具版本必须在 ENG-01 / MOD-01 通过干净环境试点后固定，不能沿用开发机器上偶然存在的传递依赖。
 
+## 新依赖与脚本的自主选择
+
+用户已授权按重构需要安装新依赖、添加及改进合理脚本，常规选择不需要再次确认。此授权覆盖测试、类型检查、声明生成、构建、文档和代码维护工具，以及确有必要的运行依赖。
+
+- 以正在解决的问题为依据引入工具；记录用途、选定版本及相对现有方案的收益，避免用途相同的工具长期重复堆积。
+- 区分 devDependencies、dependencies 和 peerDependencies，放入正确 workspace。开发工具不应意外进入消费者浏览器 bundle。
+- 更新 manifest、适用的锁文件、CI 和使用文档；检查干净安装和执行，不能依赖全局安装或偶然存在的传递依赖。
+- 运行依赖需要比较包体积、浏览器/Node/TS 要求、许可和分发影响；必要升级单独记录，继续保持旧用户接口可用。
+- 脚本职责清楚，名称易理解，支持自动化所需的非交互参数和可靠退出码；兼顾本地 Windows 与 CI 环境。
+- 区分只读检查、自动修复、构建生成和发布命令。旧脚本入口已有用户时保留转发或兼容调用。
+- 文档写明脚本输入、输出、是否修改文件、运行环境和示例；复用成熟工具，避免无必要地自建复杂框架。
+- 在对应任务 commit 中一起保存依赖/脚本、测试、锁文件及文档；不因安装了工具就宣称迁移完成。
+
+工具选择可以根据证据调整既有计划，在 decisions.md 更新理由。旧 API 和产物能力仍是验收条件；本地工具授权不等同推送或公开发布授权。
+
 ## TypeScript
 
 1. 根目录管理基础配置，核心、插件、工具、构建脚本、worker/Worklet 各自配置环境。