@@ -80,6 +80,14 @@ def check_paths(paths: list[str]) -> list[tuple[str, str, str]]:
             # （实测误伤，且打断依赖它的 skills-check CI）。
             if seg == "vendor" and idx != 0:
                 continue
+            # 点前缀目录默认忽略（2026-09-23）：.agents/.codex-plugin/.zcode/
+            # .github/.claude/ 等是宿主插件清单与第一方配置，必须可入库——
+            # 裸段匹配曾把插件仓的 marketplace.json/plugin.json 判成"不应入库"
+            # （实测阻断发版）。扫描面本就不扫这些目录（FULL_SCAN_EXCLUDES），
+            # 这里只放开"入库面"的目录拦截；密钥类**文件**模式不受影响
+            # （.env、*.pem 等仍按 GUARD_EXCLUDE_FILES 拦截）。
+            if seg.startswith("."):
+                continue
             hit_dir = seg
             break
         if hit_dir:
 
@@ -241,15 +241,16 @@ def test_hooks():
     r = run_hook("user_prompt_validator.py", {"user_prompt": "提交代码"}, clean)
     ok("未接入 linter 不注入通过确认", r.returncode == 0 and "未验证" in r.stdout and "✅" not in r.stdout)
 
-    # ── PreToolUse：安全文件（.env/.venv 入库）→ 🛑 拦截 ──
+    # ── PreToolUse：安全文件（.env 入库）→ 🛑 拦截；点目录 .venv 默认忽略 ──
     (repo / ".env").write_text("SECRET=1")
     (repo / ".venv" / "lib").mkdir(parents=True)
     (repo / ".venv" / "lib" / "x.py").write_text("x=1")
     git(repo, "add", "-A")
     r = run_hook("pre_tool_git_guard.py",
                  {"tool_name": "Bash", "tool_input": {"command": "git commit -m t"}}, repo)
     ok("安全违规 exit 2", r.returncode == 2)
-    ok("安全报告含 .env 与 .venv", ".env" in r.stderr and ".venv" in r.stderr)
+    ok("安全报告含 .env", ".env" in r.stderr)
+    ok("点目录 .venv 默认忽略（2026-09-23 策略）", ".venv" not in r.stderr)
     ok("安全报告给出 rm --cached 修法", "rm --cached" in r.stderr)
 
     # ── PreToolUse：多 cd 命令链 → 逐 git 段解析边界 ──
 
@@ -0,0 +1,74 @@
+"""点前缀目录入库策略测试（2026-09-23）。
+
+需求来源：用户指令「codeguard 要默认忽略 . 开头的目录和文件」。实测背景：
+插件仓发版时 .agents/plugins/marketplace.json 与 .codex-plugin/plugin.json
+被提交内容安全检查判成"依赖/产物目录不应入库"，阻断 codegraph-plugin 发版
+——它们是宿主插件清单（第一方配置），必须可入库。
+
+锁定三件事：
+1. 点前缀**目录**段不再触发"不应入库"目录拦截（.agents/.codex-plugin/.github/...）；
+2. 非点目录（build/dist/target/vendor/node_modules...）维持原拦截；
+3. 密钥类**文件**模式不受点规则影响（.env、*.pem、.DS_Store 仍拦截），
+   vendor 嵌套特例与 fixture db 特例维持不变。
+"""
+from __future__ import annotations
+
+import sys
+import unittest
+from pathlib import Path
+
+PLUGIN = Path(__file__).resolve().parents[1]
+sys.path.insert(0, str(PLUGIN / "scripts"))
+
+from codeguard.path_policy import check_paths  # noqa: E402
+
+
+def flagged(paths: list[str]) -> set[str]:
+    return {v[0] for v in check_paths(paths)}
+
+
+class DotDirCommitPolicyTests(unittest.TestCase):
+    def test_dot_dirs_are_default_ignored(self) -> None:
+        """点前缀目录 = 宿主插件清单/第一方配置，允许入库。"""
+        paths = [
+            ".agents/plugins/marketplace.json",
+            ".codex-plugin/plugin.json",
+            ".zcode-plugin/plugin.json",
+            ".github/workflows/ci.yml",
+            ".claude/settings.json",
+            ".kimi-code/state.json",
+        ]
+        self.assertEqual(flagged(paths), set(), f"点目录不应被拦截: {flagged(paths)}")
+
+    def test_non_dot_dirs_still_flagged(self) -> None:
+        """非点产物/依赖目录维持原拦截。"""
+        paths = [
+            "build/out.js",
+            "dist/bundle.js",
+            "target/site/a.html",
+            "node_modules/p/index.js",
+            "coverage/lcov.info",
+            "vendor/pkg/x.py",
+        ]
+        self.assertEqual(flagged(paths), set(paths))
+
+    def test_secret_dot_files_still_flagged(self) -> None:
+        """点规则只放开目录；密钥/垃圾**文件**模式照拦。"""
+        paths = [".env", "src/secret.pem", "keys/server.key", ".DS_Store"]
+        self.assertEqual(flagged(paths), set(paths))
+
+    def test_root_dotfile_without_secret_pattern_allowed(self) -> None:
+        """无敏感模式的普通点文件（.gitignore/.npmrc）本来就不拦。"""
+        self.assertEqual(flagged([".gitignore", ".npmrc", ".markdownlint-cli2.jsonc"]), set())
+
+    def test_vendor_and_fixture_exceptions_unchanged(self) -> None:
+        """vendor 嵌套特例与 fixture db 特例维持原行为。"""
+        self.assertEqual(
+            flagged(["scripts/vendor/skill_vendor.py", "tests/fixtures/sample.db"]),
+            set(),
+        )
+        self.assertEqual(flagged(["sample.db"]), {"sample.db"})
+
+
+if __name__ == "__main__":
+    unittest.main()