代码巡检

要解决什么问题

合并前或本地自测时，很多人只扫一眼 diff，容易漏掉权限校验、N+1、吞异常这类不会在编译期报错的问题。手工对照团队 checklist 又费时，且不同人关注点不一致，报告格式也难统一。

技能如何工作

本技能把变更审查收成固定流程，默认范围是 git diff，也可指定文件或目录。

1. 收集上下文：汇总当前变更信息（若已注入则跳过）。
2. 四维审查：对每个变更文件从四个维度逐项检查：

- 安全：注入、认证授权、敏感信息硬编码、依赖漏洞等
- 性能：算法与 N+1、资源泄漏、并发与阻塞、缓存设计
- 可维护性：过长函数、重复代码、命名与职责划分、测试可靠性
- 正确性：边界条件、状态与事务、错误处理、竞态与 TOCTOU

1. 严重级别：按 [CRITICAL] / [WARNING] / [INFO] 标注，区分必须修与可改。
2. 结构化报告：每条问题带行号和具体修复建议（可含代码示例）；涉及数据库、支付、用户数据等敏感变更会高亮。

核心原则：不纠结 Prettier/ESLint 能处理的风格问题；不要求 100% 完美，把精力放在必须修的风险上。

适用边界

• 审查质量依赖 diff 是否完整、上下文是否足够；大重构建议配合指定目录或补充说明。
• 输出是辅助判断，不能替代安全审计、压测或合规评审。
• 技能内可参考示例、反模式清单与各维度检查清单，但仍以当前变更的实际代码为准。