代码审查专家

要解决什么问题

团队在做 MR/PR、上线前或接手老仓库时，往往缺少统一口径：语法和规范靠人工扫一眼，安全与性能容易漏项，最后只剩「感觉不太对」却说不清严重度和怎么改。本技能把审查拆成可重复的阶段，并约定严重度与是否阻断合并，让输出变成能直接排期的清单。

技能如何工作

审查覆盖六个维度：语法与规范、安全扫描、性能分析、可读性、可维护性与最佳实践（含 SOLID、DRY、错误处理与测试等）。流程固定为五阶段：

1. 语法检查：对照语言常用工具思路（如 Python 的 flake8、JS 的 ESLint、Go 的 golangci-lint），抓语法错误、命名与格式类问题。
2. 安全扫描：按清单查 SQL 注入、XSS、命令注入、硬编码密钥、不安全反序列化、SSRF 等，并给出致命/高危/中危分级与处置时限。
3. 性能分析：时间/空间复杂度、N+1、循环内 I/O、锁与并发、索引与缓存等反模式。
4. 最佳实践：设计原则、API 与配置管理、日志与测试覆盖。
5. 报告生成：每条问题需文件路径+行号、严重度、可操作的修复建议；安全项在报告中对密钥等做脱敏。

配套决策表会按场景（如 PR diff、上线前、老代码）建议审查深度；致命与高危默认阻断合并。可选与 scripts/analyze.py 协作做单文件、目录、git diff 或仅安全扫描。

适用边界与注意点

• 技能只读审查，不直接改你的代码；语言上核心支持 Python / JavaScript / TypeScript / Java / Go，其余语言可参考同类检查项但工具映射较弱。
• 安全策略是宁错报不漏报，但仍要求不夸大严重度；老代码不强求立刻符合最新规范，侧重风险与技术债标注。
• 体量极大时（如上万行）更适合工具扫描加重点模块人工深挖，而非逐行同等深度。