技能介绍

变更上线前，审计边界往往说不清

合并请求或 hotfix 往往只贴几段 diff，审查者要么泛泛扫一眼，要么在「要不要看调用方」上反复拉扯。安全（注入、越权、敏感数据）、逻辑边界、N+1 与并发竞态、以及可维护性坏味道，如果没有统一的 scope 和 detail_level，报告深度和耗时都无法预期。

技能如何执行一次审计

技能把助手固定为资深代码审计角色，并在报告开头声明本次范围与粒度，再按维度逐项分析，避免漏项。

范围 (scope)：支持自然语言描述（如 commit 6f4f2d、main..feature/login、最近 N 天变更）。无代码时会引导粘贴带上下文的 git diff、完整变更文件，或在征得同意后尝试拉取 diff。
粒度 (detail_level)：默认 diff_only，只审 diff 中 + 行及约 3 行上下文；changed_files 审变更文件全文；full_context 在全文基础上用 grep/rg 等补充调用链与被引用定义，额外上下文文件合计不超过 5 个，超出时在报告中标注 [上下文截断]。
审计维度：安全（OWASP Top 10、密码学误用、输入/输出、会话与权限、依赖 CVE 等）、逻辑与质量、性能、可维护性与规范、合规与最佳实践；每项问题带 【严重】～【建议】 等级。
输出：中文 Markdown 结构化报告，代码片段与术语保持原文。

适用边界

diff 超过 500 行时，优先展开 【严重】/【高危】，低危与建议可在文末汇总。审计聚焦本次变更引入的问题；在更粗粒度下触到的存量问题需标 [存量]。证据不足时标 [待确认] 并说明需补哪些上下文。依赖 CVE 检查在无法运行 npm audit 等工具时，仅能基于公开 CVE 知识做有限判断。