AI 产出验收清单生成器

为什么需要这套验收方法

当 AI 告诉你「做完了」，真正的问题才刚开始：功能是否真的可用？字段名和接口路径是否和规划一致？代码里有没有硬编码的密钥？这次改动有没有搞坏之前能用的功能？

多数团队的答案是「再让 AI 自己检查一下」，但这本质上是让 AI 审自己的产出，既没有独立视角，也没有统一标准。本技能把验收从一句模糊的「看着办」变成一套可执行、可留痕、可打回的清单。

四维度验收法

每次验收按四个维度依次进行，任一步 FAIL 都直接打回 AI 重做：

• 功能对不对：对照需求文档的「完成标准」逐条核对；用真实数据测试，覆盖空数据、超大数据、特殊字符等边界；确认关键页面不报错，保存/提交等操作有明确反馈。
• 命名是否一致：直接问 AI 使用的字段名和接口路径是否与规划文档完全一致；不接受 AI 自行创造的命名；若提供了规划文件，用脚本比对代码中实际出现的路径。
• 代码安不安全：检查是否有硬编码的密码 / API Key / Token；确认 .env 未被提交到代码库；用 acceptance.py 自动扫描 secret 模式和 gitignore 配置。
• 有没有破坏已有功能：每次改动后，把之前验证过的功能重新跑一遍，发现回归立即反馈。

脚本与报告

acceptance.py 能机械扫描的部分包括：硬编码密钥（覆盖 API Key、Secret、Token、AWS、GitHub、JWT、微信 appsecret、私钥块、高熵串等）、.env 是否入库、接口路径与规划的偏差。

扫描结果会生成一份 验收报告.md，包含四维度逐项 PASS / WARN / FAIL 结论、安全评分（机械项 0-100）、以及总体判定（可发布 / 需返工）。脚本自带 --self-test，可以用一份含漏洞的样例工程验证它确实抓得到问题。

适用边界

• 脚本只能查能机械扫描的内容：明文密钥、.env 入库、路径偏差。功能正确性和是否破坏已有功能仍需人工或真实数据测试，脚本不替代。
• 不要把 .env 真实值交给 AI；脚本只检查「是否存在于代码中」，不读取 .env 内容。
• 本技能是门禁，不是测试替身——它帮你问对问题、查对隐患，最终判定权在你手上。