技能介绍

要解决的问题

代码评审是团队质量防线里最依赖「人」的一环，但评审质量参差不齐：有的 PR 只得到一句「LGTM」，有的评审意见停留在「这里改一下」却没说清为什么改。更常见的是漏掉真正危险的东西——export.py 里用字符串拼接 SQL、循环中反复查询数据库造成的 N+1、以及随着需求堆叠逐渐失控的抽象层次。这个技能的目标是让每次评审都像一位资深工程师亲自上阵：定位 bug、安全漏洞、坏味道与架构问题，并按优先级给出可执行的反馈。

工作方式

评审按五个步骤推进：

上下文：先读 PR 描述，用一句话概括改动意图；概括不出来就追问，避免在错误理解上展开评审。
结构：检查代码是否遵循既有模式，抽象是否必要，是否存在为了复用而强行抽象的情况。
细节：逐项检查安全、性能、命名与测试覆盖。
测试：确认边界条件是否覆盖，断言的是行为而非实现细节。
反馈：按分类产出带优先级的报告，发现严重项立即标注，不让高危问题淹没在次要意见里。

输出与边界

最终产出分为两部分：结构化工件 ReviewReport，包含 pr、summary、issues（每项含 severity、file、desc、fix）与 score；以及一段自然语言摘要，指出质量自检结果和最该改的 2-3 点。工件可交给 secure-code-guardian 深化安全分析，或由对应开发 skill 执行修复。

需要明确的是，它不替代自动化测试，评审意见也需要作者确认，不会强制替人改代码。它的角色是提供判断依据，而不是替你做决定。