技能介绍

技术尽调的核心痛点

在并购或融资交易中，技术尽职调查往往陷入两难：工程师给出的报告满篇专业术语，非技术背景的投资委员会成员难以判断真实风险；而商业尽调又无法触及代码底层，容易漏掉技术债、安全漏洞或架构瓶颈。人工审查代码库耗时费力，且难以量化风险等级和修复成本。如何将复杂的代码库转化为投资决策可依赖的证据链，是技术尽调要解决的根本问题。

工作方式与输出结构

该技能以代码库为输入，无论是本地路径还是 GitHub 仓库，启动后自动执行完整的 10 阶段调查流程。

调查覆盖：侦察、架构分析、代码质量与技术债、安全、可扩展性与性能、测试覆盖、构建部署、Git 历史团队推断、依赖与许可证风险、文档完整性。
效率策略：采用 glob 快速定位文件，grep 搜索风险模式，读取代表性样本而非逐行扫描全部代码，将时间集中在高风险区域。
量化输出：所有结论附带具体指标——代码行数、依赖数量、最近提交时间、测试与代码比例、漏洞计数。
风险评级：采用 CRITICAL / HIGH / MEDIUM / LOW / NEGLIGIBLE 五级标准统一衡量，避免主观夸大。
修复成本估算：每项重要发现转化为工程师周数（1 engineer-week = 40 小时高级工程师工时，按 $8,000 混合成本计算），为 CFO 和投资委员会提供直接的决策依据。

报告严格遵循 tech-dd-report.md 模板生成，包含面向非技术成员的执行摘要、技术审查细节、风险登记表和财务影响汇总。每条发现必须引用具体文件路径、目录、配置键或代码模式作为证据，任何推测性判断都会被明确标注。

适用边界

该工具是静态代码分析引擎，无法评估运行时行为、生产环境配置、数据质量或超越 Git 历史的团队动态。报告中会明确标注这些审查盲区，并将无法从代码本身判断的事项归入 Due Diligence Gaps 章节，建议后续与工程团队沟通确认。遇到无法判断的问题，工具不会编造结论，而是声明"无法仅凭代码库评估"并列入待确认清单。

安全方面，报告中不会包含任何实际凭据、API 密钥或密钥——如发现敏感信息，仅记录文件和行号，并对值进行脱敏处理。