技能介绍

它解决什么问题

代码评审的瓶颈往往不在「看不懂」，而在「看不过来」。PR 里有上百行改动，肉眼只能扫到命名和缩进；SQL 注入、密钥硬编码这类高危问题混在业务逻辑里，等 Code Owner 发现时已经进了主干。人工 CR 还高度依赖 reviewer 的经验——同一份代码，有人能指出重复 IO，有人只能留下「建议加注释」。

code-review-pro 想做的是把基础评审这一步自动化：不改现有开发流程，不接 CI 流水线，而是在你提交代码前跑一遍静态规则，把能机器判断的问题先拦下来。

核心能力与工作流程

它按模块组织规则引擎，每个模块可单独开关，也可以组合成一次全量深度扫描：

多语言语法扫描：覆盖 Python、Java、Go、TypeScript、Vue、SQL、Shell 等主流语言，检测语法与逻辑层面的显性错误。
OWASP 安全检测：识别注入漏洞、密钥硬编码、越权接口、敏感信息泄露等线上高危隐患。
性能缺陷分析：定位低效循环、重复 IO、未释放资源、慢查询 SQL 等运行损耗点。
编码规范校验：适配阿里/Google 通用规范，校验命名、注释、缩进与冗余代码。
PR 增量评审输出：只扫本次提交的 diff，生成可直接粘贴进 PR 的评论与修复示例。

内部流程分四步走：先读取代码范围——从本地目录或 Git diff 中提取变更，自动过滤测试文件、第三方依赖和忽略目录，并加载团队的自定义规范配置；然后多规则引擎并行扫描，逐行标记问题并区分高危 / 中危 / 优化建议三个等级，同类问题自动合并避免报告冗余；接着针对每个问题给出根因说明、线上潜在危害，以及可直接复制的修复代码片段（原代码与优化代码对比呈现）；最后输出一份 Markdown 格式的评审报告，包含文件路径、行号、修复示例和分项统计，可以导出本地文件，也可以一键生成适配 Git 平台的 PR 评论文本。

适用边界与注意点

几个使用前需要明确的约束：

这是纯静态分析，本地只需 Git 环境，不需要编译或启动项目——好处是快，代价是覆盖不到运行时才暴露的动态业务漏洞。
内置安全规则库是本地静态版本，不会实时联网拉取最新漏洞情报，CVE 热更新不在能力范围内。
复杂业务逻辑缺陷仍然需要人工复核，工具替代的是基础评审，不是 Code Owner。
读取代码只申请只读权限，不做任何文件写入或修改操作。

另外几个内置参数值得先调一遍：scan_mode 切 full 或 diff，risk_level_filter 设成 high 可以只看高危，custom_rule_enable 决定是否加载团队私有规范，pr_comment_export 控制是否产出 PR 评论文本。