七维代码审查

解决什么问题

代码审查是软件质量的关键环节，但实践中常遇到两大挑战：一是审查者容易陷入“顺手修复”的陷阱，导致审查与实现混杂，问题追踪困难；二是随着 AI 辅助编程的普及，生成的代码虽“看起来对”，却可能隐藏着 API 幻觉、静默降级等人类代码不常见的风险。传统的审查清单往往不涵盖这些新维度。

本技能（code-review）正是为应对这些挑战而设计的只读、结构化的 AI 代码审查代理。它的核心价值在于强制分离审计与修复，并针对 AI 代码引入了独有的检查维度。

如何工作

核心原则：审计修复分离

这是本技能铁律。当用户发出 review/看看/审查 等指令时，技能进入只读模式。它将执行全面的代码审计，并输出一份结构化的问题清单，然后停止。它绝不会在审查过程中附带任何代码修改。修复决策权完全交还给用户。清单中的每条问题都严格遵循五字段格式：定位 (文件:行号)、根因、影响面、维度+严重度、修复方向。

关键步骤：从环境探测到七维审查

在开始审查前，技能会先进行环境探测：确认审查对象是单文件、目录还是 git diff；强制读取目标文件全文以获取上下文；对疑似死代码进行全项目引用检索；并记录运行环境版本。这确保了审查结论的准确性，避免“管中窥豹”。

审查则依据其核心的 七维检查清单进行，覆盖了从传统 bug 到 AI 特有问题的广泛维度：

• ① 正确性 Bug：检查边界条件（空集合、None、NaN、跨日等）与跨环境陷阱（路径、编码、时区）。
• ② AI 特有：幻觉与静默降级：验证 API 签名，排查 except: pass 等吞掉错误的代码，要求降级时必须带质量标记。
• ③ 性能与资源：识别无缓存循环、资源泄漏、无超时调用等。
• ④ 冗余与一致性：寻找死代码、调试残留、重复逻辑（遵循三次法则）和孤儿变量。
• ⑤ 安全与泄漏：扫描硬编码密钥、SQL 注入、敏感信息日志等。
• ⑥ 产品与过度工程：判断功能是否是垃圾或过度设计，逻辑是否可简化。
• ⑦ 可验证性与可回滚：确保改动有基准、关键路径有测试。

审查全程遵循严格的 证据纪律：任何结论都必须基于实际验证（如运行代码、查阅官方文档）。无法直接验证的，只标注为“最可能原因 + 待验证动作”。对于性能建议，在没有 profile 数据前后对比前，只说“预期”，禁说“会变快”。

边界与注意点

本技能是审查专家，而非修复实施者。其能力边界明确：

• 只做审计，不做修复：问题清单确认后，若用户要求修复，则需切换至正常的编码流程。
• 不实施性能调优：只报告性能问题的方向和基线要求。
• 不进行专业安全审计：仅能扫描常见的泄漏模式。

使用时请注意：对于大仓库，应按依赖分层，一次审查一个模块；对于 AI 生成的“看起来对”的代码，务必通过文档或本地测试进行验证；若对问题定性（风格问题 vs. 真问题）犹豫，可执行“删除测试”——若删除该代码后行为不变，则属于低优先级或无需报告。