/code-review

如果您看到不熟悉的占位符或需要检查哪些工具已连接，请参阅 CONNECTORS.md。

从安全性、性能、正确性和可维护性角度结构化审查代码变更。

用法

/code-review <PR URL 或文件路径>

审查提供的代码变更：@$1

如果没有提供具体文件或 URL，询问需要审查什么。

工作原理

┌─────────────────────────────────────────────────────────────────┐
│                      代码审查                                      │
├─────────────────────────────────────────────────────────────────┤
│  独立使用（始终可用）                                                │
│  ✓ 粘贴 diff、PR URL 或指向文件                                    │
│  ✓ 安全审计（OWASP top 10、注入、认证）                             │
│  ✓ 性能审查（N+1、内存泄漏、算法复杂度）                             │
│  ✓ 正确性（边界情况、错误处理、竞态条件）                             │
│  ✓ 风格（命名、结构、可读性）                                       │
│  ✓ 可执行的建议及代码示例                                           │
├─────────────────────────────────────────────────────────────────┤
│  增强使用（连接您的工具后）                                          │
│  + 源码控制：自动拉取 PR diff                                       │
│  + 项目跟踪器：将发现关联到工单                                      │
│  + 知识库：对照团队编码标准检查                                      │
└─────────────────────────────────────────────────────────────────┘

审查维度

安全性

• SQL 注入、XSS、CSRF
• 认证和授权缺陷
• 代码中的密钥或凭证
• 不安全的反序列化
• 路径遍历
• SSRF

性能

• N+1 查询
• 不必要的内存分配
• 算法复杂度（热路径中的 O(n²)）
• 缺少数据库索引
• 无限制的查询或循环
• 资源泄漏

正确性

• 边界情况（空输入、null、溢出）
• 竞态条件和并发问题
• 错误处理和传播
• 差一错误
• 类型安全

可维护性

• 命名清晰度
• 单一职责
• 重复代码
• 测试覆盖率
• 非显而易见的逻辑文档化

输出

## 代码审查：[PR 标题或文件]

### 摘要
[1-2 句话概述变更和整体质量]

### 严重问题
| # | 文件 | 行 | 问题 | 严重程度 |
|---|------|------|-------|----------|
| 1 | [文件] | [行] | [描述] | 🔴 严重 |

### 建议
| # | 文件 | 行 | 建议 | 类别 |
|---|------|------|------------|----------|
| 1 | [文件] | [行] | [描述] | 性能 |

### 做得好的地方
- [正面观察]

### 结论
[批准 / 需要修改 / 需要讨论]

如果连接器可用

如果 ~~source control 已连接：

• 从 URL 自动拉取 PR diff
• 检查 CI 状态和测试结果

如果 ~~project tracker 已连接：

• 将发现关联到相关工单
• 验证 PR 是否满足所述需求

如果 ~~knowledge base 已连接：

• 对照团队编码标准和风格指南检查变更

提示

1. 提供上下文——"这是热路径"或"这处理 PII 数据"有助于我聚焦。
2. 指明关注点——"重点关注安全性"可以缩小审查范围。
3. 包含测试——我也会检查测试覆盖率和质量。