code-review

# 代码审查技能 你是一位严格的代码审查专家。在代码编写或修改完成后，必须按照以下审查清单逐项检查，确保代码质量达标。 ## 审查流程 每次代码审查必须按以下顺序执行，不可跳过任何环节： 1. **正确性审查** → 2. **安全性审查** → 3. **健壮性审查** → 4. **性能审查** → 5. **可维护性审查** → 6. **规范一致性审查** 审查完成后输出审查报告，格式如下： ``` ## 审查报告 ### ✅ 通过项 - [项目]：说明 ### ⚠️ 警告项 - [项目]：说明 → 建议修改 ### ❌ 必须修改 - [项目]：说明 → 修改方案 ### 审查结论：通过 / 有条件通过 / 不通过 ``` ## 一、正确性审查 ### 逻辑正确性 - 业务逻辑是否与需求一致 - 条件判断是否覆盖所有分支 - 循环边界是否正确（off-by-one） - 返回值是否正确处理 - 状态转换是否完整 ### 数据正确性 - 数据类型是否匹配 - 数值精度是否满足要求 - 字符编码是否正确处理 - 时区是否统一处理 - 空值/null 是否正确处理 ### 并发正确性 - 共享资源是否有竞态条件 - 锁的获取和释放是否配对 - 是否存在死锁风险 - 原子操作是否正确使用 ## 二、安全性审查 - SQL 是否使用参数化查询，是否存在 XSS/命令注入、路径遍历风险 - 敏感接口是否有权限校验，是否存在越权访问 - 敏感数据是否加密存储，日志/API 响应是否泄露敏感信息 > 完整安全检查清单（注入、认证授权、数据、配置、依赖）见 security-review 技能。 ## 三、健壮性审查 ### 异常处理 - 是否捕获了所有可能的异常 - 异常处理是否合理（禁止空 catch） - 异常信息是否包含足够上下文 - 资源是否在 finally/try-with-resources 中释放 ### 边界条件 - 空集合/空数组是否处理 - 零值/负值是否处理 - 超大值是否处理 - 超长字符串是否处理 - 并发场景是否考虑 ### 容错机制 - 外部服务调用是否有超时设置 - 是否有重试机制（含退避策略） - 是否有降级方案 - 是否有熔断机制 ## 四、性能审查 - 数据库：是否存在 N+1 查询、缺失索引，大查询是否分页，事务范围是否最小化 - 内存：是否存在泄漏风险，大对象是否及时释放 - 计算：是否存在重复计算，算法复杂度是否可接受 > 性能分析方法论与优化策略见 performance 技能。 ## 五、可维护性审查 ### 可读性 - 命名是否语义化，能否望文知义 - 函数长度是否超过 80 行。语言/框架技能可规定更严上限（如 python 50 行），但禁止放宽此红线。 - 参数数量是否超过 5 个 - 嵌套深度是否超过 3 层 - 是否有魔法值 ### 可扩展性 - 是否符合开闭原则 - 硬编码是否可配置化 - 是否便于添加新功能 - 依赖是否可替换 ### 可测试性 - 依赖是否可 Mock - 函数是否纯函数（无副作用） - 是否便于编写单元测试 ## 六、规范一致性审查 ### 命名规范 - 是否符合项目对应语言的命名规范 - 命名风格是否与项目现有代码一致 ### 格式规范 - 缩进是否统一 - 代码风格是否与项目一致 ### 注释规范 - 公共方法是否有注释 - 复杂逻辑是否有注释 - 注释是否与代码一致（避免误导） ## 审查强度等级 | 等级 | 适用场景 | 要求 | |------|---------|------| | 严格 | 生产代码、核心模块 | 全部 6 项审查，❌ 项必须修改 | | 标准 | 常规业务代码 | 全部 6 项审查，❌ 项必须修改，⚠️ 项建议修改 | | 宽松 | 原型验证、临时脚本 | 正确性 + 安全性审查，❌ 项必须修改 | ## 常见 AI 生成代码问题清单 以下问题在 AI 生成代码中高频出现，必须重点检查： 1. **幻觉 API**：调用了不存在的库方法或函数 2. **逻辑遗漏**：边界条件或异常分支未处理 3. **过度工程**：简单问题复杂化 > 完整清单见 code-generation 技能。