메뉴
Spring Boot 发布前验证闭环——构建、静态分析、测试 + JaCoCo、CVE 扫描、秘密检查、diff review。开 PR、重构、上线、依赖升级后触发。 触发词：pre-PR、pre-release、verification loop、SpotBugs、Checkstyle、Dependency-Check、jacoco、上线前检查。
Codex 또는 Claude로 설치 이 Prompt를 복사해 Codex, Claude 또는 다른 어시스턴트에 붙여 넣으면 Skill 페이지를 검토하고 설치를 진행할 수 있습니다.
SOC 직업 분류 기준
| name | springboot-verification |
| type | workflow-step |
| description | Spring Boot 发布前验证闭环——构建、静态分析、测试 + JaCoCo、CVE 扫描、秘密检查、diff review。开 PR、重构、上线、依赖升级后触发。 触发词：pre-PR、pre-release、verification loop、SpotBugs、Checkstyle、Dependency-Check、jacoco、上线前检查。 |
| version | 1.0.0 |
| author | wta |
测试写法见
skills/testing/springboot-tdd/；安全编码细则见skills/security/springboot-security/。本技能只负责"按顺序执行闭环、产出结构化报告"。
六相验证，按序执行，任一红灯即停。 构建 → 静态分析 → 测试 + 覆盖率 → 安全扫描 → 格式化 → diff review。前一相失败时，不要跳过去跑后一相——问题会叠加，报告会失真。
| 触发 | 执行深度 |
|---|---|
| PR 提交前 | 全量 6 相 |
| 本地迭代中 | 快速 2 相（test + spotbugs） |
| 依赖升级 / 大重构后 | 全量 + 人工 diff review |
| 预上线 / 发布分支 | 全量 + 覆盖率门禁 + 安全门禁 |
# Maven
mvn -T 4 clean verify -DskipTests
# Gradle
./gradlew clean assemble -x test
目的：确认源码能编译、资源文件能打包、Bean 扫描无冲突。编译失败必须先修复，禁止在编译未过时继续后续相位。
# Maven（常见组合）
mvn -T 4 spotbugs:check pmd:check checkstyle:check
# Gradle
./gradlew spotbugsMain pmdMain checkstyleMain
最小可行组合：
| 工具 | 覆盖 |
|---|---|
| SpotBugs + FindSecBugs 插件 | Bug 模式、并发、安全 sink |
| PMD | 代码气味、复杂度、未使用符号 |
| Checkstyle | 命名、格式、注释 |
| ErrorProne | 编译期静态检查（可替代 PMD 的一部分） |
基线策略：首次接入用 -Dspotbugs.excludeFilterFile=spotbugs-exclude.xml 固化历史违规，新增违规 0 容忍。
# Maven
mvn -T 4 test
mvn jacoco:report
mvn jacoco:check # 触发覆盖率门禁
# Gradle
./gradlew test jacocoTestReport jacocoTestCoverageVerification
门禁：行覆盖 ≥ 80%、分支覆盖 ≥ 70%（具体阈值见 springboot-tdd 技能）。
报告抽取：
target/site/jacoco/index.html、target/surefire-reports/build/reports/jacoco/test/html/index.html、build/reports/tests/test/# Maven
mvn org.owasp:dependency-check-maven:check \
-DfailBuildOnCVSS=7 \
-DsuppressionFiles=dependency-check-suppressions.xml
# Gradle
./gradlew dependencyCheckAnalyze
失败阈值：CVSS ≥ 7（High/Critical）时 fail build；已确认不可利用的走 suppression 并注释理由。
# 常见指纹
grep -rnE "(password|passwd|pwd)\s*=\s*['\"]" src/ --include="*.java" --include="*.yml" --include="*.properties"
grep -rnE "sk-[A-Za-z0-9]{20,}|AKIA[0-9A-Z]{16}|ghp_[A-Za-z0-9]{30,}" src/
grep -rn "BEGIN (RSA|EC|OPENSSH) PRIVATE KEY" src/
git secrets --scan # git-secrets 已配置
gitleaks detect --source . --redact
trufflehog filesystem .
建议：任一命中先轮换密钥，再清理历史（git filter-repo / BFG）。
# System.out 代替 logger（掩盖级别、无法采样）
grep -rn "System\.out\.print" src/main/ --include="*.java"
# 直接把异常消息吐给前端（信息泄漏）
grep -rn "\.getMessage()" src/main/ --include="*.java" \
| grep -Ev "logger\.|log\."
# CORS 通配
grep -rn "allowedOrigins.*\*" src/main/ --include="*.java"
# Actuator 未授权（示例：暴露 env/heapdump）
grep -rn "management\.endpoints\.web\.exposure\.include.*\*" src/main/ --include="*.yml"
# Maven
mvn spotless:check # CI：只校验，不改
mvn spotless:apply # 本地：自动修复
# Gradle
./gradlew spotlessCheck
./gradlew spotlessApply
spotless 建议绑定到 verify 阶段；开发时配合 pre-commit 钩子自动 apply。
git diff --stat origin/main...HEAD
git diff origin/main...HEAD
人工 checklist：
System.out / printStackTrace / TODO 无上下文 / 注释掉的代码块@Transactional 方法粒度合理（不在 Controller、不包裹远程调用）@ValidLATEST / RELEASE结束后按此格式输出：
VERIFICATION REPORT
===================
Build: [PASS|FAIL] ⏱ 23s
Static: [PASS|FAIL] SpotBugs=0 PMD=0 Checkstyle=2(warn)
Tests: [PASS|FAIL] 132/132 passed · Line 83.4% · Branch 72.1%
Security: [PASS|FAIL] CVE High=0 / Critical=0 · Secrets=0
Format: [PASS|FAIL] spotless clean
Diff: [42 files, +980/-214]
Overall: [READY|NOT READY]
Issues to Fix:
1. ...
2. ...
报告铁律：
PASS/FAIL 必须与实际退出码一致不要每改一行都跑完整 6 相。日常用最短闭环：
# Maven 最短闭环（通常 < 30s）
mvn -T 4 test -Dtest='*ChangedClass*Test' spotbugs:check
或绑定 IDE 的"改动文件范围测试"功能；全量 6 相留到 PR 前。
| 反模式 | 问题 | 修正 |
|---|---|---|
测试失败 -Dmaven.test.skip 绕过发布 | 把线上变成测试环境 | 修测试或修代码，别跳过 |
| Suppression 文件无注释 | 3 个月后没人记得为什么豁免 | 每条 suppress 写 reason + owner + expires |
| 覆盖率大幅下降无人拦 | 指标悄悄退化 | 在 JaCoCo check 里配增量门禁 |
| 秘密扫描仅跑 HEAD | 历史泄漏继续暴露 | 上 git secrets 预提交 + 定期 gitleaks --log-opts="--all" |
| 静态分析零告警策略不维护基线 | 升级后瞬间数千告警 | 固化基线，只禁新增 |
| spotless 与 IDE 格式不一致 | PR 刷屏 diff | 团队统一 IDE import spotless.xml |
WARNING 关于未关闭资源 / 循环依赖dependency-check 无 High/Critical CVE 或都有可追溯的 suppressionspotless cleanskills/testing/springboot-tdd/skills/security/springboot-security/skills/workflow-steps/language-adapters/skills/workflow-steps/github-ops/（若存在）用 citty + @clack/prompts 构建 Node.js CLI 的端到端工作流，覆盖命令路由、参数 schema、 终端交互、异步任务 UI 与 ESM 发布。触发词：citty、clack、prompts、CLI、命令行、子命令、 交互式、spinner、defineCommand、runMain、ESM 发布。
构建、扩展或调试 CodeMirror 6 浏览器代码编辑器，覆盖状态事务、扩展原语、 装饰、Compartment、语言包、补全诊断、主题、React 集成与 CM5→CM6 迁移。 触发词：CodeMirror 6、CM6、@codemirror/、EditorView、StateField、 Lezer、@uiw/react-codemirror。
使用 @pierre/diffs 与 @pierre/trees 构建代码审查、PR 视图、IDE 文件树、Merge Conflict 解决器。 覆盖 React/Vanilla API、虚拟化、Worker Pool、SSR、Shadow DOM 主题、CodeMirror 集成。 触发词：pierre、diff 渲染、文件树、PR 视图、merge conflict。
GitHub 仓库运营 + npm 包 tag 触发发布的一体化工作流。覆盖 issue/PR 分诊、CI 排障、 安全告警，以及 npm publish（provenance / scoped）+ 自动 GitHub Release（CHANGELOG 段落注入）。 触发词：github、gh、release、publish、tag、npm、provenance、changelog、triage、ci broken、版本发布。
为长跑 AI Coding 任务（Codex /goal、Claude Code、Cursor、Kiro autopilot）构建可审计、 不假完成、抗漂移的提示词。激活后先澄清需求、自动加载 AGENTS.md / 当前 spec / lessons.md， 再产出 5 段式 goal 与长跑健康守则。触发词：goal、写 goal、长任务、长跑、ralph。
使用 Mantine 组件库构建 React UI。涵盖核心组件选型、主题定制、Styles API、 布局模式、表单处理、日期选择器、图表、日程组件、通知系统、模态框管理、 Spotlight 搜索、文件上传、轮播、富文本编辑与 50+ hooks。 触发词：Mantine、UI 组件、主题配置、Styles API、DatePicker、Schedule、 Heatmap、通知、模态框、表单布局、Spotlight、Dropzone、Carousel、hooks。