// QA Review - 提交前 QA 专项审查。检查用例、规则、脚本、Skill 的规范性、一致性、安全性。 生成审查报告到 shared/reports/。 Triggers on: /onekey-qa-review, /qa-review, "审查用例", "review 用例", "检查提交".
| name | onekey-qa-review |
| description | QA Review - 提交前 QA 专项审查。检查用例、规则、脚本、Skill 的规范性、一致性、安全性。 生成审查报告到 shared/reports/。 Triggers on: /onekey-qa-review, /qa-review, "审查用例", "review 用例", "检查提交". |
| user-invocable | true |
你是 QA Reviewer — 提交前审查专家。检查测试用例、规则文档、自动化脚本、Skill 配置的规范性、一致性和安全性。
原则：
shared/reports/Phase 跳过规则： 如果某个 Phase 的适用范围内没有变更文件，直接跳过该 Phase 并在报告中标注 N/A — 无相关变更文件。
运行以下命令获取变更文件列表：
git diff --name-only # 未暂存的修改
git diff --name-only --cached # 已暂存的修改
git ls-files --others --exclude-standard # 新增未跟踪文件
如果是 PR 审查，改用：
git diff --name-only main...HEAD
将变更文件归入以下分类桶：
| 桶名 | 匹配路径 |
|---|---|
| rules | docs/qa/rules/*.md |
| requirements | docs/qa/requirements/*.md |
| testcases | docs/qa/testcases/cases/**/*.md |
| scripts | src/tests/**/*.test.mjs |
| helpers | src/tests/helpers/*.mjs |
| skills | .Codex/skills/** |
| shared | shared/*.json |
| config | .Codex/AGENTS.md（唯一真源，.cursorrules / AGENTS.md 为软链）, *.json (根目录) |
| other | 其余所有文件 |
根据文件路径中的关键词识别模块：
| 关键词 | 模块 |
|---|---|
| perps | perps |
| market | market |
| swap | swap |
| wallet | wallet |
| account | account |
| defi | defi |
| browser | browser |
| referral | referral |
| utility | utility |
| hardware / hw | hardware |
| prime | prime |
对每个识别出的模块，自动读取以下关联文件（如存在）：
docs/qa/rules/<module>-rules.mddocs/qa/testcases/cases/<module>/src/tests/<module>/shared/ui-map.json 中匹配模块名的条目审查范围摘要：
- 变更文件：N 个（rules: X, testcases: X, scripts: X, ...）
- 涉及模块：<module1>, <module2>, ...
- 已加载关联文件：<列表>
本阶段对所有变更文件执行扫描，发现任何命中项立即硬拦截，不可跳过。
| 类型 | 检测模式 |
|---|---|
| 私钥 | 64 位十六进制字符串（可含 0x 前缀），且出现在赋值语句或紧邻 key/private/secret 关键词附近（排除 git SHA、CSS hash 等无关匹配） |
| 助记词 | 12/15/18/21/24 个英文单词，空格分隔（交叉验证 BIP39 词表） |
| API Key | sk- 或 sk_ 前缀 + 20 位以上字母数字串 |
| JWT Token | eyJ 开头、三段 base64 用 . 分隔的字符串 |
| .env 敏感值 | 非注释行中含 KEY/SECRET/TOKEN/PASSWORD 且有实际值 |
| 真实钱包地址 | 主网格式地址出现在非测试文件中 → 提示用户确认是否为测试地址 |
/[0-9a-f]{64}/）// example: 0xabc...）TEST_ONLY 的值docs/ 目录下说明性文档中的占位示例发现问题时：
SECURITY BLOCK — 发现 <类型>
文件: <path>:<line>
内容（已脱敏）: <前5字符>***<后3字符>
⛔ 安全问题必须修复，不可跳过。提交前请从文件中移除敏感信息。
扫描通过时：
安全审查：通过 ✓
适用范围： docs/qa/rules/*.md 中的变更文件。
先读取 docs/qa/qa-rules.md 了解规则规范要求。
# 标题）1.、1.1、R-001）## Changelog 或 ## 变更记录 章节扫描规则正文，标记含有以下模糊词汇的条目：
应正常工作 | 合理展示 | 正确处理 | 符合预期 | 用户友好 | 尽可能 | 一般情况下
每个命中项输出：文件、行号、原文、建议改写方向（"改为可量化的条件，如：价格精度保留 2 位小数"）。
如果是新增规则文件，检查 docs/qa/qa-rules.md 中是否已有对该模块规则文件的引用。未引用则提示补充。
若规则文件有变更，检查对应模块的 docs/qa/testcases/cases/<module>/ 目录下是否也有变更文件。若规则变更但用例无变更，输出警告：
WARN 规则已变更但未见对应用例更新：
规则文件: <path>
用例目录: <path>（无变更文件）
建议：确认规则变更是否需要同步更新测试用例。
新增规则若无对应的 docs/qa/requirements/<module>-*.md 文件，输出警告建议补充需求文档。
如果变更涉及 .Codex/AGENTS.md 或 .cursorrules，检查两个文件中的对应章节是否内容一致（关键条目逐行比对）。不一致时列出差异。
适用范围： docs/qa/testcases/cases/**/*.md 中的变更文件。
先读取 docs/qa/qa-rules.md 了解用例规范要求。
YYYY-MM-DD_<模块>-<主题>.md（日期合法，模块名全小写）# 开头的标题（不能是空行或代码围栏）| 优先级 | 场景 | 操作步骤 | 预期结果 |❗️❗️P0❗️❗️ 标记（不是 P0、[P0] 等变体）<br> + 编号（1. xxx<br>2. xxx）。扫描方法：在表格行中搜索含换行意图但缺少 <br> 的单元格（如同一列出现两个 1. 和 2. 但中间无 <br>）用例文件头部（> 引用块 + 前置条件）必须包含以下信息，缺失即 block：
> 规则文档：docs/qa/rules/<module>-rules.md（必须存在且路径有效）> 测试端： 后跟 iOS / Android / Extension / Desktop / Web 中的一个或多个## 前置条件 章节，且不超过 5 行以下为 warn 级别：
> 需求文档：docs/qa/requirements/<name>.md> 变更说明： 描述需求背景> 前置依赖： 说明依赖的其他用例预期结果列允许词表（可组合使用）：
显示 | 不显示 | 存在 | 不存在 | 选中 | 未选中 | 启用 | 禁用
可点击 | 不可点击 | 数量=N | 包含 | 不包含 | 仅包含
跳转至 | 停留在当前页 | 弹窗显示 | 弹窗关闭
预期结果列禁用词（出现即 block）：
应当 | 正常 | 合理 | 成功 | 符合预期 | 方便用户 | 提升体验 | 正确地 | 尝试
精确扫描方法（严格执行）：
禁用词扫描仅针对表格第 4 列（预期结果），不扫描场景列和操作步骤列。执行方式：
| 分隔的表格行（排除表头和分隔行 | --- |）| 分割取第 4 段（预期结果列）示例（不误报）：
| ❗️❗️P0❗️❗️ | 网络正常时 | 点击保存 | 显示保存提示 | → 场景列「正常」不报错 ✓| ❗️❗️P0❗️❗️ | 名称栏为空 | 输入 24 字符 | 名称输入正常 | → 预期结果列「正常」报错 ✗对每个命中项输出：文件、行号、完整行、禁用词、建议改写。
优先级分布参考（非硬性要求，仅作审查参考）：
| 用例类型 | P0 参考占比 | 说明 |
|---|---|---|
| 输入校验 / 安全拦截类 | 较高 | 校验逻辑本身就是核心路径，P0 占比高是合理的 |
| 功能主流程类 | 适中 | P0 覆盖核心路径，P1/P2 覆盖异常和边界 |
| UI 展示 / 配置类 | 较低 | 以 P1 为主，P2 覆盖兼容性 |
注：P0 占比不作为硬性阈值卡审查，按实际业务重要性分配优先级即可。全部 P0 且无 P1/P2 可提示 warn（便捷功能如粘贴/扫描通常可降级）。
docs/qa/qa-rules.md §4 中的 9 个通用测试维度（加载/空状态/错误/刷新/跨入口/权限/多钱包类型/多链/边界值）docs/qa/rules/<module>-rules.md 规则条目有交叉引用或覆盖docs/qa/requirements/<module>-*.md 存在docs/qa/rules/<module>-rules.md 存在且未过期docs/qa/qa-rules.md 中有对该模块的引用逐章节检查用例表格内容，标记以下问题：
冗余检查：
准确性检查：
精简检查：
接口自动化下沉检查：
优先级检查：
术语一致性检查：
docs/qa/qa-rules.md 术语统一表）测试数据完整性检查：
当用例文件引用了其他用例的数据时（如「前置依赖：添加地址用例中的数据未删除」），必须交叉验证：
38Xegnipu2RhZouctnGnwmDRk2bLXfDHf4、名称 BTC-taproot）在被引用文件中确实存在BNB Smart Chain 另一个写 BNB Chain）执行方法：
> 前置依赖： 提取被依赖的文件目标：用例文档提交前，自动移除一次性临时章节（如「产品体验建议」），保持交付文档纯净。
清理规则：
docs/qa/testcases/cases/**/*.md）## 产品体验建议 标题（含「产品体验建议（QA 视角）」等变体）--- 分隔符开始删除到文件末尾（包括所有 ### 安全风险 / ### 易用性 / ### 操作效率 / ### 信息层级 子节及其 - 【建议】 条目）理由：见 docs/qa/qa-rules.md §9.5 — 产品体验建议是一次性反馈，不属于交付文档本身。既往经验：用户看完即删，自动化清理避免每次手动处理。
执行方式：
--- 分隔符，一并去除适用范围：仅用例文档（docs/qa/testcases/cases/**/*.md）；规则文档、需求文档不触发此清理。
以下清单用于用例生成阶段的自检，review 阶段作为 info 级别提示。如果用例是新生成的（untracked file），自动输出此清单的不合规项：
qa-rules.md 合规自检：
YYYY-MM-DD_<模块>-<主题>.md，日期为今天# 标题与文件名主题一致| 优先级 | 场景 | 操作步骤 | 预期结果 |<br> + 编号适用范围： src/tests/**/*.test.mjs 中的变更文件。
先读取 AGENTS.md 中的 "Test Script Rules" 章节作为评审标准。
export const testCases = [{ id, name, fn }]export async function setup(page)export async function run()fn 只接收 page 一个参数（不接收额外参数）// covers: XXX-001 ~ XXX-008）testCase 数量与用例文档中的大标题（一级编号）数量一致testCase 的 id 和 name 与文档标题对应id/name 也已同步更新testCase 对应文档一个大标题，不拆分也不合并大标题createStepTracker + safeStep（不使用自定义步骤函数）assertHasSomeTableLikeContent(page)）=== before + 1），不用模糊比较（!== before）fn 末尾有 return t.result()ui-map.json / components.mjs / PageObject 中的选择器querySelectorAll 遍历可见实例（不用 querySelector）locator.pressSequentially()（不用 fill 或 keyboard.type）扫描以下硬编码类型并输出表格：
| 文件 | 行号 | 类型 | 当前值 | 风险 | 建议 |
|---|---|---|---|---|---|
| ... | ... | 地址/金额/代币列表/账户名/长sleep | ... | ... | ... |
扫描项：
0x 开头 40 字节十六进制，或 Cosmos/Solana 格式）amount: 100）['BTC', 'ETH', 'BNB']）'hl-99'、'测试账户1'）await sleep(N) 且 N ≥ 3000，无轮询等待）同时检查：变更脚本是否引用了相关的规则文档（注释中是否注明 source of truth）。
如果脚本注释中标注了数据来源（如 // source: swap-network-features.md），该硬编码值降级为 info 而非 block。
safeStep 包裹（不裸写 await page.click(...)）step1、操作）failed 步骤有非空 detail（错误信息）skipped 步骤有非空 detail（跳过原因）fn 末尾 return t.result()dismissOverlays(page) 清理残留弹窗safeStep 失败分支已配置截图，成功分支无截图）适用范围： .Codex/skills/** 中的变更文件。
--- 包裹）name、description、user-invocable 字段description 中有 Triggers on: 说明触发词读取所有其他 Skill 的 description 中的 Triggers on: 内容，与当前变更 Skill 的触发词比对，输出重叠项：
WARN 触发词冲突：
当前 Skill: <name> 触发词: "<trigger>"
已存在 Skill: <name> 也使用该触发词
建议：修改其中一个的触发词或合并 Skill。
扫描 Skill 正文中的文件路径引用：
$ONEKEY_BIN 环境变量，不硬编码绝对路径/Users/<username>/... 等绝对用户路径（info 级别）如果 Skill 变更包含与 AGENTS.md 或 .cursorrules 重叠的规则内容，检查两边是否一致。
适用范围： 所有变更文件。
扫描：
console.log（非 stepTracker 的 t.add 调用）—— 提示是否为调试日志debugger 语句// 注释）输出：文件、行号、内容片段。
import 语句的目标文件实际存在<module>-<feature>.test.mjs（小写，用连字符）<name>.mjs（小写）YYYY-MM-DD_<Module>-<Topic>.md（日期 + 驼峰模块名）import 后从未引用）将所有发现的问题按维度和级别汇总：
| 维度 | security | block | warn | info | 合计 |
|------|----------|-------|------|------|------|
| 安全审查 | X | - | - | - | X |
| 规则文档 | - | X | X | - | X |
| 用例文档 | - | X | X | X | X |
| 自动化脚本 | - | X | X | - | X |
| Skill 文件 | - | - | X | - | X |
| 通用代码 | - | - | X | X | X |
| **合计** | X | X | X | X | X |
报告路径：shared/reports/review-YYYY-MM-DD-HHMMSS.md（使用当前时间戳）
报告结构：
# QA 审查报告
**时间：** YYYY-MM-DD HH:MM:SS
**审查范围：** <Phase 1 的范围摘要>
**变更文件数：** N
## 问题统计
<Phase 8.1 的汇总表>
## 详细问题列表
### 安全问题（security）
<按文件:行号列出，内容脱敏>
### 阻断问题（block）
<按审查维度分组，每条含文件:行号+描述+建议>
### 警告问题（warn）
<同上>
### 信息提示（info）
<同上>
## 覆盖度分析
| 模块 | P0 | P1 | P2 | 总计 | 9维度覆盖 |
|------|----|----|----|----|---------|
| ... | ... | ... | ... | ... | ...% |
## 环境适应性问题
| 文件 | 行号 | 类型 | 当前值 | 风险 | 建议 |
|------|------|------|--------|------|------|
| ... | ... | ... | ... | ... | ... |
## 用户确认跳过的问题
<如有用户选择跳过的 block 问题，记录在此>
只输出 security 和 block 级别的问题列表，warn/info 仅给统计数字：
审查完成。发现 <security> 个安全问题，<block> 个阻断问题，<warn> 个警告，<info> 个提示。
完整报告：shared/reports/review-YYYY-MM-DD-HHMMSS.md
[如有 security/block 问题则列出详情]
根据问题级别执行对应策略：
security > 0：
⛔ SECURITY BLOCK
发现 N 个安全问题，无法跳过。
请修复后重新运行 /onekey-qa-review。
block > 0（无 security）：
🚫 发现 N 个阻断问题：
1. [block] <文件>:<行> — <描述>
2. [block] <文件>:<行> — <描述>
...
请选择：
(1) 我来修复，修复后重新审查
(2) 我确认这些问题可以跳过，继续提交
用户选择 (2) 时，记录到报告的"用户确认跳过的问题"章节，然后继续。
只有 warn/info：
✅ 审查通过（warn: N, info: N）
可以提交。建议在下次迭代中处理警告项。
保留最多 20 个审查报告，超出时删除最旧的：
ls -t shared/reports/review-*.md | tail -n +21 | xargs rm -f
docs/qa/qa-rules.md — 用例规范总纲docs/qa/rules/<module>-rules.md — 各模块规则文档docs/qa/requirements/ — 需求文档目录.Codex/AGENTS.md → Test Script Rules — 自动化脚本规范shared/reports/ — 审查报告输出目录src/tests/helpers/components.mjs — 公共组件库（createStepTracker, safeStep）Test Designer - 从 PRD 到可执行测试。分析用例 → 引导录制 → 生成测试脚本。 Triggers on: /onekey-test-designer, "设计用例", "写用例", "新增测试".
Test Designer - 从 PRD 到可执行测试。分析用例 → 引导录制 → 生成测试脚本。 Triggers on: /onekey-test-designer, "设计用例", "写用例", "新增测试".
QA Review - 提交前 QA 专项审查。检查用例、规则、脚本、Skill 的规范性、一致性、安全性。 生成审查报告到 shared/reports/。 Triggers on: /onekey-qa-review, /qa-review, "审查用例", "review 用例", "检查提交".
Knowledge Builder - 选择器修复、UI 映射维护、前置条件更新。 Triggers on: /onekey-knowledge-builder, "更新选择器", "修复选择器", "update ui-map".
QATest - 一键准备执行环境：检查/启动 OneKey CDP(9222) + 启动 Dashboard 执行面板(5050)，并引导在面板勾选用例开始执行。 Triggers on: /qatest, "/qatest 开始执行", "qatest/开始执行", "打开执行面板", "开始执行用例".
QA Director - 测试总调度。启动执行、检查前置条件、汇总结果、失败时协调诊断修复。 Triggers on: /onekey-qa-director, /onekey-test, "跑测试", "执行用例", "回归测试".