菜单
代码审查完整流程（两端）：Part 1 派发 reviewer、Part 2 收反馈的反应模式。触发：写完 >50 行改动后主动激活 Part 1；用户贴 review 意见问怎么回激活 Part 2。与 verification-loop 分工：本 skill 做**架构/需求合规性**判断；verification-loop 做**技术闸门**（build/test 跑得过）。/review 命令是本 skill 的显式入口。
用 Codex 或 Claude 帮你安装 复制这段 Prompt，粘贴到 Codex、Claude 或其他助手里，让它检查 Skill 页面并帮你完成安装。
基于 SOC 职业分类
| name | code-review-workflow |
| description | 代码审查完整流程（两端）：Part 1 派发 reviewer、Part 2 收反馈的反应模式。触发：写完 >50 行改动后主动激活 Part 1；用户贴 review 意见问怎么回激活 Part 2。与 verification-loop 分工：本 skill 做**架构/需求合规性**判断；verification-loop 做**技术闸门**（build/test 跑得过）。/review 命令是本 skill 的显式入口。 |
一个 skill 覆盖"发起 review"（Part 1）+"收到 review 怎么回"（Part 2）两端。两端都是为了外部视角不被会话历史污染。
核心原则：
| Part | 时机 |
|---|---|
| Part 1 · 发起 | Claude 刚完成较大单元（>50 行）/ 用户说"帮我审 / review / 看看对不对" / 合并 main 前 / 卡壳换视角 |
| Part 2 · 收反馈 | 用户贴 review 意见进来 / PR 有 comment 需处理 / 外部 subagent reviewer 返回结论 |
派发 code-reviewer subagent 在问题扩散前抓住它。Reviewer 收到精心构造的上下文，不继承你的会话历史，避免迁就。
1. 拿 git SHA：
BASE_SHA=$(git rev-parse HEAD~1) # 或 origin/main
HEAD_SHA=$(git rev-parse HEAD)
2. 派发 code-reviewer：
用 Task tool spawn MCC 的 code-reviewer agent，prompt 模板包含：
{WHAT_WAS_IMPLEMENTED} — 你刚做了什么{PLAN_OR_REQUIREMENTS} — 它应该做什么{BASE_SHA} / {HEAD_SHA} — 起止 commit3. 安全触发：
审查认证 / 加密 / 用户输入 / 数据库查询 / 外部 API → 同步派 security-reviewer
4. 并行： 如果审查范围大，可用 dispatching-parallel-agents skill 同时派 code-reviewer + security-reviewer + silent-failure-hunter。
铁律：先验证 → 再实施。先问 → 再假设。技术正确性 > 社交舒适。
收到反馈时：
1. READ 完整读完，不反应
2. UNDERSTAND 用自己的话复述要求（或提问）
3. VERIFY 对照代码库核实
4. EVALUATE 对**这个**代码库技术上合理吗
5. RESPOND 技术承接，或有理由的反驳
6. IMPLEMENT 一次一项，逐项测试
永远不说：
改为：
IF 任何一项不清楚:
STOP —— 什么都还不要实施
对不清楚的项请求澄清
举例：
人类："修第 1-6 项"
你懂 1/2/3/6，4/5 不懂
❌ 先改 1/2/3/6，回头再问 4/5
✅ "明白 1/2/3/6。动手前需要 4、5 澄清。"
来自人类合作者： 可信 → 理解后直接实施；范围不清仍要问；不表演同意。
来自外部审阅者（PR comment / subagent reviewer）：
实施前检查：
1. 对**这个**代码库技术上对吗？
2. 会破坏现有功能吗？
3. 当前实现这样写有原因吗？
4. 在所有平台/版本上都管用吗？
5. 审阅者理解完整上下文吗？
IF 建议似乎有错 → 技术推理反驳
IF 自己难以验证 → 明说"我没法验证 [X]"
IF 与人类先前决定冲突 → 先和人类确认
原则：外部反馈 = 保持怀疑，但仔细核查。
IF 审阅者建议"按专业标准实现":
grep 代码库看实际用法
IF 没用到: "这个 endpoint 没人调。移除（YAGNI）？"
IF 用到了: 那就按专业标准实现
合理反驳情形：
怎么反驳：
✅ "已修。[简述改了什么]"
✅ "抓得准 — [具体问题]。已在 [位置] 修。"
✅ [直接改代码，代码自己说话]
❌ "你完全正确！"
❌ "好观点！"
❌ 任何感激表达
为什么不说谢： 行动 > 语言。直接改。代码本身说明听进去了。
发现自己要写"谢谢"时： 删掉，改成"已修"。
反驳了但其实你错了：
✅ "你是对的 — 我核查了 [X]，确实 [Y]。正在实施。"
✅ "核实后你观点正确。我之前理解错了因为 [原因]。在修。"
❌ 长篇道歉
❌ 为反驳辩护
| 错误 | 修正 |
|---|---|
| 表演同意 | 复述要求或直接行动 |
| 盲目实施 | 先对照代码库验证 |
| 批量改不测 | 一次一项，逐项测 |
| 假定审阅者对 | 先看会不会弄坏东西 |
| 不敢反驳 | 技术正确 > 舒适 |
| 部分实施 | 先澄清全部 |
对 PR 行内 comment 回复要走评论串：
gh api repos/{owner}/{repo}/pulls/{pr}/comments/{id}/replies
不要做 PR 顶层评论。
debugger agent 查根因，不自己瞎猜security-reviewer agent 复核performance-engineer agent 确认瓶颈dispatching-parallel-agents skill 同时派多个 reviewer外部反馈 = 要评估的建议，不是要执行的命令。
验证 → 质疑 → 再实施。不表演同意。始终技术严谨。
Claude 用 codex CLI 做差异化对抗审查 + Layer 2 二审 + auto-fix 全链路。**v2.8.0 起流式 streaming**：codex 思考过程实时事件流（onEvent 回调每个 thread.started / item.completed / turn.completed），idle-timeout（90s 没新事件才算卡死）替代固定 totalTimeout。runCodexAudit 是 async，要 await。三层架构：Layer 1 codex (OpenAI) 流式产 finding → Layer 2 finding-validator subagent (Claude fresh) 独立复现 → Layer 3 通过自动 Edit 修不询问用户。触发：/plan 完成 / /implement 大改动 / /review 3 路并行 / /pr 4 路 PR 预检。codex 是不同模型 = 不同盲区，跟 Claude 互补不替代。**全自动 — 用户从不需要手动管 codex**。
Claude 自动接管用户级跨项目敏感配置（personal API key / 个人 PAT / git 全局身份 / 跨项目 SSH host）。触发：用户提到跨项目通用 secret、或 project-vault 检测到条目应提升到用户级、或用户问'跨项目共用 secret 放哪'。写 ~/.claude/USER_VAULT.md，hook 自动 sync 到 .user-env.{sh,ps1} + git --global + ~/.ssh/config。与 project-vault 分工：本 skill 跨项目，project-vault 单项目。
Claude 主动沉淀用户跨项目偏好到 ~/.claude/CLAUDE.md，post-hook 自动 commit+push 到 dotfiles repo 跨设备同步。触发：用户说'记下这个偏好 / 沉淀到 CLAUDE.md / 把这个习惯加进去'、用户连续多次重复同样反馈（'又忘了'）、或做了跨项目通用决策（'以后所有项目都用 zod'）。仅追加不覆盖。与 continuous-learning-v2 分工：本 skill 主动显式沉淀偏好，learning-v2 被动观察行为。
Claude 自动维护 docs/SCHEMA.md。触发：用户提到表结构（'加 users 表，字段 email/password'）、写改 ORM 模型（Prisma/SQLAlchemy/TypeORM）、写改 migration SQL、或问'数据库表结构在哪'。不存在自动建（从 ORM 抽骨架），存在直接 Edit 加表/字段；业务含义缺失填 '_TODO_' 占位。与 architecture-decision-records 分工：本 skill 记结构现状，ADR 记选型决策（如选 Postgres）。
Claude 自动维护开发实时流水日志 docs/CHANGELOG-DEV.md，记**正在发生**的需求/进度/坑/下一步。触发：用户讲新需求或改主意（◇）、Claude 完成 ≥30 行或跨文件改动（✓）、遇 blocker（⚠）、决定下一步（→）。与 git log（已落盘代码）/ ADR（终态决策）/ SCHEMA（结构）/ mistakes（bug 根因）分工——本 skill 记进行中状态。每条 ≤5 行倒序。
Claude 自动接管项目级敏感配置（API key / DB 密码 / 部署 IP / SSH / token）。触发：用户在对话里说出任何 secret 或 IP、或代码里硬编 secret、或问 '.env 怎么放 / token 存哪'。写 .claude/PROJECT_VAULT.md，hook 自动 sync 到 .env.local + .env.example + ~/.ssh/config + SECRETS-INDEX.md，强制 .gitignore。与 user-vault 分工：本 skill 单项目，跨项目用 user-vault。