Audit Code

Audit Code 技能评估

核心用法

Audit Code 采用双轮专家评审机制，模拟跨职能技术团队（安全、性能、UX、DX、边缘案例专家）对代码库进行深度审计。其核心流程包括：构建上下文→建立不变量覆盖矩阵→第一轮专家审查→仲裁者协调→交叉复审→最终报告。输出为单一统一文档，按严重等级排序的发现项优先展示，附带文件引用、影响分析及可执行修复方案。

显著优点

1. 结构化方法论：强制的不变量覆盖矩阵确保关键路径（HTTP路由、异步任务、外部依赖）的等价一致性检查
2. 冲突仲裁机制：Tie-breaker 角色解决专家间分歧，避免"众声喧哗"的无结论输出
3. 行动导向：要求每个 High/Critical 发现项配套回归测试，修复方案具体到文件行号
4. 运行时感知：针对 Bun + SQLite 等特定技术栈提供专项审计清单
5. 安全护栏：明确禁止提供武器化利用细节，将操纵性 UX 模式评估为法律/信任风险

潜在局限

• 上下文依赖重：若缺少产品上下文（PRD、信任边界、业务关键流），需显式声明假设，可能降低发现精准度
• 人工模拟成本：六角色协同流程在简单代码审查场景可能显得过度工程
• 无自动执行能力：依赖用户提供的代码输入，无法主动扫描真实仓库
• 置信度主观性：标记的置信等级仍由模型判断，缺乏客观验证机制

适合人群

• 技术负责人需对关键模块做上市前最终评审
• 安全工程师需要系统化覆盖攻击面、性能瓶颈与用户体验缺陷
• 创业公司 CTO在有限资源下需要"一站式"深度代码健康检查
• 代码审查者面对大型 PR 或重构，需要结构化风险评估框架

常规风险

• 假设偏差风险：缺失运行时上下文时，对"可接受风险"的判断可能与实际业务不符
• 修复建议适用性：通用修复模板可能未考虑特定技术栈的 idiomatic 实践
• 过度自信标记：模型可能对不确定发现标记过高置信度，需人工复核 Critical 项

安全等级说明

• S+ 级：审计流程本身包含多层安全护栏，输出结构强制分离确认缺陷与推测风险
• 仲裁者机制降低单点判断偏差，但最终仍依赖用户提供的代码完整性

核心用法

audit-code 是一套结构化的代码审计工作流，模拟六人专家小组（安全、性能、UX、DX、边缘场景专家及决策负责人）进行两轮交叉评审。用户需提供审计范围（代码路径/PR/全仓库）、产品上下文（PRD/用户故事/信任边界）及运行时信息（部署模式/流量特征/数据敏感度）。Skill 会执行：构建上下文 → 建立不变量覆盖矩阵 → 第一轮专家评审 → 决策仲裁 → 第二轮交叉评审 → 输出统一报告。报告按严重性排序，包含文件引用、影响分析及可执行修复方案。

显著优点

1. 多学科整合：打破单一视角局限，同步评估安全漏洞、性能瓶颈、用户体验、开发者体验及极端场景，避免传统审计的盲区。
2. 严格流程保障：两轮评审+仲裁机制确保争议项得到合理裁决，减少漏报和误报。
3. 可执行输出：每项发现附带具体修复代码、回归测试建议及验证步骤，而非抽象建议。
4. 不变量覆盖矩阵：强制要求关键数据一致性、认证生命周期、输入验证等规则在所有变更路径上等价实施，预防隐蔽缺陷。
5. 运行时适配：针对 Bun + SQLite 等技术栈提供专属检查清单，增强场景针对性。

潜在缺点与局限性

1. 上下文依赖重：若用户未提供充分的产品上下文（PRD、信任边界、业务流），Skill 需显式声明假设后继续，可能导致审计方向偏差。
2. 无自动化执行：纯 Markdown 文档型 Skill，本身无可执行代码，审计建议需人工落地，无法直接修改代码库。
3. T3 来源可信度：维护者为个人开发者 Swader，无知名开源组织背书，商业环境使用前建议额外审查。
4. 许可证缺失：当前未明确声明开源许可证，存在潜在法律使用风险。
5. 脚本安全风险：配套 sync-to-agents.sh 脚本使用 rsync --delete 模式，存在误删本地 Skill 目录的风险。

适合的目标群体

• 技术负责人/架构师：需要对关键模块进行上市前深度审查
• 安全工程师：需要结构化渗透测试与代码审计方法论
• 开源维护者：希望建立标准化的 PR 审查流程
• 创业团队：资源有限但需高质量代码保障，无法雇佣全职安全团队
• 审计服务提供商：作为方法论框架交付给客户

使用风险

1. 性能开销：深度审计涉及多轮专家模拟，对超长代码库可能产生大量 token 消耗
2. 依赖缺失：需用户自行准备 references/audit-framework.md 及运行时检查清单，文件缺失会导致流程中断
3. 假设风险：上下文不足时的显式假设可能在实际环境中不成立，需人工复核
4. 同步脚本风险：使用配套脚本前务必备份，建议添加 --dry-run 预览模式