综合评估
code-review 是一款纯文档型代码审查技能，无可执行代码、无网络请求、无敏感数据访问，安全等级达到S级。该技能提供了一套系统化的代码审查方法论，覆盖安全、性能、正确性、可维护性、测试、可访问性和文档7大维度，并配套严重级别标注体系与反馈沟通指南。
核心用法
技能采用"三阶段审查法"：
- 第一遍（2-5分钟）：宏观架构审查，确认整体方案合理性
- 第二遍（主要时间）：逐行细节检查，对照7维度清单排查问题
- 第三遍（5分钟）：边界情况与容错加固，验证回滚安全性
审查输出需标注严重级别：[CRITICAL]（阻断合并的安全漏洞/数据丢失）、[MAJOR]（阻断合并的缺陷或性能问题）、[MINOR]（非阻断的维护优化）、[NIT]（风格建议）。
显著优点
1. 全面性：12项安全检查覆盖OWASP Top 10核心风险，性能检查项包含N+1查询、内存泄漏、Bundle优化等实际痛点
2. 可操作性：每个检查项配有具体反例（如"字符串拼接SQL"）和修复建议（"使用参数化查询"），降低理解成本
3. 流程标准化：三阶段法与严重级别标注有效避免"橡皮图章式审批"或" bikeshedding（在变量名上争论30分钟却忽视竞态条件）"
4. 沟通友好：反馈原则强调"解释为什么""建议修复方案""提问而非命令"，并明确区分阻塞与非阻塞意见
局限性与注意事项
1. 无自动化能力：该技能仅为检查清单和指南，不具备静态分析、漏洞扫描或自动修复功能，需人工逐项核对
2. 技术栈偏向通用：清单以Web/后端开发为主（SQL注入、XSS、React渲染优化），嵌入式、机器学习、区块链等场景需自行扩展
3. 上下文依赖：部分判断（如"DRY原则是否适用"）需要 reviewer 对业务上下文有深入理解，新手可能难以把握尺度
4. 版本维护：技能内容基于2024年主流实践，需关注原作者（wpank）仓库更新以获取新兴威胁（如AI生成代码的特定风险）覆盖
适合人群
- 技术团队负责人：建立团队统一的代码审查标准和准入门槛
- 初级/中级开发者：系统学习代码质量维度，提升 review 他人代码的能力
- 开源项目维护者：规范化 PR review 流程，减少无效沟通
- 安全合规岗位：作为安全审查的辅助检查清单，弥补自动化工具遗漏
常规风险
该技能本身无技术风险（纯Markdown文档），但使用时需注意：
- 过度依赖清单：清单无法替代领域专业知识（如特定加密算法的误用模式）
- 严重级别误判： reviewer 可能因经验不足将
[NIT]标为[MAJOR]引发团队摩擦，建议团队内部对齐标准 - 大规模PR审查：技能明确建议单次审查不超过400行，但实际操作中可能受交付压力违背此原则，导致遗漏关键问题
来源与维护
由GitHub个人开发者 wpank 维护，属于T2级可信来源。代码完全开源透明，建议团队采纳前 fork 并根据自身技术栈定制检查项。