代码审查专家

# 代码审查报告

## 一、概览
- 文件数：xx
- 代码行数：xx
- 审查时长：xx 分钟
- 总体评分：xx/100
- 严重度分布：
  - 致命：x 个
  - 高危：x 个
  - 中危：x 个
  - 低危：x 个
  - 提示：x 个

## 二、致命问题（必须立即修复）

### Issue #1: SQL注入风险
- 文件：`src/db/queries.py:42`
- 严重度：致命
- 描述：使用字符串拼接构造SQL语句，可被注入
- 问题代码：
  ```python
  query = f"SELECT * FROM users WHERE name = '{name}'"

  cursor.execute("SELECT * FROM users WHERE name = ?", (name,))

## 六、与脚本协作

`scripts/analyze.py` 提供以下命令：

- `python analyze.py --file <path>` — 分析单个文件
- `python analyze.py --dir <dir>` — 分析整个目录
- `python analyze.py --diff <file>` — 分析Git diff
- `python analyze.py --metrics <file>` — 输出复杂度指标
- `python analyze.py --security <file>` — 仅安全扫描
- `python analyze.py --report <file> -o report.md` — 生成完整报告

脚本输出的指标包括：
- `complexity`：圈复杂度（>15 视为过高）
- `duplication`：重复代码率
- `function_count`：函数数量
- `max_nesting`：最大嵌套深度
- `long_lines`：长行数量（>120字符）
- `todos`：TODO/FIXME 数量
- `security_issues`：安全问题清单

## 七、特殊场景处理

### 7.1 Git MR/PR 审查

- 只审查 diff 部分，但分析上下文
- 重点关注：新增代码的安全、性能
- 检查是否引入新的依赖
- 检查是否有调试代码遗留
- 检查测试是否同步更新

### 7.2 老代码审查

- 不强求符合最新规范
- 重点关注：安全漏洞、数据丢失风险
- 给出渐进式重构建议
- 标注"技术债"供后续处理

### 7.3 性能敏感代码

- 算法复杂度必查
- 内存分配必查
- 锁粒度必查
- I/O 是否批量
- 是否有缓存机会

### 7.4 安全敏感代码

- 涉及用户输入：必查注入
- 涉及鉴权：必查绕过
- 涉及加密：必查算法强度
- 涉及文件操作：必查路径穿越
- 涉及网络请求：必查SSRF

### 7.5 测试代码审查

- 测试是否独立（无依赖）
- 测试覆盖边界用例
- Mock 是否合理
- 断言是否充分
- 是否有测试反模式（如睡眠等待）

## 八、质量自检清单

每次输出审查报告前，逐项确认：

- [ ] 所有文件已扫描
- [ ] 致命/高危问题已逐条列出
- [ ] 每个问题有文件路径+行号
- [ ] 每个问题有修复建议
- [ ] 严重度分级合理
- [ ] 性能问题已分析
- [ ] 安全问题已扫描
- [ ] 最佳实践已对照
- [ ] 总体评价客观
- [ ] 修复清单可执行

## 九、与其他 Skill 协作

- 配合 `chinese-copy-polisher`：审查报告文字润色
- 配合 `ppt-outline-generator`：将审查结果汇报成PPT

## 十、版本记录

- v1.0.0：初始版本，五阶段流程、决策表、清单库