用途:该技能依据 NASA JPL Power of 10 规则(Gerard Holzmann, 2006)等来源,把安全关键编码准则应用到代码审查。适用于安全关键系统、金融交易、数据完整性代码(完全严格),业务逻辑、API 处理、核心算法(选择性应用),脚本与原型(轻度)。普通应用代码不建议使用,以免防御性检查造成冗余。
主要能力:十条规则包括:限制控制流(避免 goto、setjmp/longjmp、限制递归);循环有可验证上界;初始化后不再动态分配;函数约 60 行;断言密度(校验边界条件与不变式);变量最小作用域;检查返回值与参数;限制预处理器与元编程;指针/引用纪律(限制间接层级、明确所有权);开启全部警告。部分规则可放宽,如树遍历、有界递归、GC 语言、声明式配置、回调等。
使用方式:可作为引用集成到代码精炼、PR 审查的质量阶段及加固流程与完整审查入口;低断言密度、无界循环或递归缺少终止证明时可自动检测。运行时对每条规则给出“适用/违反/不适用”的结论。违规输出格式为:Rule N、Location file:line、Anchor 原文、Issue、Fix。
限制:需将发现写入 .review/findings.json,并运行引用校验器(Skill(imbue:review-core) Step 5),被拒绝的项应删除或标为 UNVERIFIED;退出标准要求每条规则有明确裁决、违规附 file:line 与规则编号、不适用项说明原因、循环需静态可证明上界、递归需终止论证,最终总结该目标是否适合安全关键使用。