grove-audit

Grove Audit 用于对代码库做统一审计，由 10 个职责单一的并行子代理构成，每通道只专注检查一类问题。确定性违规会被自动修复并提交；需要判断的问题则以 file:line 证据在报告中内联给出。

触发方式：输入 /grove-audit、/grove-audit quick、/grove-audit standard 或 /grove-audit full；用户要求全面代码审查、合规检查或代码库清扫；大型合并或发布前；大规模重构后排查回归；开发中清扫历史遗留违规。

模式：quick 对比分支与 main 的差异，适合迭代开发和提交前检查；standard 面向变更包（git diff 加受影响依赖），适合合并前和重构后；full 借助 Lumen 与 grep 扫描整个代码库，适合周期清扫、重构后清理和首次审计。未指定模式时根据上下文推断：有变更的特性分支用 standard，无变更的 main 用 full。

流程分为 SCOPE、DISCOVER、DISPATCH、COLLECT、FIX、REPORT 六个阶段。先确定审计模式与文件集合，quick/standard 构建文件列表并传给各代理，full 模式各代理自行发现目标。发现阶段以 Lumen 语义搜索为主，辅以 grep、glob 验证。随后用 Agent 工具并行启动全部 10 个通道。

10 个通道为：Barrel Imports、Icon Gateway、CSRF / Fetch Safety、Accent Tokens、Signpost Compliance、SDK Boundaries、Data Primacy、Type Safety、Security（STRIDE）、Test Coverage。前 4 个通道可自动修复，后 6 个只读报告。安全通道使用 opus，因为 STRIDE 威胁建模需要对攻击面和信任边界做更深推理。

自动修复通道完成后会审查改动、暂存并提交，通常每个有改动的通道一个提交。最终报告按 CRITICAL、HIGH、MEDIUM、LOW 分级，并汇总各通道状态、发现数与修复情况。各通道支持特定抑制注释，如 // barrel-ok、// prism-ok、// csrf-ok、// accent-ok、// boundary-ok、// error-ok。

限制：不运行测试或类型检查（使用 gw ci），不审查文字或文档，不评判风格偏好，不审计依赖（使用 pnpm audit），也不替代专项技能（如 hawk-survey、deer-sense）。审计前应确保 Lumen 索引最新，可用 mcp__lumen__index_status 检查。部分命令与配置细节资料中未完整提供。