用途：面向 Drupal 与 Next.js 项目，用统一工具与报告流程执行代码质量、安全审计、测试覆盖度、SOLID/DRY 违规检查与质量工具搭建。
主要能力：提供斜杠命令，包括 /code-quality-tools:setup（首次安装与配置工具）、:audit（全量审计，共 22 项操作）、:coverage（测试覆盖度）、:security（安全扫描，Drupal 10 层、Next.js 7 层）、:lint（代码规范检查）、:solid（架构与 SOLID）、:dry（重复代码）、:tdd（TDD 监视模式）、:review（按量规评分，/50 量表并设质量门禁）、:ultrareview（云端多智能体深度审查，需先飞行检查，5-10 分钟，超出免费额度后收费）、:generate-review-md、:architecture-debate、:security-debate。附带脚本按 Drupal、Next.js 及 core 分类，如 scripts/core/full-audit.sh、scripts/drupal/security-check.sh、scripts/nextjs/security-check.sh。
使用方式：审计时工作目录需保持在被审项目上，脚本以 bash "${CLAUDE_PLUGIN_ROOT}/skills/code-quality-audit/<路径>" 调用。报告目录不手动创建，由 scripts/core/report-dir.sh 解析：优先 REPORT_DIR，否则项目内 audits/<date>，再否则置于仓库外的 ${XDG_STATE_HOME:-$HOME/.local/state}/code-quality-tools/<project>/<timestamp>/。可用 --print、--ensure、--latest 查询路径；--latest 非零表示尚未运行过审计，而非审计通过。Drupal 需先定位 Drupal 根并检查 DDEV，Next.js 需确认 npm。
适用场景：Drupal/Next.js 项目按提交前、推送前、合并前、每周等节奏执行审计；可按 ${CLAUDE_EFFORT} 自适应深度（low 仅快速 lint，medium 加覆盖度与 SOLID/DRY，high 默认全量 22 项，xhigh/max 追加安全辩论）。支持通过切换目录、环境变量或全量扫描限定审计范围。
限制与风险：其阅读策略要求审计、评审、安全、SOLID、DRY 类命令执行全量源码与配置阅读，不宜 grep-first；有代码智能插件时优先用 LSP 解析继承与配置注入关系。技能级 FileChanged 与 PermissionDenied 钩子在调用后本会话持续生效，可用 export CLAUDE_CODE_QUALITY_WATCH=0 强制关闭。FileChanged 匹配为字面文件名而非通配，未列出的配置变体不触发。在不可信仓库中加载并编辑配置可能触发 npx --no-install eslint 执行恶意二进制。沙箱下 linter 二进制需加入 allowedPaths，git 钩子安装会因 .git 受保护而失败；无界面会话不弹信任对话框。--json 输出依赖模型遵守模式，宜先 jq . 校验。安全流程定位为全代码库/CI SAST 层，与内建 /simplify、/security-review 不同，替代不了全仓库框架级扫描。官方文档、价格与更多细节暂未提供。