用途
HarmonyOS Code Review 是一个面向原生 HarmonyOS ArkTS 与 ArkUI 仓库的代码审查技能。其目标不是产出清单式的猜测，而是找出有源码证据的真实缺陷。审查以仓库代码和配置确定应用实际行为，以华为官方文档确定版本敏感的平台契约。
主要能力
审查流程分为若干阶段：
-
确定审查范围：阅读仓库说明并检查工作区状态；确定请求的边界（diff/PR、文件、模块、子系统或整个仓库）；对变更审查确定准确的基线并同时检查 diff 与受影响的调用点；读取 build-profile.json5、oh-package.json5、module.json5 及相关配置，以确定 SDK 级别、应用模型、设备、权限、依赖和构建变体。除非用户要求，否则不修改代码、不创建报告、不评分、不估算工作量。
-
梳理相关执行路径：先广泛定位入口点、生命周期回调、状态所有者、异步边界、持久化操作、文件操作、权限、事件订阅和外部输入；沿调用者与被调用者追踪值与资源；检查清理、取消、重试、失败和部分成功路径；查看测试与文档以了解预期行为，但不将其视为生产代码安全的证明；使用聚焦搜索寻找候选点，文本匹配只是线索而非发现。
-
仅分析适用的类别：加载 references/checklist.md 并选择范围支持的类别，包括正确性与错误传播、安全隐私与敏感数据、生命周期与资源归属及取消、V1/V2 状态管理与并发更新、RDB/Preferences/文件/迁移与原子性、权限/SysCaps/设备与 API 兼容性、网络与外部输入处理、有具体昂贵路径的性能问题、覆盖变更或高风险行为的测试。对平台相关论断，查阅 references/official-docs.md 并对照当前华为官方文档核实，不硬编码“当前”API 版本，也不从其他框架推断需求。
-
证明每个发现：可报告的发现需具备精确源码位置、可达触发或执行路径、错误行为或违反的项目/平台契约、具体的用户/数据/安全/兼容性/运营影响，以及现有防护、清理或调用者无法阻止的证据。报告前尝试反驳候选：阅读完整函数及相关调用者/被调用者，检查所有成功、错误、取消和拆除路径，搜索其他位置的补偿性校验或清理，确认项目实际 SDK 范围内的 API/装饰器/权限行为，区分生产代码与示例、生成代码、死代码和测试夹具。不报告风格偏好、任意大小限制、泛泛的“可能”风险或无实际影响的扫描器匹配。
-
按影响分配严重级别：Critical 为可利用的安全问题、不可逆数据丢失或核心路径上阻塞发布的故障；High 为可能的崩溃、损坏、安全/隐私泄露或核心功能失败；Medium 为条件更窄、影响可恢复或显著退化的真实缺陷；Low 为影响有限的次要具体缺陷，除非要求否则省略纯润色项。严重级别反映影响与可能性，而非修复难度。
-
优先报告发现：除非用户要求仓库文档，否则在对话中回复；仅在要求完整 Markdown 产物时使用 references/report-template.md。按严重级别排序，每条发现包含：严重级别与简洁标题、path/to/file.ets:line、触发与证据、影响、聚焦的修复建议，以及当发现依赖 HarmonyOS 契约时给出官方来源。如果没有发现达到证据门槛，明确说明；然后单独记录覆盖缺口和未运行的验证，不将其夸大为发现。
使用方式
该技能以技能包形式提供，包含 references/checklist.md、references/official-docs.md、references/report-template.md 等参考文件。使用时按上述流程执行审查，并遵循退出标准：范围与 SDK/设备假设明确；每条发现都有源码证据且可独立操作；平台论断对照项目版本范围核实；发现、开放问题与未验证风险清晰分离；如实报告已运行的测试/构建，未运行的检查不描述为通过。
适用场景
适用于对原生 HarmonyOS ArkTS 与 ArkUI 仓库进行代码审查，包括变更审查（diff/PR）、文件、模块、子系统或整个仓库级别的审查，尤其关注正确性、安全、生命周期与资源归属、状态管理、数据持久化、权限与 API 兼容性、网络与外部输入、性能及测试覆盖等高风险领域。
限制
该技能不修改代码、不创建报告、不评分、不估算工作量，除非用户明确要求。不报告风格偏好、任意大小限制、泛泛的“可能”风险或无实际影响的扫描器匹配。平台相关论断必须对照当前华为官方文档核实，不硬编码“当前”API 版本，也不从其他框架推断需求。关于具体安装命令、收费、价格、平台支持等信息，资料中暂未提供。