用途：在提交 PR 前或对 diff 做架构与范围审查，重点覆盖应用、API 契约、运行时、租户、部署、基础设施和可观测性等跨边界改动。默认仅审查，除非用户另行授权修复；不发布评论、不改变 PR 状态。
主要能力：先确定基线、变更文件、预期结果与发布单元，从 diff 和邻近代码推断缺失范围；读取每个变更面的仓库说明；把每个变更契约追溯到生产者、实际消费者、运行时与部署配置及最近的测试；对比变更前后行为，排除未触及的债务、风格偏好和假设性失败。只报告在变更位置引入、加重或实质触及且可达、置信度至少 80/100 的失败，并给出机制、证据、最小安全方向与确切验证方式。证据优先级为：变更代码与完整调用链、保护行为的测试、仓库说明、其他文档；说明漂移单独报告。
检查范围：契约与发布（搜索符号与线上名称找真实生产者消费者，建模新旧版本组合，先加字段后要求、兼容窗口容忍缺失、消费者与缓存或公开面迁移后再删旧字段，区分传输兼容与应用视图模型）；运行时与异步接缝（框架、运行时、包管理器、构建工具或重大依赖变更时检查配置、构建与运行时镜像、CI 命令、入口点及已迁移面；定时、队列、重试、事件驱动与 outbox 工作无请求保证，需显式携带持久身份与租户上下文；脚本变更时验证可执行位、解释器与 shell 选择、行尾、环境行为与失败处理）；基础设施与可观测性（渲染受共享清单或模板影响的所有环境，追踪候选发布、健康检查、流量提升、失败陷阱、回滚与就绪副本恢复；在空、排除、混合与边界窗口验证仪表盘，外连接保留驱动行并按数据源引用变量；通过完整认证、授权、供给与数据源链判断访问）。
范围判断：以预期结果与所属边界为准，而非行数；兼容性变更、测试、生成产物与安全发布工作可能必要；相邻产品行为与无关抽象超出范围，除非造成具体变更失败。当 diff 跨契约、运行时、异步执行、基础设施、部署或可观测性时，阅读 references/casebook.md。
发现分级：P0 为可信的租户、授权、支付、密钥、个人数据或永久数据丢失路径；P1 为用户或运维可见的契约、运行时、发布或完整性失败；P2 为有具体失败路径的有限回归或缺失验证。无可达变更失败的建议省略，除非用户要求。仅当 diff 或关键契约无法评估时使用 blocked。
输出格式：Verdict: clean | findings | blocked；Reviewed 列出变更面与追踪的调用链；Findings 按 [P1][confidence 94] 标题 — path:line 给出机制、证据、方向与验证；另列已验证的非发现与至多两项需验证项。限制：不修改代码、不发布评论、不改变 PR 状态；不报告未触及债务与假设性失败；置信度低于阈值不列为发现。