用途：对代码进行质量、结构、命名与可维护性方面的审查，不调用外部 AI。安全审查请改用 /security-verify scan。
快速开始：/code-review <file-path>
主要审查类别：
- 代码质量（关键）：文件组织（文件不超过 500 行、单一职责、模块结构清晰）；命名（自解释、函数用动词、数据用名词、风格一致、不用缩写）；类型提示（Python 参数与返回类型齐全、无隐式 Any）；文档字符串与注释（公共 API 用 Google 风格、注释解释 WHY 而非 WHAT、无注释掉的代码）。
- 错误处理：使用具体异常类型、禁止裸 except、错误信息清晰、在 finally/with 中清理。
- 复杂度：函数少于 50 行、圈复杂度低于 10、嵌套不超过 4 层、无深层回调链。
- 可测试性：依赖可注入、副作用隔离、尽量使用纯函数。
- 风格：格式一致、导入有序、无未使用的导入或变量。
- 安全（按技术栈）：FastAPI/Python 后端要求租户 ID 来自会话中间件而非请求体、Pydantic 模型 extra="forbid"、仅用 ORM 查询、密码用 Argon2id、会话用 Redis；Jinja2/HTMX 前端禁止对用户输入用 | safe（改用 | sanitize_html）、内联脚本加 CSP nonce、表单与 HTMX 头带 CSRF 令牌、不暴露内部 ID（用 hashids）；PostgreSQL 要求租户表启用 RLS、连接串强制 SSL、区分 app/migration/readonly 角色。
输出格式：包含质量评分、关键问题（必须修复）、重要问题（应当修复）、建议、优点。
常见问题清单：Python 避免可变默认参数、用上下文管理器管理资源、循环中不做字符串拼接、大数据集用生成器；TypeScript 启用严格模式、不用 any、正确判空、无理由不做类型断言；通用方面避免魔法数字、DRY、合理单一返回点、控制流清晰。
集成：提交前可组合使用 /code-review（结构与质量）、/security-verify scan（安全问题）、/pre-commit（完整验证套件）。
限制：资料未提供安装方式、收费、平台支持范围及具体实现细节。