code-quality

用途：对代码库进行综合质量审计，涵盖安全、性能、无障碍、复杂度、可维护性及基础设施安全。\n\n主要能力：\n1. 安全审计：按 OWASP Top 10 清单排查访问控制、加密失败、注入、SSRF 等，并可扫描 API 密钥、AWS 凭证、私钥、连接字符串等敏感信息。\n2. 复杂度分析：评估圈复杂度与认知复杂度，给出重构建议；示例命令如 npx escomplex src/ --format json、radon cc src/ -a -j、lizard src/ --CCN 15。\n3. 性能审查：检测 N+1 查询、内存泄漏、包体积问题，命令如 npx webpack-bundle-analyzer stats.json、npx import-cost src/、npx bundle-phobia-cli lodash。\n4. 类型覆盖：使用 npx type-coverage --detail 统计 TypeScript 类型覆盖率。\n5. API 合同校验：npx @redocly/cli lint openapi.yaml、npx openapi-typescript openapi.yaml -o types.ts、npx dredd、npx oasdiff breaking 检测破坏性变更。\n6. 数据库模式审计：提供 PostgreSQL 索引与慢查询检查语句，梳理范式问题。\n7. 基础设施审计：tfsec、checkov、terrascan、cfn-lint、cfn_nag_scan 扫描 Terraform/CloudFormation。\n8. 无障碍审计：基于 WCAG 2.1 AA 清单，可用 axe-core、pa11y、lighthouse 检查。\n9. 死代码检测：ts-prune、unimported、vulture、depcheck。\n10. 破坏性变更检测：api-extractor、oasdiff、publint。\n\n使用方式：可直接用自然语言触发审计，如“Perform a security audit on this codebase, checking for OWASP Top 10 vulnerabilities”。也可集成 PreToolUse/PostToolUse 钩子做提交前质量门禁，或在 GitHub Actions 中执行 npm audit、escomplex、type-coverage、tfsec 等步骤，并输出结构化审计报告。\n\n适用场景：代码评审、CI/CD 质量门禁、遗留系统迁移评估、IaC 安全合规检查、前端无障碍整改。\n\n限制：资料未提供具体定价、平台支持范围与效果保证；命令与阈值依赖对应工具环境，需自行安装；不同语言阈值参见 references 目录文件。