用途：这是 QA 流程的倒数第二步——独立审查。执行阶段（qa-test-runner）报告用例跑完后，本技能负责追问“通过是否代表安全、还有哪些没测到、代码本身有无隐藏问题”，不采信执行方结论，审查结果交给 qa-report-generator 汇入最终报告。
主要能力：审查并发安全（锁粒度、事务边界、double-consume）、资金与结算正确性（金额边界、扣款与流水同事务、异常回滚）、权限与认证（归属校验、敏感字段脱敏）、状态机与幂等、异常处理（吞异常、重抛导致回滚、异步失败隔离）、回归兼容性与测试覆盖缺口。产出 code-review.json，含 severity 分级 findings、readinessConstraints 与 residualRisks。
使用方式：CLI 为 quality-assurance-agent/scripts/qa_agent.py，需先解析 skill 目录，命令统一写成 python "$QA_AGENT_DIR/scripts/qa_agent.py" <cmd>。输入包括 risk-analysis.json、test-cases.json、test-spec-tasks.json、completion-check.json、latest-report.html 及目标代码文件本身。写完后运行门禁：python "$QA_AGENT_DIR/scripts/qa_agent.py" assert-code-review --code-review .qa-agent/current/code-review.json --output .qa-agent/current/code-review-check.json。
限制：不修改产品代码（除非用户明确要求）；输入文件缺失时从 manifest 定位并报告，不凭空审查；代码不可读记为审查盲区；P0/P1 安全、架构、资金、权限、数据一致性或测试缺失问题标记 blocking，不因用例全通过而降级；不使用“未发现问题”表述，需明确说明审查范围。具体平台与收费信息暂未提供。