用途：审查和调试 Web 应用代码，聚焦真正会导致生产故障的模式。SKILL.md 提供与栈无关的原则，references 目录提供特定栈的模式。
适用场景：合并前审查 PR、调试生产问题、排查构建失败、审计现有代码的安全或性能、排查环境变量或配置问题、处理“网站坏了”的报告。不适用：编写新功能规格、上线前对运行站点做 QA、Core Web Vitals 性能深挖、深度无障碍合规审查。
必要输入：待审查的代码、PR、错误信息或症状；调试时需日志（构建日志、函数日志、服务器日志）；技术栈（框架、托管、数据库），至少高层级信息。若只给症状，工作流第一步是收集足够上下文。
五个审查维度：1）正确性：逻辑符合意图、处理边界情况、避免差一错误与空值/异步竞态、有测试、无回归风险。2）安全：密钥不入客户端或版本控制、变更端点校验调用方、输入校验、外发 URL 校验防 SSRF、CSRF 防护、限流、仅 HTTPS、Cookie 设置 Secure/HttpOnly/SameSite、服务端密钥不被暴露到客户端包。3）性能：避免 N+1 查询、大结果集分页、合理缓存、控制包体积、图片用现代格式与懒加载并指定尺寸、慢操作移出请求路径、优化冷启动。4）可靠性：错误被捕获并带上下文记录、网络调用重试、外部调用有超时、非关键路径优雅降级、可重试变更幂等、日志足以诊断。5）可维护性：命名表意、注释解释原因、函数单一职责、消除重复、新依赖有理由、避免魔法值。
常见缺陷模式：构建时数据获取超时、环境变量未传播、预览与生产环境不一致、canonical 指向预览域名、API 指向主域回环、混合内容、部署后缓存未失效、CDN 旧资源同名、缓存头过于激进、N+1 查询、大表扫描缺 LIMIT、连接池耗尽、迁移未回填、上传后图片不显示、图片导致布局偏移、LCP 慢、机器人缓解拦截服务端调用、生产触发 API 限流、未保护的 revalidation 或管理端点、URL 含 PII、客户端包泄露密钥。
工作流：收集上下文；选择深度（小 PR 快速扫描、大改动完整审查、生产事故深挖）；按五维度检查并按严重程度标注（阻塞、重要、次要）；检查栈特定模式；事故时找最小假设驱动修复并尽量本地复现；按模板写审查。
调试流程：读完整错误与堆栈；查托管构建与函数日志；用 git log --oneline 找最后可用版本；本地复现；检查环境变量；检查缓存状态；做最小修复；在生产验证；记录根因与预防措施。
输出格式：PR 审查用行内评论加摘要；正式审查输出 code-review-[date].md，含范围、总结、关键问题、重要问题、次要问题、后续建议；事故输出事后复盘文档。
参考文件：references/review-template.md、references/nextjs-patterns.md、references/wordpress-headless-patterns.md。
限制：资料未提供具体安装命令、收费方式或平台支持范围。