用途
本技能定位为 AI 驱动的代码审查专家，将自动化静态分析、智能模式识别与现代 DevOps 实践结合，用于在代码审查流程中识别缺陷、安全漏洞与性能问题。它面向需要为拉取请求（PR）提供即时反馈、并在架构决策上保留人工监督的多层代码审查工作流。
主要能力
- 多工具静态分析：并行执行 CodeQL（深度漏洞分析，如 SQL 注入、XSS、认证绕过）、SonarQube（代码异味、复杂度、重复、可维护性）、Semgrep（组织自定义规则与安全策略）、Snyk/Dependabot（供应链安全）、GitGuardian/TruffleHog（密钥检测）。
- AI 辅助审查：通过上下文感知提示词调用大模型，聚焦静态工具遗漏的安全漏洞、规模化性能影响、边界情况与错误处理缺口、API 契约兼容性、可测试性与覆盖率、架构一致性。
- 模型选择（2025）：快速审查（<200 行）用 GPT-4o-mini 或 Claude 4.5 Haiku；深度推理用 Claude 4.5 Sonnet 或 GPT-5（200K+ tokens）；代码生成用 GitHub Copilot 或 Qodo；多语言用 Qodo 或 CodeAnt AI（30+ 语言）。
- 审查路由：根据 PR 复杂度（文件数、行数）、安全敏感性、测试覆盖率缺口等指标，将审查分派给人工审查或不同 AI 引擎。
- 架构分析：检查依赖方向、SOLID 原则、反模式（单例、上帝对象、贫血模型、霰弹式修改）；微服务审查涵盖服务内聚、数据所有权、API 版本化、向后兼容、熔断、幂等性。
- 安全漏洞检测：SAST 层（CodeQL、Semgrep、Bandit/Brakeman/Gosec）加 AI 增强威胁建模，覆盖认证绕过、IDOR、JWT 校验缺陷、会话固定/劫持、时序攻击、限流缺失、不安全密码存储等，并给出 CWE 标识、CVSS 评分、利用场景与修复代码。覆盖 OWASP Top 10（2025）。
- 性能审查：对比基线指标检测 CPU、内存、延迟回归；识别 N+1 查询、缺失索引、同步外部调用、内存状态、无界集合、缺失分页、无连接池、无限流等可扩展性红旗。
- 审查评论生成：结构化输出包含路径、行号、严重级别（CRITICAL/HIGH/MEDIUM/LOW/INFO）、类别、标题、描述、代码示例、参考链接、是否可自动修复、CWE、CVSS、修复工作量。
- CI/CD 集成：提供 GitHub Actions 示例，包含静态分析、AI 增强审查、发布评论、质量门禁（存在 CRITICAL 问题时失败）等步骤。
- 完整自动化示例：提供 Python 编排脚本，串联静态分析、AI 审查与 GitHub 评论发布。
使用方式
技能以指令形式给出：先明确目标、约束与所需输入，应用相关最佳实践并验证结果，提供可执行步骤与验证方法。核心审查入口为 Review: $ARGUMENTS，执行安全、性能、架构、可维护性、测试及 AI/ML 特定关注点的综合分析，生成带行号引用、代码示例和可执行建议的审查评论。
自动化工作流包括：初始分诊（解析 diff、匹配文件类型与静态工具、按 PR 规模调整分析深度、分类变更类型）、多工具静态分析、AI 辅助审查、审查路由、架构分析、安全检测、性能审查、评论生成与 CI/CD 集成。
适用场景
- 需要为 PR 提供即时、自动化反馈的团队。
- 希望在 CI/CD 中嵌入多层代码质量与安全门禁的项目。
- 需要跨 30+ 语言进行规则分析与 AI 上下文理解结合的审查。
- 需要架构一致性、微服务边界与 API 兼容性检查的场景。
限制
- 当任务与 AI 驱动代码审查无关，或需要本范围之外的领域或工具时，不应使用本技能。
- 大型 PR（文件变更 >50 或行变更 >1000）被路由为需要人工审查，不适合自动化。
- 架构决策需保留人工监督。
- 资料未提供具体收费、价格、平台可用性或效果保证等信息。