用途
本技能面向 AI 驱动的代码审查工作，将自动化静态分析、智能模式识别与现代 DevOps 实践结合，用于在代码审查流程中识别缺陷、安全漏洞和性能问题。它适用于处理 AI 代码审查相关任务或工作流，以及需要该领域指导、最佳实践或检查清单的场景；不适用于与该领域无关的任务或超出此范围的其它工具。
主要能力
- 多层代码审查工作流：与 CI/CD 流水线集成，对拉取请求提供即时反馈，架构决策保留人工监督。审查覆盖 30 多种语言，结合基于规则的分析与 AI 辅助的上下文理解。
- 自动化审查流程：包括初始分诊（解析 diff、匹配静态分析工具、按 PR 规模调整分析深度、分类变更类型）、多工具静态分析、AI 辅助审查。
- 多工具静态分析：并行执行 CodeQL（深度漏洞分析，如 SQL 注入、XSS、认证绕过）、SonarQube（代码异味、复杂度、重复、可维护性）、Semgrep（组织特定规则与安全策略）、Snyk/Dependabot（供应链安全）、GitGuardian/TruffleHog（密钥检测）。
- AI 辅助审查：提供上下文感知的审查提示模板，聚焦静态工具遗漏的安全漏洞、规模化性能影响、边界情况与错误处理缺口、API 契约兼容性、可测试性与缺失覆盖、架构一致性。
- 模型选择（2025）：快速审查（<200 行）用 GPT-4o-mini 或 Claude 4.5 Haiku；深度推理用 Claude 4.5 Sonnet 或 GPT-4.5（200K+ tokens）；代码生成用 GitHub Copilot 或 Qodo；多语言用 Qodo 或 CodeAnt AI（30+ 语言）。
- 审查路由策略：根据 PR 复杂度指标路由，如文件变更 >50 或行变更 >1000 转人工审查；安全敏感或影响认证的用安全聚焦提示；测试覆盖缺口 >20 的用测试生成模式；否则用默认 AI 引擎。
- 架构分析：检查架构一致性（依赖方向、SOLID 原则、反模式如单例、上帝对象、贫血模型、霰弹式修改）；微服务审查清单（服务内聚、数据所有权、API 版本化、向后兼容、熔断器、幂等性），检测共享数据库、无弃用警告的破坏性 API 变更等问题。
- 安全漏洞检测：SAST 层（CodeQL、Semgrep、Bandit/Brakeman/Gosec）；AI 增强威胁建模（认证绕过、IDOR、JWT 验证缺陷、会话固定/劫持、时序攻击、缺失限流、不安全密码存储、撞库防护缺口），提供 CWE 标识、CVSS 评分、利用场景与修复代码；密钥扫描（TruffleHog）；覆盖 OWASP Top 10（2025）。
- 性能审查：性能剖析（加载基线指标、运行基准、检测回归，CPU 阈值 10、内存 15、延迟 20）；可扩展性红旗（N+1 查询、缺失索引、同步外部调用、内存状态、无界集合、缺失分页、无连接池、无限流）；N+1 查询检测。
- 审查评论生成：结构化格式，包含路径、行号、严重级别（CRITICAL/HIGH/MEDIUM/LOW/INFO）、类别、标题、描述、代码示例、参考链接、是否可自动修复、CWE、CVSS、修复工作量。
- CI/CD 集成：提供 GitHub Actions 示例，包含静态分析、AI 增强审查、发布评论、质量门禁（发现 CRITICAL 问题则失败）。
- 完整自动化示例：提供 Python 编排器示例，整合静态分析与 AI 审查并发布评论。
使用方式
技能要求执行审查：Review: $ARGUMENTS，进行安全、性能、架构、可维护性、测试及 AI/ML 专项的综合分析，生成带行号引用、代码示例和可操作建议的审查评论。使用前需明确目标、约束和所需输入，应用相关最佳实践并验证结果，提供可操作步骤和验证。
适用场景
适用于需要 AI 辅助代码审查的软件开发流程，尤其是希望将静态分析与 LLM 结合、集成到 CI/CD、对拉取请求自动反馈的团队。支持 30+ 语言，适合多语言项目、安全敏感代码、微服务架构审查。
限制
- 仅在任务明确匹配上述范围时使用；不要将输出视为环境特定验证、测试或专家审查的替代。
- 若缺少所需输入、权限、安全边界或成功标准，应停止并请求澄清。
- 支持材料可用性：本目录副本包含内联指导，但不包含以下支持路径，它们是外部前置条件而非捆绑文件：
<support-root>/scripts/ai_review.py。使用依赖这些路径的步骤前，需索取原始支持材料或已有安装；本目录未标识已验证的下载来源。应相对于该安装解析每个路径，检查其内容，并验证适用的许可证与执行前置条件。在所需文件存在之前，不要运行命令或声称已遵循引用的流程。不要伪造缺失脚本，也不要将同名无关文件视为等价。此处完整记录的独立步骤可在用户授权范围内进行；任何依赖步骤应报告为不可用。