系统化代码审查清单与反馈指南

结构化代码审查指南，涵盖安全、性能、可维护性等7个维度的系统化检查清单，附带严重级别标注与反馈最佳实践。

基本信息

• 技能名称?Code Review
• 中文名称?系统化代码审查清单与反馈指南
• 作者?wpank
• 分类?专业技能
• 版本?1.0.0
• 标签?code-review, security-audit, static-analysis-guide, best-practices, quality-assurance, devops, team-collaboration

使用方法

使用说明
综合评估
code-review 是一款纯文档型代码审查技能，无可执行代码、无网络请求、无敏感数据访问，安全等级达到S级。该技能提供了一套系统化的代码审查方法论，覆盖安全、性能、正确性、可维护性、测试、可访问性和文档7大维度，并配套严重级别标注体系与反馈沟通指南。
核心用法
技能采用"三阶段审查法"：
第一遍（2-5分钟） ：宏观架构审查，确认整体方案合理性
第二遍（主要时间） ：逐行细节检查，对照7维度清单排查问题
第三遍（5分钟） ：边界情况与容错加固，验证回滚安全性
审查输出需标注严重级别： [CRITICAL] （阻断合并的安全漏洞/数据丢失）、 [MAJOR] （阻断合并的缺陷或性能问题）、 [MINOR] （非阻断的维护优化）、 [NIT] （风格建议）。
显著优点

1. 全面性 ：12项安全检查覆盖OWASP Top 10核心风险，性能检查项包含N+1查询、内存泄漏、Bundle优化等实际痛点
2. 可操作性 ：每个检查项配有具体反例（如"字符串拼接SQL"）和修复建议（"使用参数化查询"），降低理解成本
3. 流程标准化 ：三阶段法与严重级别标注有效避免"橡皮图章式审批"或" bikeshedding（在变量名上争论30分钟却忽视竞态条件）"
4. 沟通友好 ：反馈原则强调"解释为什么""建议修复方案""提问而非命令"，并明确区分阻塞与非阻塞意见
   局限性与注意事项
5. 无自动化能力 ：该技能仅为检查清单和指南，不具备静态分析、漏洞扫描或自动修复功能，需人工逐项核对
6. 技术栈偏向通用 ：清单以Web/后端开发为主（SQL注入、XSS、React渲染优化），嵌入式、机器学习、区块链等场景需自行扩展
7. 上下文依赖 ：部分判断（如"DRY原则是否适用"）需要 reviewer 对业务上下文有深入理解，新手可能难以把握尺度
8. 版本维护 ：技能内容基于2024年主流实践，需关注原作者（wpank）仓库更新以获取新兴威胁（如AI生成代码的特定风险）覆盖
   适合人群
   技术团队负责人 ：建立团队统一的代码审查标准和准入门槛
   初级/中级开发者 ：系统学习代码质量维度，提升 review 他人代码的能力
   开源项目维护者 ：规范化 PR review 流程，减少无效沟通
   安全合规岗位 ：作为安全审查的辅助检查清单，弥补自动化工具遗漏
   常规风险
   该技能本身无技术风险（纯Markdown文档），但使用时需注意：
   过度依赖清单 ：清单无法替代领域专业知识（如特定加密算法的误用模式）
   严重级别误判 ： reviewer 可能因经验不足将 [NIT] 标为 [MAJOR] 引发团队摩擦，建议团队内部对齐标准
   大规模PR审查 ：技能明确建议单次审查不超过400行，但实际操作中可能受交付压力违背此原则，导致遗漏关键问题
   来源与维护
   由GitHub个人开发者 wpank 维护，属于T2级可信来源。代码完全开源透明，建议团队采纳前 fork 并根据自身技术栈定制检查项。