## 资源脚本/ 验证代码审查.sh 参考文献/ 审查模式.md # 代码审查质量技能这项技能教您如何使用 GoodVibes 精确工具执行彻底的企业级代码审查。系统的代码审查可以及早发现问题，确保一致性，验证安全性和性能，并在整个代码库中保持高质量标准。 ## 何时使用此技能在以下情况下加载此技能： * 审查拉取请求或合并请求 * 执行代码质量审核 * 验证实施的安全性和性能 * 检查对架构模式的遵守情况 * 评估测试覆盖率和质量 * 评估无障碍合规性 * 向开发人员提供结构化反馈触发短语：“审查此代码”、“检查 PR”、“质量审核”、“安全审核”、“性能审核”、“验证实施”。 ## 核心工作流程 ### 第 1 阶段：发现 - 了解变化在进行审查之前，请了解发生了什么变化、原因以及影响范围。 #### 步骤 1.1：收集变更背景使用“discover”映射所有已更改的文件并识别更改的类型。发现：查询： - id: 已更改的文件类型：全局 patterns: ["src/**/*"] # 列出已更改的文件以供审核 - ID：新文件类型：全局模式：[“**/*”] - id: 测试文件类型：全局模式：[“**/*.test.ts”、“**/*.test.tsx”、“**/*.spec.ts”、“**/*.spec.tsx”] 详细程度：files_only **从 git 中提取：** 精度执行：命令： - cmd：“git diff --仅名称 HEAD~1..HEAD” 冗长：最少 **这揭示了什么：** * 变更集中修改的所有文件 * 新文件、修改文件、删除文件 * 包含（或缺失）测试文件 * 变更范围（前端、后端、全栈） #### 步骤 1.2：分析更改的代码使用“ precision_read”检查实际变化。精度读取：文件： - path: "src/api/user-routes.ts" # 更改文件示例摘录：内容 - 路径：“src/components/UserProfile.tsx” 摘录：内容输出：每个项目的最大数量：200 详细程度：标准 **获取差异上下文：** 精度执行：命令： - cmd: "git diff HEAD~1..HEAD -- src/api/user-routes.ts" 详细程度：标准 #### 步骤1.3：查找相关代码使用“discover”查找已更改符号的导入、导出和使用。发现：查询： - id: function_exports 类型：grep 模式：“导出（函数|常量|类）（创建用户|更新用户|删除用户）” glob: "**/*.{ts,tsx,js,jsx}" - id：usage_sites 类型：grep 模式：“(createUser|updateUser|deleteUser)\\(” glob: "**/*.{ts,tsx,js,jsx}" - id：相关测试类型：grep 模式：“（创建用户|更新用户|删除用户）” glob: "**/*.test.{ts,tsx}" 冗长：位置 **这揭示了什么：** * 使用更改的功能的地方 * 潜在的重大变化 * 测试更改代码的覆盖率 * 整个代码库的连锁反应 ### 第 2 阶段：安全审查安全问题**严重**，必须进行审查。 #### 步骤 2.1：检查常见漏洞使用“discover”来查找安全反模式。发现：查询： # SQL注入 - ID：sql_injection 类型：grep 模式：'(查询|执行|sql).*[`$].*\$\{' glob: "**/*.{ts,tsx,js,jsx}" # XSS 漏洞 - ID：dangerous_html 类型：grep 模式：“(dangerouslySetInnerHTML|innerHTML|outerHTML)” glob: "**/*.{ts,tsx,jsx}" # 硬编码的秘密 - ID：硬编码的秘密类型：grep 模式： '(密码|秘密|api[_-]?密钥|令牌)\s*=\s*["''][^"'']+["'']' glob: "**/*.{ts,tsx,js,jsx,json}" # 缺少身份验证 - ID：未经授权的路线类型：grep 模式：“导出（异步）？功能（GET | POST | PUT | DELETE | PATCH）” 全局：“src/app/api/**/*.ts” 冗长：位置 **要检查的关键模式：** 图案|严重性 |为什么它很重要 ---|---|--- SQL注入|关键|允许攻击者读取/修改数据库 XSS 漏洞 |关键|允许脚本注入、会话劫持硬编码的秘密 |关键|在源代码中公开凭据缺少授权检查 |关键|暴露受保护的资源不安全的反序列化 |关键|远程代码执行 CORS 配置错误 |专业|允许未经授权的来源弱密码规则|专业|账户泄露缺少输入验证 |专业|数据损坏、注入 #### 步骤 2.2：验证输入处理所有外部输入都必须经过验证。发现：查询： # 检查验证模式 - ID：zod_schemas 类型：grep 模式：“z\\.(对象|字符串|数字|数组|枚举)” 全局：“**/*.{ts,tsx}” # 检查是否直接 request.json() 而不进行验证 - id：unvalidated_input 类型：grep 模式：“(等待请求\\.json\$\$|req\\.body)(?!.*safeParse)” 全局：“src/app/api/**/*.ts” # 检查 SQL 参数化 - id: 参数化查询类型：grep 模式：“(db\\.(查询|执行)|prisma\\.|sql`)” 全局：“**/*.{ts,js}” 冗长：位置 **验证最佳实践：** * 所有 API 路由均使用 Zod、Joi 或等效工具验证输入 * 所有数据库查询都使用参数化查询（Prisma、准备好的语句） * 文件上传验证内容类型和大小 * URL 和重定向根据白名单进行验证 #### 步骤 2.3：检查身份验证和授权验证受保护的资源是否需要身份验证。发现：查询： # 查找auth中间件的使用情况 - ID：auth_middleware 类型：grep 模式：“(getServerSession|auth\$\$|requireAuth|withAuth)” 全局：“src/app/api/**/*.ts” # 查找资源所有权检查 - id：所有权检查类型：grep 模式：“(userId|authorId|ownerId)\s*===\s*(session|user|currentUser)” 全局：“**/*.{ts,tsx}” # 查找 RBAC 检查 - ID：rbac_checks 类型：grep 模式：“（角色|权限|可以）\s*===\s*” 全局：“**/*.{ts,tsx}” 冗长：位置 **关键检查：** * 受保护的API路由调用auth中间件 * 用户只能修改自己的资源（所有权检查） * 仅限管理员操作检查管理员角色 * JWT 通过正确的秘密进行验证 * 会话令牌会轮换并且有过期时间 ### 第 3 阶段：绩效评估性能问题会导致用户体验差和成本可扩展性差。 #### 步骤 3.1：检查 N+1 查询 N+1 查询是数据库性能的第一杀手。发现：查询： # 查找数据库调用的循环 - ID：n_plus_one 类型：grep 模式：“(for|forEach|map).*await.*(prisma|db|query|find)” glob: "**/*.{ts,tsx,js,jsx}" # 查找 Prisma 包含用法 - ID：prisma_includes 类型：grep 模式：“（findMany | findUnique | findFirst）。*包括：” 全局：“**/*.{ts,js}” 冗长：位置 **如何修复：** * 使用“include”预先加载相关记录（Prisma） * 使用 join 或 SELECT IN 进行批量加载 * 为GraphQL实现DataLoader * 缓存经常访问的数据 #### 步骤 3.2：检查不必要的重新渲染 React 重新渲染问题会损害前端性能。发现：查询： # 在 JSX 中查找内联对象/数组创建 - id：内联对象类型：grep 模式：“(onClick|onChange|style)=\\{\\{|=\\{\\[” 全局：“**/*.{tsx,jsx}” # 查找缺失的 useMemo/useCallback - ID：missing_memoization 类型：grep 模式：“（映射|过滤器|减少）\\（” 全局：“**/*.{tsx,jsx}” # 查找没有依赖的useEffect - ID：missing_deps 类型：grep 模式：“useEffect\$[^)]+\$\\s*$” 全局：“**/*.{tsx,jsx}” 冗长：位置 **常见问题：** 反模式|修复 ---|--- props 中的内联对象 |提取到常量或 useMemo props 中的内联函数 |包裹在 useCallback 中无钥匙大清单|添加稳定的关键道具 useEffect 缺少依赖项 |将所有使用的变量添加到 deps 数组上下文重新渲染一切 |分割上下文或使用状态管理器 #### 步骤 3.3：检查数据库索引缺少索引会导致查询缓慢。精度读取：文件： - 路径：“prisma/schema.prisma” 摘录：内容输出：每个项目的最大数量：500 详细程度：标准 **验证索引是否存在：** * 外键（userId、postId等） * 经常过滤的字段（状态、创建时间、发布时间） * WHERE 子句中使用的字段 * 多列查询的复合索引 ### 第 4 阶段：代码质量审查代码质量影响可维护性和可靠性。 #### 步骤 4.1：检查类型安全 TypeScript 应该在编译时捕获错误，而不是运行时。发现：查询： # 查找任何类型 - id：任意用法类型：grep 模式：“:\s*any(\\s|;|,|\\))” 全局：“**/*.{ts,tsx}” # 查找类型断言（as） - id：类型断言类型：grep 模式：“as（未知|任何|字符串|数字）” 全局：“**/*.{ts,tsx}” # 查找非空断言 (!) - id：non_null_assertions 类型：grep 模式：“![.;,)\\]]” 全局：“**/*.{ts,tsx}” # 查找不安全的成员访问 - ID：不安全访问类型：grep 模式：“\\？\\。” 全局：“**/*.{ts,tsx}” 冗长：位置 **类型安全问题：** 问题 |严重性 |修复 ---|---|--- `any` 类型用法 |专业|使用正确的类型或未知的类型 “任何”断言 |专业|修复底层类型问题 `!` 非空断言 |次要|添加空检查缺少返回类型 |次要|显式类型函数返回隐式任何参数 |专业|添加参数类型 #### 步骤 4.2：检查错误处理所有异步操作和 API 调用都必须处理错误。发现：查询： # 寻找浮动的承诺 - ID：浮动承诺类型：grep 模式：“^\\s+[a-z][a-zA-Z]*\$.*\$;$” glob: "**/*.{ts,tsx,js,jsx}" # 查找空的catch块 - id: 空_catch 类型：grep 模式：“catch.*\\{\\s*\\}” glob: "**/*.{ts,tsx,js,jsx}" # 查找console.error（应该使用记录器） - ID：控制台错误类型：grep 模式：“控制台\\。（错误|警告|日志）” glob: "**/*.{ts,tsx,js,jsx}" 冗长：位置 **错误处理清单：** * 所有 Promise 都有 `.catch()` 或 `try/catch` * 错误与上下文一起记录（用户 ID、请求 ID） * 清理了面向用户的错误（没有堆栈跟踪） * API 错误返回正确的 HTTP 状态代码 * 暂时性故障的重试逻辑 #### 步骤 4.3：检查代码组织大文件和高复杂性使得代码难以维护。精度执行：命令： - cmd：“查找 src -not -path '*/node_modules/*' -not -path '*/dist/*' -name '*.ts' -o -name '*.tsx' -print0 | xargs -0 wc -l | sort -rn | head -20” 详细程度：标准 **代码组织规则：** * 文件应小于 300 行（例外：生成的代码） * 函数应小于 50 行 * 圈复杂度 < 10 * 最大嵌套深度：3层 * 将助手提取到单独的文件中 ### 第 5 阶段：测试审核测试验证正确性并防止回归。 #### 步骤 5.1：检查测试覆盖率每个更改的文件都应该进行测试。发现：查询： # 查找测试文件 - id: 测试文件类型：全局模式：[“**/*.test.{ts,tsx}”,“**/*.spec.{ts,tsx}”] # 查找没有测试的文件 - id: 源文件类型：全局模式：[“src/**/*.{ts,tsx}”] # 检查测试导入 - id：test_imports 类型：grep 模式：“来自 ['\”].*/(api|lib|components)/” glob: "**/*.test.{ts,tsx}" 详细程度：files_only **比较源文件与测试文件：** // 伪逻辑（用精密工具实现） const sourceFiles = results.source_files.files; const testFiles = results.test_files.files; const MissingTests = sourceFiles.filter(f => !testFiles.some(t => t.includes(f.replace('.ts', '')))); #### 步骤 5.2：检查测试质量测试应该测试行为，而不是实现。发现：查询： # 查找跳过的测试 - ID：skipped_tests 类型：grep 模式：“(it\\.skip|test\\.skip|describe\\.skip)” glob: "**/*.test.{ts,tsx}" # 查找重点测试（.only） - id：focused_tests 类型：grep 模式：“(it\\.only|test\\.only|describe\\.only)” glob: "**/*.test.{ts,tsx}" # 查找期望断言 - id：断言类型：grep 模式：“期望\\(” glob: "**/*.test.{ts,tsx}" # 查找模拟用法 - id：模拟类型：grep 模式：“(vi\\.mock|jest\\.mock|vi\\.fn)” glob: "**/*.test.{ts,tsx}" 冗长：位置 **测试质量检查表：** * 没有 `.skip` 或 `.only` （应该在合并之前删除） * 每个测试至少有一个断言 * 测试具有描述性名称（“它应该...”、“当...然后...”） * 测试是隔离的（没有共享状态） * 很少使用模拟（更喜欢真正的实现） * 测试边缘情况（空、空、大值） ### 第 6 阶段：架构审查架构违规会产生技术债务。 #### 步骤 6.1：检查依赖方向依赖关系应该从外层流向内层。发现：查询： # 在 UI 中查找域导入 - ID：ui_imports_domain 类型：grep 模式：“来自 ['\”].*/(domain|core|lib)/” glob: "src/components/**/*.{ts,tsx}" # 在域中查找 UI 导入 - ID：domain_imports_ui 类型：grep 模式：“来自['\”]。*/（组件|页面|应用程序）/” glob: "src/domain/**/*.{ts,tsx}" # 查找循环依赖 - id: 导入类型：grep 模式：“^导入。*来自” glob: "src/**/*.{ts,tsx}" 冗长：位置 **依赖规则：** * UI组件可以导入hooks、utils、领域逻辑 * 域逻辑不应导入 UI 组件 * API路由可以导入领域逻辑，而不是UI * 共享实用程序应该具有零依赖性 #### 步骤 6.2：检查分层违规情况发现：查询： # 组件中的数据库访问 - id：db_in_components 类型：grep 模式：“(prisma|db\\.(查询|执行))” glob: "src/components/**/*.{ts,tsx}" # API 路由中的业务逻辑 - id: 逻辑路由类型：grep 模式：“导出（异步）？函数（GET|POST）” 全局：“src/app/api/**/*.ts” 详细程度：files_only **阅读路由处理程序以检查：** * 路由处理程序应小于 30 行（委托给服务） * 组件中没有数据库查询（使用服务器操作或 API 路由） * 路由中没有业务逻辑（提取到服务层） ### 第 7 阶段：无障碍审查可访问性确保您的应用程序可供所有人使用。 #### 步骤 7.1：检查语义 HTML 使用适当的 HTML 元素来实现可访问性。发现：查询： # 查找 div 按钮（应该是

代码审查

包含技能