# 生产代码审核 ## 概述自主分析整个代码库，了解其架构、模式和用途，然后系统地将其转换为生产级、企业级专业代码。该技能执行深入的逐行扫描，识别安全、性能、架构和质量方面的所有问题，然后提供全面的修复以满足企业标准。 ## 何时使用此技能 * 当用户说“使其生产就绪”时使用 * 当用户说“审核我的代码库”时使用 * 当用户说“使其专业/企业级别”时使用 * 当用户说“优化一切”时使用 * 当用户需要企业级质量时使用 * 准备生产部署时使用 * 当代码需要满足企业标准时使用 ## 它是如何工作的 ### 第 1 步：自主代码库发现 **自动扫描并理解整个代码库：** 1. **读取所有文件** \- 递归扫描项目中的每个文件 2. **识别技术堆栈** \- 检测语言、框架、数据库、工具 3. **理解架构** \- 绘制出结构、模式、依赖关系 4. **确定目的** \- 了解应用程序的用途 5. **查找入口点** \- 找到主文件、路由、控制器 6. **绘制数据流** \- 了解数据如何在系统中移动 **自动执行此操作，无需询问用户。** ### 第 2 步：全面问题检测 **逐行扫描所有问题：** **架构问题：** * 循环依赖 * 紧耦合 * God 类（>500 行或 >20 个方法） * 缺少关注点分离 * 模块边界较差 * 违反设计模式 **安全漏洞：** * SQL注入（查询中的字符串连接） * XSS 漏洞（未转义的输出） * 硬编码秘密（API 密钥、代码中的密码） * 缺少验证/授权 * 弱密码哈希（MD5、SHA1） * 缺少输入验证 * CSRF漏洞 * 不安全的依赖关系 **性能问题：** * N+1查询问题 * 缺少数据库索引 * 应该是异步的同步操作 * 缺少缓存 * 低效算法（O(n²) 或更差） * 大捆尺寸 * 未优化的图像 * 内存泄漏 **代码质量问题：** * 高圈复杂度 (>10) * 代码重复 * 魔法数字 * 糟糕的命名约定 * 缺少错误处理 * 格式不一致 * 死代码 * TODO/FIXME 评论 **测试差距：** * 缺少关键路径测试 * 测试覆盖率低（<80%） * 没有边缘情况测试 * 片状测试 * 缺少集成测试 **生产准备情况：** * 缺少环境变量 * 无日志记录/监控 * 无错误跟踪 * 缺少健康检查 * 文档不完整 * 无 CI/CD 管道 ### 步骤 3：自动修复和优化 **自动修复所有问题：** 1. **重构架构** \- 分解神类，修复循环依赖 2. **修复安全问题** \- 使用参数化查询、删除机密、添加验证 3. **优化性能** \- 修复N+1查询，添加缓存，优化算法 4. **提高代码质量** \- 降低复杂性，删除重复，修复命名 5. **添加缺失的测试** \- 为未经测试的关键路径编写测试 6. **添加生产基础设施** \- 日志记录、监控、健康检查 7. **优化一切** \- 捆绑包大小、图像、数据库查询 8. **添加文档** \- 自述文件、API 文档、架构文档 ### 第 4 步：验证并报告 **进行所有更改后：** 1. 运行所有测试以确保没有任何问题 2. 验证所有安全问题均已修复 3. 衡量绩效改进 4. 生成综合报告 5. 提供之前/之后的指标 ## 示例 ### 示例 1：自主代码库转换用户：@product-code-audit 使此产品准备就绪 AI：我将扫描您的整个代码库并将其转换为生产级质量。 **阶段 1：发现代码库**（分析 247 个文件） - 检测到：Node.js + Express + PostgreSQL + React - 架构：带有 REST API 的 MVC 模式 - 用途：电子商务平台 - 入口点：server.js、src/index.tsx **阶段 2：扫描问题**（逐行分析）发现 127 个问题： - 🔴 严重：8 个问题 - 🟠 高：23 个问题 - 🟡 中：41 个问题 - 🔵 低：55 个问题 **阶段 3：自动修复问题** 🔴 关键修复（8/8 已完成）： 1. 修复了UserRepository.findByEmail()中的SQL注入 - 之前：查询中的字符串连接 - 之后：带有 $1 占位符的参数化查询 2. ✅ 从 config/database.ts 中删除了硬编码的数据库密码 - 之前：密码：“SuperSecret123！” - 之后：密码：process.env.DB_PASSWORD 3. ✅ 为管理路由添加身份验证 - 之前：没有身份验证中间件 - 之后：authenticateToken + requireRole('admin') 4. ✅ 修复弱密码哈希（MD5 → bcrypt） - 之前：crypto.createHash('md5') - 之后：bcrypt.hash（密码，12） 5. ✅ 修复循环依赖：OrderService ↔ PaymentService - 之前：直接进口造成循环 - 之后：与EventBus基于事件的解耦 6. ✅ 为所有 API 端点添加了输入验证 - 之前：没有验证 - 之后：Zod 模式验证所有输入 7. 修复了 auth 中间件中的身份验证绕过问题 - 之前：next() 调用丢失的令牌 - 之后：返回 401 错误 8. 修复了UserController中的批量分配漏洞 - 之前：接受 req.body 中的所有字段 - 之后：仅允许字段的白名单 🟠 高优先级修复（23/23 完成）： 9. 修复了 OrderService.getOrdersWithItems() 中的 N+1 查询 - 之前：循环单个查询（2.8 秒） - 之后：带有连接的单个查询（45ms） - 性能：提升 98% 10. ✅ 重构UserService神类（850行→4个重点服务） - UserAuthenticationService（登录、注销、密码） - UserProfileService（CRUD 操作） - UserNotificationService（电子邮件、短信） - UserPermissionService（角色、权限） 11. ✅ 为产品查询添加Redis缓存 - 之前：数据库查询每个请求 - 之后：缓存 1 小时 TTL - 性能：快 95% 12. 优化捆绑包大小 - 之前：850KB（压缩后：280KB） - 之后：380KB（压缩后：120KB） - 改进：减少 55% 13. ✅ 添加数据库索引 - 订单（用户 ID、状态、创建时间） - 产品（类别、价格） - 查询性能：提升98% [...另外 11 个高优先级修复...] 🟡 中优先级修复（41/41 已完成）： [...所有中等修复...] 🔵 低优先级改进（55/55 已完成）： [...所有低改进...] **阶段 4：添加生产基础设施** ✅ 添加了结构化日志记录 (Winston) ✅ 添加了错误跟踪（Sentry） ✅ 添加了健康检查端点（/health、/ready） ✅ 添加监控（Prometheus 指标） ✅ 添加了速率限制（基于 Redis） ✅ 添加了 API 文档（Swagger/OpenAPI） ✅ 添加了全面的自述文件 ✅ 添加部署指南 ✅ 添加了 CI/CD 管道 (.github/workflows) **阶段 5：验证** ✅ 所有测试均通过（1,247 项测试） ✅ 测试覆盖率：42% → 87% ✅ 安全扫描：0 个漏洞 ✅ 性能：API响应时间3.2s → 180ms ✅ 捆绑包大小：850KB → 380KB ✅ 灯塔评分：62 → 94 **转型完成** 您的代码库现已投入生产，具有企业级质量： 📊 指标： - 已修复问题：127/127 (100%) - 测试覆盖率：87%（目标：80%+） - API 性能：提升 94% - 安全性：符合 OWASP Top 10 标准 - 代码质量：A级- 📁 已更改文件：89 个文件 📝 线路变更：+3,247 / -1,892 🚀 准备好进行生产部署！ ### 示例 2：自动安全强化用户：@product-code-audit 保护此代码库 AI：扫描安全漏洞... **安全扫描完成** 发现 15 个安全问题： - 🔴严重：5 - 🟠 高：7 - 🟡 中：3 **自动修复所有安全问题...** 🔴 严重（5/5 已修复）： 1. ✅ UserRepository 中的 SQL 注入 ``````打字稿 // 之前（脆弱） const query = \`SELECT * FROM users WHERE email = '\${email}'\`; // 之后（安全） const query = 'SELECT * FROM users WHERE email = $1'; 等待 db.query(查询，[电子邮件]); `````` 2. ✅ 删除硬编码秘密 ``````打字稿 // 之前（不安全） const JWT_SECRET = 'my-secret-key-123'; // 之后（安全） const JWT_SECRET = process.env.JWT_SECRET; if (!JWT_SECRET) throw new Error('需要 JWT_SECRET'); `````` 3. ✅ 身份验证添加到管理路由 ``````打字稿 // 之前（脆弱） router.delete('/api/admin/users/:id',deleteUser); // 之后（安全） router.delete('/api/admin/users/:id', 验证令牌， requireRole('管理员'), 删除用户）； `````` 4. ✅ 密码哈希升级 ``````打字稿 // 之前（弱） const hash = crypto.createHash('md5').update(password).digest('hex'); // 之后（强） const hash = wait bcrypt.hash(密码, 12); `````` 5. ✅ 添加输入验证 ``````打字稿 // 之前（脆弱） const user = wait db.user.create({ data: req.body }); // 之后（安全） const 架构 = z.object({ 电子邮件：z.string().email(), 密码：z.string().min(12), 名称：z.string().min(2).max(100) }); const 已验证 = schema.parse(req.body); const user = wait db.user.create({ 数据: 已验证}); `````` **安全状态：** - ✅ OWASP Top 10：合规 - ✅ SQL 注入：受保护 - ✅ XSS：受保护 - ✅ CSRF：受保护 - ✅ 身份验证：安全 - ✅ 秘密：环境变量 - ✅ 依赖关系：没有漏洞 🔒 代码库现已安全并可投入生产！ ### 示例 3：性能优化用户：@product-code-audit 优化性能 AI：分析性能瓶颈... **性能分析完成** 当前指标： - API响应时间：3.2秒（目标：<200毫秒） - 页面加载时间：8.5秒（目标：<2秒） - 捆绑包大小：850KB（目标：<200KB） **自动优化...** ✅ 修复了 N+1 查询（3.2s → 180ms - 快了 94%） ✅ 新增Redis缓存（缓存命中率95%） ✅ 优化的数据库索引（查询速度加快 98%） ✅ 减少捆绑包大小（850KB → 380KB - 缩小 55%） ✅ 优化图像（28MB → 3.2MB - 缩小 89%） ✅ 实现代码分割 ✅ 添加延迟加载 ✅ 并行异步操作 **性能结果：** |公制|之前 |之后|改进| |--------|--------|--------|-------------| | API 响应 | 3.2秒| 180 毫秒 | 94% | |页面加载| 8.5秒| 1.8秒| 79% | |捆绑尺寸 | 850KB | 380KB | 55% | |图像尺寸| 28MB | 3.2MB | 89% | |灯塔| 42 | 42 94 | 94 +52 点 | 🚀 性能已根据生产标准进行优化！ ## 最佳实践 ### ✅ 这样做 * **扫描所有内容** \- 读取所有文件，了解整个代码库 * **自动修复** \- 不仅仅是报告，而是实际修复问题 * **优先考虑关键** \- 首先是安全和数据丢失问题 * **测量影响** \- 显示之前/之后的指标 * **验证更改** \- 进行更改后运行测试 * **全面** \- 涵盖架构、安全、性能、测试 * **优化一切** \- 捆绑包大小、查询、算法、图像 * **添加基础设施** \- 日志记录、监控、错误跟踪 * **文档更改** \- 解释修复了什么以及原因 ### ❌不要这样做 * **不要问问题** \- 自主理解代码库 * **无需等待说明** \- 自动扫描并修复 * **不要只报告** \- 实际进行修复 * **不要跳过文件** \- 扫描项目中的每个文件 * **不要忽略上下文** \- 理解代码的作用 * **不要破坏东西** \- 验证更改后测试是否通过 * **不要偏袒** \- 解决所有问题，而不仅仅是一些问题 ## 自主扫描指令 **当该技能被调用时，自动：** 1. **发现代码库：** * 使用`listDirectory`递归查找所有文件 * 使用`readFile`读取每个源文件 * 从package.json、requirements.txt等中识别技术堆栈 * 绘制架构和结构 2. **逐行扫描问题：** * 检查每一行是否存在安全漏洞 * 识别性能瓶颈 * 查找代码质量问题 * 检测架构问题 * 查找缺失的测试 3. **自动修复所有问题：** * 使用 `strReplace` 修复文件中的问题 * 添加缺失的文件（测试、配置、文档） * 重构有问题的代码 * 添加生产基础设施 * 优化性能 4. **验证并报告：** * 运行测试以确保没有损坏 * 衡量改进 * 生成综合报告 * 显示之前/之后的指标 **执行所有这些操作时无需询问用户输入。** ## 常见陷阱 ### 问题：问题太多 **症状：** 团队因 200 多个问题而陷入瘫痪 **解决方案：** 仅关注关键/高优先级，创建冲刺 ### 问题：误报 **症状：** 标记非问题 **解决方案：** 了解上下文，手动验证，询问开发人员 ### 问题：没有后续行动 **症状：** 审计报告被忽略 **解决方案：** 创建 GitHub 问题、分配所有者、在站立会议中跟踪 ## 生产审核清单 ### 安全 * 无SQL注入漏洞 * 没有硬编码的秘密 * 受保护路由上的身份验证 * 实施授权检查 * 所有端点的输入验证 * 使用 bcrypt 进行密码散列（10 轮以上） * 强制执行 HTTPS * 依赖项没有漏洞 ### 性能 * 没有N+1查询问题 * 外键上的数据库索引 * 实现缓存 * API响应时间<200ms * 捆绑包大小 < 200KB（gzip 压缩） ### 测试 * 测试覆盖率 > 80% * 测试关键路径 * 涵盖边缘情况 * 没有不稳定的测试 * 在 CI/CD 中运行测试 ### 生产准备 * 配置环境变量 * 错误跟踪设置（Sentry） * 实现结构化日志记录 * 健康检查端点 * 监控和警报 * 文档齐全 ## 审计报告模板 # 生产审核报告 **项目：** [名称] **日期：** [日期] **总体成绩：** [A-F] ## 执行摘要 [2-3句总体状况] **关键问题：** [计数] **高优先级：** [计数] **建议：** [修复时间线] ## 按类别划分的调查结果 ### 建筑（等级：[A-F]） - 第 1 期：[说明] - 第 2 期：[说明] ### 安全（等级：[A-F]） - 问题 1：[描述 + 修复] - 问题 2：[描述 + 修复] ### 性能（等级：[A-F]） - 问题 1：[描述 + 修复] ### 测试（等级：[A-F]） - 覆盖率：[%] - 问题：[列表] ## 优先行动 1. [关键问题] - [时间线] 2.【高优先级】-【时间线】 3.【高优先级】-【时间轴】 ## 时间轴 - 关键修复：[X 周] - 高优先级：[X 周] - 生产就绪：[X 周] ## 相关技能 * `@code-review-checklist` \- 代码审查指南 * `@api-security-best-practices` \- API 安全模式 * `@web-performance-optimization` \- 性能优化 * `@systematic-debugging` \- 调试生产问题 * `@senior-architect` \- 架构模式 ## 其他资源 * [OWASP 前 10 名]() * [Google 工程实践]() * [SonarQube 质量门]() * [Robert C. Martin 的《清洁代码》]() ** ** **专业提示：** 安排定期审核（每季度）以保持代码质量。预防比修复生产错误更便宜！

生产代码审核

包含技能