# 非功能性需求评估 **nfr-assess** 技能对非功能性需求 (NFR) 进行全面评估，以确保实施满足超出功能正确性的质量属性。 NFR 是决定系统质量、可靠性和长期可行性的跨领域问题。该技能通过可衡量的标准、基于证据的评估和可能的自动检查来评估 6 个关键质量类别。与定义系统功能的功能需求不同，非功能需求定义系统执行的性能。该技能提供对安全性（身份验证、加密、漏洞）、性能（响应时间、吞吐量、资源使用）、可靠性（错误处理、监控、容错）、可维护性（代码质量、文档、可测试性）、可扩展性（水平扩展、数据库设计、异步处理）和可用性（API 设计、错误消息、文档）的客观评估。该评估会产生加权整体 NFR 分数、单个类别分数、确定与严重性评级的差距，并提供可行的建议。结果直接反馈到质量门技能中，以告知合并/发布决策。在可用的情况下集成自动检查（安全扫描、linting、测试覆盖率、性能测试），以提供客观、可重复的指标。 ## 何时使用此技能 **此技能应在以下情况下使用：** * 非功能性质量属性需要在实施审核期间进行验证 * 系统范围内的质量问题（安全性、性能、可靠性）需要评估 * 质量属性中的差距需要通过严重性评级来识别 * 审计/合规需要基于证据的 NFR 报告 * NFR 指标需要纳入质量门决策 * 生产准备情况需要从质量角度进行验证 **这项技能特别有价值：** * 在质量门审查之前（及早发现问题） * 功能测试完成后（评估非功能方面） * 在架构审查期间（验证 NFR 的设计模式） * 准备生产部署时（确保生产就绪） * 用于合规性验证（OWASP、WCAG、性能预算） **此技能不应在以下情况下使用：** * 功能需求尚未实现（首先评估功能） * 任务纯粹是规划/设计（没有实施评估） * 你只需要测试功能行为（使用运行测试代替） ## 先决条件在运行 nfr-asses 之前，请确保您拥有： 1. **任务规范文件**及执行记录 2. **项目配置** (.claude/config.yaml) 以及质量设置 3. **实现文件**可用于代码审查 4. **可用的自动化工具**（可选但推荐）： * 安全性：`npmaudit`、`semgrep` 或同等内容 * 代码质量：linter（eslint、pylint等） * 测试覆盖率：覆盖率工具（jest --coverage、pytest-cov 等） * 性能：负载测试工具（火炮、k6等） **对其他技能的依赖：** * 可选：风险概况（提供安全/性能风险背景） * 可选：跟踪要求（提供实施证据） * 可选：测试设计（提供性能/负载测试规范） ## 顺序 NFR 评估流程该技能通过 9 个连续步骤执行。每个步骤必须成功完成才能继续。该流程旨在通过证据收集、自动检查和差距识别来系统地评估所有 6 个 NFR 类别。 ### 步骤 0：加载配置和上下文 **目的：** 加载项目配置、任务规范以及 NFR 评估所需的所有相关上下文。识别实施文件，准备自动检查，并根据任务类型确定哪些 NFR 类别最相关。 **行动：** 1. 从 `.claude/config.yaml` 加载项目配置（质量设置、NFR 阈值） 2.读取任务规范文件（提取任务ID、标题、类型、NFR要求、实施记录） 3. 负载相关评估（如果有）（风险概况、可追溯性矩阵、测试设计） 4. 从实施记录中识别实施文件（源、配置、基础设施、依赖项） 5. 根据任务类型识别相关的 NFR 类别（例如，API 任务优先考虑安全/性能） 6. 准备自动检查（安全扫描、linting、测试覆盖率、性能测试） 7. 准备输出文件路径 (`.claude/quality/assessments/{task-id}-nfr-{YYYYMMDD}.md`) **停止如果：** * 配置文件丢失或无效 * 未找到任务文件 * 无法创建输出目录 **输出：** 加载配置、加载任务规范、检查相关评估、识别实施文件、优先处理 NFR 类别、准备自动检查、设置输出路径 **参见：** `references/templates.md#step-0-configuration-loading-output` 了解完整格式，以及 [nfr-categories.md]() 了解类别描述 ** ** ### 第 1 步：安全评估 **目的：** 评估安全态势，包括身份验证、授权、输入验证、依赖性漏洞和安全最佳实践。利用自动安全扫描（npm 审核、semgrep）和手动代码审查来通过证据识别安全漏洞。 **行动：** 1. 定义安全标准（10个标准：身份验证、授权、输入验证、输出编码、依赖漏洞、秘密管理、HTTPS/TLS、速率限制、CORS、安全标头） 2. 运行自动安全检查： * 依赖项漏洞扫描（`npmaudit--json`或同等工具） * 代码安全扫描（`semgrep --config=auto` 如果可用） * 秘密检测（检查硬编码凭证） 3. 手动代码安全审查： * 搜索认证/授权码 * 检查输入验证实现（Zod、Joi 等） * 检查SQL注入风险（参数化查询？） * 检查 XSS 风险（输出编码？） * 检查CORS配置和速率限制 4. 收集每个标准的证据（文件路径、行号、代码片段、扫描结果） 5. 对每个标准进行评分（通过/关注/失败/不清楚） 6. 计算总体安全评分（加权平均值：PASS=100，CONCERNS=50，FAIL=0） 7. 通过严重性评级（严重/高/中）识别安全漏洞 **输出：** 总体安全评分、标准细分（通过/关注/失败）、自动检查结果（漏洞、秘密）、关键差距计数 **参见：** `references/templates.md#step-1-security-assessment-output` 了解完整格式，[nfr-categories.md]() 了解标准， [nfr-examples.md]() 证据示例 ** ** ### 第 2 步：绩效评估 **目的：** 评估性能特征，包括响应时间、吞吐量、资源使用、缓存和优化。如果可用，请运行性能测试，分析数据库查询的 N+1 问题，并检查热路径中的算法复杂性。 **行动：** 1.定义性能标准（10个标准：响应时间、吞吐量、资源使用、数据库查询、缓存、资产优化、算法复杂性、连接池、异步操作、负载测试） 2. 运行自动性能检查： * 性能测试（`npm run test:perf` 如果可用） * 负载测试（火炮、k6 等，如果有的话） * 捆绑包大小分析（如果是 UI 应用程序） * 数据库查询分析（EXPLAIN ANALYZE） 3. 手动代码审查性能： * 检查数据库查询是否存在N+1问题 * 检查请求处理程序中的阻塞操作 * 检查热路径中的算法复杂性（O(n log n) 或更好？） * 检查缓存实现（Redis、内存中） * 检查连接池配置 4.收集证据（性能测试结果、查询分析、代码审查结果） 5. 对每个标准进行评分（通过/关注/失败/不清楚） 6. 计算整体表现得分 7. 识别性能差距（例如，缺少缓存、N+1 查询、无负载测试） **输出：** 总体性能得分、响应时间指标 (p50/p95/p99)、吞吐量、负载测试结果、性能差距 **请参阅：** `references/templates.md#step-2-performance-assessment-output` 了解基准表的完整格式 ** ** ### 步骤 3：可靠性评估 **目的：** 评估系统可靠性，包括错误处理、容错、恢复、监控和日志记录。检查全面的错误处理、依赖项失败时的优雅降级以及适当的可观察性（日志记录、监视、运行状况检查）。 **行动：** 1.定义可靠性标准（10个标准：错误处理、输入验证错误、优雅降级、重试逻辑、断路器、日志记录、监控、幂等性、数据完整性、灾难恢复） 2. 手动代码审查以确保可靠性： * 检查异步操作中的try-catch块 * 检查错误响应格式 * 检查数据库事务使用情况 * 检查日志记录实现（winston、pino、结构化日志？） * 检查健康检查端点 * 检查监控集成（Prometheus、Datadog 等） 3. 收集证据（错误处理程序、日志记录示例、监控配置） 4. 对每个标准进行评分（通过/关注/失败/不清楚） 5. 计算总体可靠性得分 6. 识别可靠性差距（例如，无监控、无日志聚合、缺少健康检查） **输出：** 总体可靠性评分、错误处理状态、日志记录状态（结构化/聚合）、监控状态（运行状况检查/指标）、可靠性差距 **参见：** `references/templates.md#step-3-reliability-assessment-output` 了解完整格式 ** ** ### 步骤 4：可维护性评估 **目的：** 评估代码可维护性，包括代码质量、文档、可测试性、模块化和技术债务。利用自动化工具（linting、测试覆盖率、复杂性分析）和手动审查文档、命名和代码组织。 **行动：** 1.定义可维护性标准（10个标准：代码质量、测试覆盖率、文档、模块化、命名、复杂性、重复、类型安全、依赖性、技术债务） 2. 运行自动可维护性检查： * Linting（`npm run lint` 或等效项） * 测试覆盖率（`npm run test:coverage`） * 复杂度分析（圈复杂度≤10？） * 重复检测（jscpd等） * 类型检查（TypeScript 严格模式） 3. 手动代码审查以确保可维护性： * 检查代码结构和组织 * 检查命名约定（清晰、描述性？） * 检查函数/类大小（≤50 行？） * 检查文档完整性（自述文件、API 文档、JSDoc） * 检查技术债务（TODO/FIXME 注释） 4. 收集证据（覆盖率报告、复杂性指标、lint 结果、文档） 5. 对每个标准进行评分（通过/关注/失败/不清楚） 6. 计算总体可维护性得分 7. 识别可维护性差距（例如，缺少文档、高复杂性、低覆盖率） **输出：** 总体可维护性得分、测试覆盖率、平均/最大复杂性、linting 结果、文档状态、可维护性差距 **请参阅：** `references/templates.md#step-4-maintainability-assessment-output` 了解包含指标细分的完整格式 ** ** ### 步骤 5：可扩展性评估 **目的：** 评估系统可扩展性，包括水平/垂直扩展能力、负载处理、数据库设计和缓存策略。检查无状态设计、正确的数据库索引、昂贵操作的异步处理以及负载平衡的准备情况。 **行动：** 1.定义可扩展性标准（10个标准：无状态设计、水平扩展、数据库设计、连接池、缓存、异步处理、速率限制、负载平衡准备、资源限制、自动扩展） 2. 检查架构的可扩展性： * 检查应用程序是否无状态（没有内存中会话状态） * 检查数据库模式和索引（外键索引？） * 检查文件上传（应该使用像S3这样的对象存储） * 检查后台作业处理（应使用 Bull/BullMQ 等队列） * 检查正确的关闭处理程序（正常关闭） 3.收集证据（架构审查、模式分析、代码审查） 4. 对每个标准进行评分（通过/关注/失败/不清楚） 5. 计算总体可扩展性得分 6. 确定可扩展性差距（例如，有状态设计、缺失索引、无异步处理） **输出：** 总体可扩展性得分、无状态设计状态、数据库索引（计数/缺失）、异步处理状态、水平扩展准备情况、可扩展性差距 **请参阅：** `references/templates.md#step-5-scalability-assessment-output` 了解数据库分析的完整格式 ** ** ### 第 6 步：可用性评估 **目的：** 评估系统可用性，包括 API 设计、错误消息、文档和可访问性（如果是 UI）。对于 API，请检查 RESTful 约定、错误消息清晰度和 API 文档。对于 UI，请检查 WCAG 合规性、响应式设计和用户体验。 **行动：** 1. 定义可用性标准： * **对于 API**（10 个标准）：API 设计、错误消息、文档、版本控制、分页、过滤、HTTP 状态代码、响应格式、HATEOAS、开发人员体验 * **对于 UI**（10 个标准）：可访问性 (WCAG 2.1 AA)、响应式设计、加载状态、错误处理、键盘导航、颜色对比度、屏幕阅读器支持、表单验证、直观导航、性能 2. 审核API/UI设计： * 检查 REST 约定（正确的 HTTP 动词、资源命名） * 检查错误响应格式（清晰、可操作的消息？） * 检查 API 文档（OpenAPI/Swagger 规范？） * 检查分页/过滤实现 * 对于 UI：使用自动化工具（斧头、灯塔）检查可访问性 3. 收集证据（路线定义、错误响应、文档、可访问性扫描结果） 4. 对每个标准进行评分（通过/关注/失败/不清楚） 5. 计算总体可用性得分 6. 确定可用性差距（例如，缺少 API 文档、一般错误消息、可访问性问题） **输出：** 总体可用性得分、API/UI 设计状态、错误消息质量、文档状态、可访问性状态（如果是 UI）、可用性差距 **请参阅：** API 和 UI 格式的“references/templates.md#step-6-usability-assessment-output” ** ** ### 第 7 步：生成 NFR 评估报告 **目的：** 使用包含所有类别评估、总体分数计算、差距摘要和建议的模板创建全面的 NFR 评估报告。 **行动：** 1.加载NFR评估模板 2. 使用加权公式计算总体 NFR 分数（安全性 25%、性能 20%、可靠性 20%、可维护性 15%、可扩展性 10%、可用性 10%） 3. 确定总体状态（≥90%：优秀，75-89%：良好，60-74%：关注，<60%：失败） 4. 与优先事项的总体差距（P0/P1/P2） 5. 生成优先推荐 6. 预测质量门影响 7. 填充模板并编写报告 **输出：** 报告路径、总体 NFR 分数/状态、类别分数、总差距细分 (P0/P1/P2)、报告大小 **参见：** `references/templates.md#step-7-overall-nfr-scoring-formula` 了解完整的公式和示例，[nfr-scoring.md]() 了解方法， [nfr-gaps.md]() 用于差距分类 ** ** ### 步骤 8：向用户呈现摘要 **目的：** 提供包含关键指标、关键差距、质量门影响和建议的后续步骤的简明摘要。 **行动：** 1. 显示格式化摘要：任务元数据、总体 NFR 分数/状态、类别分数 (6)、关键差距 (P0)、高差距 (P1)、质量门影响 + 推理、带有时间估计的可操作建议、报告路径 2. 建议后续步骤：审核报告，优先考虑 P0 差距，为 P1 差距创建票证，修复后重新运行，当 ≥ 75% 时继续进行质量门控 3. 发出遥测数据 **输出：** 完整的格式化摘要，包括分数、差距、质量门预测、建议、后续步骤 **请参阅：** `references/templates.md#step-8-complete-user-summary-format` 以获取完整格式的输出，[nfr-examples.md]() 例如 ** ** ## 与其他技能的整合 **与风险概况集成：** 风险概况中的安全/性能/可靠性风险告知 NFR 评估优先级并放大差距严重性（例如，高差距 + 高风险 = 关键 P0） **与跟踪要求集成：** 实施证据验证 NFR 实施； NFR 差距作为可追溯性矩阵中的覆盖范围差距进行反馈 **与测试设计集成：** 性能/负载/安全测试规范告知相应的 NFR 类别评估 **与质量门集成：** 总体 NFR 分数 + 类别分数 + 关键差距纳入质量门决策（≥90%：通过-优秀，75-89%：通过-良好，60-74%：担忧，<60%：失败；安全性/可靠性 <50%：生产阻碍） **请参阅：** `references/templates.md#integration-examples` 了解详细的集成工作流程和决策逻辑 ** ** ## 最佳实践在质量门前运行 NFR 评估 |集成自动检查（安全性、linting、覆盖率）|彻底记录证据（文件路径、行号、片段）|优先考虑安全性和可靠性（生产阻碍因素）|在配置|中设置可测量的阈值修复后重新运行以验证 |自定义每个项目的类别权重 |与利益相关者一起审查（跨职能决策） ** ** ## 参考文献 * **[templates.md]()** \- 所有输出格式、完整示例、评分公式、集成工作流程、JSON 结构 * **[nfr-categories.md]()** \- 所有 6 个 NFR 类别的详细评估标准以及示例和阈值 * **[nfr-scoring.md]()** \- 评分方法、加权公式、状态阈值、自动检查集成 * **[nfr-gaps.md]()** \- 差距识别、严重性级别 (CRITICAL/HIGH/MEDIUM)、优先级 (P0/P1/P2)、补救指南 * **[nfr-examples.md]()** \- 完整的示例评估、证据格式、基准、摘要输出 ** ** _NFR评估技巧-2.0版-最小V2架构_

神经功能评估

包含技能