comprehensive-review-full-review

在以下情况下使用此技能

• 执行全面审查任务或工作流时
• 需要全面审查的指导、最佳实践或检查清单时

在以下情况下不要使用此技能

• 任务与全面审查无关时
• 需要使用此范围之外的其他领域或工具时

说明

• 明确目标、约束和所需输入。
• 应用相关最佳实践并验证结果。
• 提供可执行的步骤和验证方法。

使用专门的审查 Agent 协调全面、多维度的代码审查

[扩展思考：此工作流通过按顺序执行多个阶段并协调多个专门的 Agent，进行详尽的代码审查。每个阶段都基于前一阶段的发现，全面检查代码质量、安全性、性能、测试、文档和最佳实践。该工作流集成了现代 AI 辅助审查工具、静态分析、安全扫描和自动化质量指标。审查结果将汇总为可执行的反馈，并明确优先级和修复指导。分阶段的方法确保审查覆盖全面，并在适当情况下通过并行执行 Agent 来提高效率。]

范围与真实证据

这些是工作流标签和建议的 Agent 角色，并非已安装的命令或工具保证。仅在用户／适用指令授权且宿主提供这些 Agent 时才进行委派；否则，应直接进行范围受限的审查。固定准确的 diff／base／head，并分配互不重叠的只读范围。未经相应授权，不要安装扫描器、上传私有代码或运行负载／安全探测。报告已检查的文件、实际执行的检查、跳过的范围，以及每项发现的证据；静态检查无法证明已发现所有漏洞，也无法得出实测性能／覆盖率。应根据实际影响和上下文确定优先级，而非仅依据 CVSS 或风格指标；使用此检查清单并不意味着获得合规认证。

审查配置选项

• --security-focus：优先检查安全漏洞和 OWASP 合规性
• --performance-critical：着重检查性能瓶颈和可扩展性问题
• --tdd-review：纳入 TDD 合规性和测试优先验证
• --ai-assisted：启用 AI 驱动的审查工具（Copilot、Codium、Bito）
• --strict-mode：发现任何严重问题时审查失败
• --metrics-report：生成详细的质量指标仪表板
• --framework [name]：应用特定框架的最佳实践（React、Spring、Django 等）

阶段 1：代码质量与架构审查

使用 Task 工具并行协调质量与架构 Agent：

1A. 代码质量分析

• 使用 Task 工具，设置 subagent_type="code-reviewer"
• 提示词："为以下内容执行全面的代码质量审查：$ARGUMENTS。分析代码复杂度、可维护性指数、技术债务、代码重复、命名规范，以及对 Clean Code 原则的遵循情况。集成 SonarQube、CodeQL 和 Semgrep 进行静态分析。检查代码异味、反模式，以及对 SOLID 原则的违反情况。生成圈复杂度指标并识别重构机会。"
• 预期输出：质量指标、代码异味清单、重构建议
• 上下文：初始代码库分析，不依赖其他阶段

1B. 架构与设计审查

• 使用 Task 工具，并设置 subagent_type="architect-review"
• 提示词："审查以下内容中的架构设计模式和结构完整性：$ARGUMENTS。评估微服务边界、API 设计、数据库架构、依赖管理，以及对领域驱动设计原则的遵循情况。检查循环依赖、不恰当的耦合、缺失的抽象和架构漂移。验证是否符合企业架构标准和云原生模式。"
• 预期输出：架构评估、设计模式分析、结构改进建议
• 上下文：与代码质量分析并行运行

第 2 阶段：安全与性能审查

使用 Task 工具调用安全和性能 Agent，并纳入第 1 阶段的发现：

2A. 安全漏洞评估

• 使用 Task 工具，并设置 subagent_type="security-auditor"
• 提示词："对以下内容执行全面的安全审计：$ARGUMENTS。执行 OWASP Top 10 分析，使用 Snyk/Trivy 扫描依赖漏洞，使用 GitLeaks 检测机密信息，审查输入验证，评估身份验证/授权机制，并审查加密实现。纳入第 1 阶段架构审查的发现：{phase1_architecture_context}。检查 SQL 注入、XSS、CSRF、不安全的反序列化和配置安全问题。"
• 预期输出：漏洞报告、CVE 列表、安全风险矩阵、修复步骤
• 上下文：纳入第 1B 阶段中识别出的架构漏洞

2B. 性能与可扩展性分析

• 使用 Task 工具，并设置 subagent_type="application-performance::performance-engineer"
• 提示词："对以下内容进行性能分析和可扩展性评估：$ARGUMENTS。分析代码中的 CPU/内存热点，分析数据库查询性能，审查缓存策略，识别 N+1 问题，评估连接池，并评估异步处理模式。结合第 1 阶段的架构发现：{phase1_architecture_context}。检查内存泄漏、资源争用以及负载下的瓶颈。"
• 预期输出：性能指标、瓶颈分析、优化建议
• 上下文：利用架构洞察识别系统性性能问题

第 3 阶段：测试与文档审查

使用 Task 工具评估测试和文档质量：

3A. 测试覆盖率与质量分析

• 使用 Task 工具，并设置 subagent_type="unit-testing::test-automator"
• 提示词："评估以下内容的测试策略和实现：$ARGUMENTS。分析单元测试覆盖率、集成测试完整性、端到端测试场景、测试金字塔遵循情况和测试可维护性。审查测试质量指标，包括断言密度、测试隔离、模拟对象的使用和测试不稳定性。结合第 2 阶段的安全和性能测试要求：{phase2_security_context}、{phase2_performance_context}。如果设置了 --tdd-review 标志，则验证 TDD 实践。"
• 预期输出：覆盖率报告、测试质量指标、测试缺口分析
• 上下文：纳入第 2 阶段提出的安全和性能测试要求

3B. 文档与 API 规范审查

• 使用 Task 工具，并设置 subagent_type="code-documentation::docs-architect"
• 提示词："审查以下内容的文档完整性和质量：$ARGUMENTS。评估内联代码文档、API 文档（OpenAPI/Swagger）、架构决策记录（ADR）、README 完整性、部署指南和运行手册。根据前序阶段的所有发现，验证文档是否反映实际实现：{phase1_context}、{phase2_context}。检查过时的文档、缺失的示例和含糊不清的说明。"
• 预期输出：文档覆盖率报告、不一致项列表、改进建议
• 上下文：交叉参考前序阶段的所有发现，确保文档准确

第 4 阶段：最佳实践与标准合规性

使用 Task 工具验证特定于框架的最佳实践和行业最佳实践：

4A. 框架与语言最佳实践

• 使用 Task 工具，并将 subagent_type 设为 "framework-migration::legacy-modernizer"
• 提示词："检查以下内容是否遵循框架和语言最佳实践：$ARGUMENTS。根据 --framework 标志检查现代 JavaScript/TypeScript 模式、React Hooks 最佳实践、Python PEP 合规性、Java 企业级模式、Go 惯用写法或特定框架的约定。审查包管理、构建配置、环境处理和部署实践。纳入之前各阶段的所有质量问题：{all_previous_contexts}。"
• 预期输出：最佳实践合规报告、现代化建议
• 上下文：综合之前的所有发现，为特定框架提供指导

4B. CI/CD 与 DevOps 实践审查

• 使用 Task 工具，并将 subagent_type 设为 "cicd-automation::deployment-engineer"
• 提示词："审查以下内容的 CI/CD 流水线和 DevOps 实践：$ARGUMENTS。评估构建自动化、测试自动化集成、部署策略（蓝绿、金丝雀）、基础设施即代码、监控/可观测性设置和事件响应流程。评估流水线安全、制品管理和回滚能力。考虑之前各阶段发现的所有会影响部署的问题：{all_critical_issues}。"
• 预期输出：流水线评估、DevOps 成熟度评估、自动化建议
• 上下文：重点关注如何将所有已发现问题的修复落实到运维中

汇总报告生成

将各阶段的输出汇总为全面的审查报告：

严重问题（P0 - 必须立即修复）

• CVSS > 7.0 的安全漏洞
• 数据丢失或损坏风险
• 认证/授权绕过
• 生产稳定性威胁
• 合规违规（GDPR、PCI DSS、SOC2）

高优先级（P1 - 下次发布前修复）

• 影响用户体验的性能瓶颈
• 缺少关键测试覆盖
• 导致技术债务的架构反模式
• 存在已知漏洞的过时依赖项
• 影响可维护性的代码质量问题

中优先级（P2 - 纳入下个冲刺计划）

• 非关键的性能优化
• 文档缺失和不一致
• 代码重构机会
• 测试质量改进
• DevOps 自动化改进

低优先级（P3 - 纳入待办事项）

• 不符合风格指南
• 轻微的代码异味
• 可有可无的文档更新
• 外观改进

成功标准

满足以下条件时，即视为审查成功：

• 已识别并记录所有严重安全漏洞
• 已分析性能瓶颈，并制定修复方案
• 已梳理测试覆盖缺口，并给出优先级建议
• 已评估架构风险，并制定缓解策略
• 文档准确反映当前的实现状态
• 已验证是否符合框架最佳实践
• CI/CD 流水线支持安全部署已审查的代码
• 已针对所有发现的问题提供清晰、可执行的反馈
• 指标仪表板显示改进趋势
• 团队已制定清晰且按优先级排序的修复行动计划

目标：$ARGUMENTS

示例

用户请求：

端到端审查当前变更，检查其正确性、安全性、可维护性、性能以及缺失的测试。

限制

• 仅在任务明显符合上述范围时使用此技能。
• 不要将输出视为针对特定环境进行验证、测试或专家审查的替代品。
• 如果缺少必要输入、权限、安全边界或成功标准，请暂停并请求澄清。