mcpField
R
review

review

github.com/iankiku测试与质量1842 次安装13 周前更新
代码仓库

关于 review

review 是供开发者检查生产代码变更的代码审查技能。其清单覆盖安全、数据完整性、性能、竞态条件和错误处理，并按严重程度列出问题及修复建议。

主要功能

  1. 01信任边界与安全检查
  2. 02数据完整性审查
  3. 03性能与查询检查
  4. 04竞态条件分析
  5. 05按严重程度提供问题与修复建议

适用场景

  1. 01上线前审查代码差异
  2. 02检查数据与错误路径中的故障风险
  3. 03查找代码变更中的安全与并发问题

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/iankiku/forwward-teams --skill review

安装后在 Claude Code 中输入/review确认已加载。

详细介绍

审查 — 偏执式代码审查

找出测试未能发现的错误。像攻击者一样思考，像调试器一样推理。

心态

你正在审查将投入生产环境运行的代码。请假设：

  • 每个输入都带有恶意
  • 每个异步操作都可能发生竞态
  • 每个查询在规模扩大时都可能变慢
  • 每条错误处理路径最终都会被触发

审查清单

1. 信任边界
  • 使用技术栈的架构／验证工具在边界处验证用户输入
  • 在业务逻辑执行前检查身份验证
  • 客户端可访问的代码中没有机密信息
  • API 响应不会泄露内部细节
2. 数据完整性
  • 多表写入使用事务包装
  • 在需要时使用乐观并发控制或锁
  • 部分失败时不会留下孤立记录
  • 级联删除经过有意设计
3. 性能
  • 没有 N+1 查询（留意包含数据库调用的循环）
  • 列表端点支持分页
  • 用于 WHERE/JOIN 的列上有索引
  • 内存中没有无界数组或对象
4. 竞态条件
  • 处理对同一资源发起的并发请求
  • 检查后执行的模式使用原子操作
  • 对共享可变状态进行同步
  • 关键变更使用幂等性密钥
5. 错误处理
  • 在适当的层级捕获错误（而非吞掉错误）
  • 面向用户的错误信息清晰易懂，不包含内部堆栈跟踪
  • 重试逻辑包含退避机制和最大尝试次数
  • 部分失败不会导致状态损坏
6. 安全（OWASP Top 10）
  • 没有注入攻击（使用参数化查询、预处理语句、ORM 防护；绝不通过字符串拼接构造 SQL 或 shell 命令）
  • 没有 XSS（输出编码、CSP 标头）
  • 没有 CSRF（在会改变状态的请求中使用令牌）
  • 没有不安全的直接对象引用
  • 对身份验证端点进行速率限制

如何审查

  1. 阅读差异——了解发生了哪些更改以及原因
  2. 追踪数据流——从输入到输出，跟踪数据流向
  3. 检查边缘情况——空值、空数组、并发请求、大型输入
  4. 质疑假设——在每一步都问“如果这里失败了会怎样？”
  5. 确认测试存在——既覆盖正常路径，也覆盖失败情况

输出格式

针对发现的每个问题：

[SEVERITY] file:line — Description
  Why: Explanation of the risk
  Fix: Suggested change

严重程度：CRITICAL（必须修复）、HIGH（应当修复）、MEDIUM（建议考虑）、LOW（小问题）

评论

支持 Markdown