现代代码治理脚本的核心是可验证、可回滚的自动化升级，需基于AST操作、明确边界、结构化扫描、dry-run预览、闭环验证及人工卡点机制。
直接上手，关键不是“一键”，而是让升级可验证、可回滚、不破坏行为。现代代码治理脚本的核心作用，是把人工判断固化为可重复的自动化步骤，而不是盲目替换。
明确升级边界，先锁定可安全改造的表达式类型
不是所有旧语法都适合自动升级。优先处理语义清晰、行为确定、有标准替代方案的模式，例如：
-
var→const/let（需静态分析作用域与重赋值） -
function() { return ... }→() => ...（仅当无this、arguments、new.target依赖） -
Object.assign({}, a, b)→{...a, ...b}（需确认a/b非 null/undefined 或已做防御） -
for (var i = 0; i < arr.length; i++)→for (const item of arr)（需确认未依赖索引或原地修改）
用结构化扫描代替全文正则替换
正则易误伤，应基于 AST（抽象语法树）操作：
- 使用
jscodeshift或@codemod/core作为底层引擎，确保只改代码结构，不碰注释、字符串、模板字面量 - 每个 codemod 脚本必须附带
--dry-run模式，输出变更预览（含文件路径、行号、前后对比） - 示例命令：
npx jscodeshift -t ./transforms/var-to-const.js src/ --dry-run --verbose
运行前先看差异，确认无误再执行真实迁移。
绑定轻量级验证环节，防止“升级即故障”
每次转换后必须触发最小闭环验证：
- 自动插入临时断言，比对旧逻辑与新逻辑在相同输入下的输出（适用于纯函数）
- 运行原有测试用例，失败项立即标记并暂停后续批量处理
- 对无测试覆盖的关键路径，脚本可自动生成最小回归用例（如提取函数入参/返回值样本，存为
.snap文件）
保留人工卡点机制，不绕过责任交接
自动化不能替代判断。脚本应在以下位置强制暂停并提示：
- 检测到
eval()、with、动态import()等高风险构造 - 同一文件中存在混合模块系统（如
require+import） - 函数体内含
this绑定逻辑且调用上下文不明确
此时生成REVIEW_NEEDED.md清单，列明文件、行号、风险描述，交由开发确认后再继续。
不复杂但容易忽略。
