Less 本身无钩子函数，审计需在编译后通过 PostCSS 插件实现，配置 postcss-less 解析器并启用 source-map，结合 postcss-reporter 定位原始 Less 行号。
Less 本身没有钩子函数，别被名字误导
Less 编译器（如 lessc）不提供类似 Webpack 的 beforeCompile 或 PostCSS 的 Once 钩子。所谓“Less 钩子”是常见误解——它既不能拦截 AST、也无法在生成 CSS 前注入逻辑。真要审计，得在 Less 编译流程之外找位置。
审计必须放在编译后、发布前，用 PostCSS 插件最靠谱
实际可行路径是：Less → CSS（编译）→ PostCSS（审计）→ 发布。PostCSS 提供完整的 CSS AST 访问能力，且生态成熟。比如用 postcss-reporter + 自定义插件检查 !important、硬编码颜色值、无单位数字等高危模式。
- 安装：
npm install postcss postcss-less postcss-reporter - 关键点：PostCSS 必须配置
parser: require('postcss-less')才能正确解析 Less 输出的 CSS（含嵌套、变量引用等） - 不要试图用正则匹配原始 Less 文件——变量展开、Mixin 展开都在编译后才发生，审计对象只能是最终 CSS
审计规则要避开 Less 特性导致的误报
Less 编译后的 CSS 可能含大量重复、冗余或工具生成的内容（如 .btn:hover, .btn:focus 合并后的选择器），直接按标准 CSS 规则审计容易炸出一堆假阳性。
- 跳过由
@media查询展开产生的重复声明（Less 的&嵌套常导致多层嵌套展开） - 忽略
data-*属性相关样式（Less 中常用于条件 mixin，但编译后可能留下无意义的空规则） - 对颜色值审计时，排除
transparent、currentColor和 HSL/HWB 等动态色值——它们不是硬编码，但正则容易一锅端
CI/CD 中集成的关键细节
审计失败必须阻断发布，但错误定位要准，否则前端会反复改 Less 却不知哪行触发了规则。
立即学习“前端免费学习笔记（深入）”；
- PostCSS 插件需调用
result.warn()而非throw，否则无法输出源码位置；配合postcss-reporter才能显示原始 Less 文件名 + 行号 - Less 编译命令必须加
--source-map，PostCSS 才能映射回 Less 源码（否则只报 CSS 行号，毫无调试价值） - 审计脚本里别用
lessc input.less > output.css这种管道写法——PostCSS 拿不到 source map；改用lessc --source-map output.css.map input.less output.css
真正卡点不在 Less，而在你能否让审计结果精准指向那行 @include button-variant(...)，而不是编译后第 842 行的 background-color: #007bff;。
