CodeBuddy支持IDE内上下文感知代码审查，提供右键启动、自然语言指令定向审计、自定义Skill结构化审查及CLI批量审查四种方式，覆盖安全、规范与测试维度。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果你正在Spring Boot项目中排查潜在的安全漏洞、命名不规范或测试覆盖不足问题，CodeBuddy 提供的智能代码评审能力可直接在 IDE 内完成上下文感知审查，无需切换窗口或手动运行扫描工具。
在IDE中右键启动自动审查
这一步操作起来很简单，直接在项目文件树中定位到待检文件即可。确保你已使用企业账号登录 CodeBuddy，并且当前工程已完整加载（尤其是 pom.xml 或 build.gradle 解析完成）。
1、在 IntelliJ IDEA 或 VS Code 的左侧文件资源管理器中，找到目标 Java 类（如 com.example.auth.config.SecurityConfig.java）；
2、右键该文件 → 选择 【Review with CodeBuddy】；
3、等待右侧面板弹出审查结果，系统将自动标注三类内容：✅ 优点（如“已启用 CSRF 防护”）、⚠️ 问题（如“/login 接口未限制请求方法，存在越权风险”）、? 建议（如“建议为 UserDetailsService 实现添加 @Primary 注解”）。
注意：若面板长时间空白或显示“上下文未就绪”，请检查是否已执行过项目同步（Maven Reload / Gradle Refresh），【未完成依赖解析会导致审查无法获取 Bean 定义和配置类关联关系】。
用自然语言指令定向审计关键逻辑
当你只想聚焦某一块高危逻辑（比如密码处理、JWT生成、数据库查询）时，自然语言指令比全文件扫描更精准高效。
方法一：在编辑器底部命令栏输入指令后回车
例如输入：“检查这个类中所有 PasswordEncoder 的使用方式，确认是否全部采用 BCryptPasswordEncoder，指出硬编码盐值的位置”；
方法二：选中一段代码（如 configure(HttpSecurity http) 方法体）→ 右键 → “Ask CodeBuddy about selection” → 在弹出框中输入：“这段配置是否允许匿名访问 /actuator/health？如果允许，是否符合生产环境安全要求？”；
系统会立即定位到对应行号，给出依据 Spring Security 6.x 最佳实践的判断，并附带修复建议代码片段。
CodeBuddy Code CLI 的安装、配置与使用指南。CodeBuddy Code 是腾讯推出的 AI 驱动 CLI 编程助手，支持自然语言驱动开发。 - 必备触发词：CodeBuddy, codebuddy, AI CLI, Tencent AI coding, @tencent-ai/codebuddy-code, terminal AI assistant - 适用场景：安装 CodeBuddy CLI、配置 CodeBuddy、使用 CodeBuddy 命令、排查 CodeBuddy 问题
通过自定义 Skill 执行结构化审查流程
团队希望每次提交前都统一执行“安全+可维护性+测试覆盖”三维审查？这时需启用预设 Skill。
第一步：确认项目根目录下存在 .codebuddy/skills/security-audit/SKILL.md 文件，且其 YAML 头包含 name: security-audit 和完整 description；
第二步：打开 LoginController.java，全选整个类 → 点击顶部工具栏 “Apply Skill → security-audit”；
第三步：审查完成后，面板输出严格按以下格式组织：
✅ **优点**: 使用 @Validated 校验登录参数，已覆盖空值与长度边界；
⚠️ **High**: 登录失败次数未做 Redis 计数限流，可能被暴力破解；
⚠️ **Medium**: 密码重置 Token 有效期硬编码为 3600L，建议抽取为配置项；
? **建议**: 为 login() 方法补充 @Timed 注解以接入 Micrometer 监控。
这一步必须确保 Skill 文件存在于本地项目中，【远程仓库中的 Skill 不会被自动拉取，必须手动复制到本项目.codebuddy目录下】。
使用 CLI 批量审查本次 Git 变更文件
适合在 CI 流水线或本地提交前快速兜底，尤其适用于多人协作中遗漏审查的新增 Controller 或 Repository 类。
在项目根目录终端中执行：
codebuddy review --changed --format=markdown > code-review-report.md
该命令会自动识别 git status 中的 modified/added 文件，仅对这些文件运行审查，并将结果导出为 Markdown 报告；
若需跳过测试类，追加 --exclude="**/test/**" 参数；
执行后检查 report 文件，重点关注 ⚠️ High 条目——它们通常对应 SQL 拼接、未校验用户输入、敏感信息日志打印等真实风险点。
