Code Reviewer

对代码变更做系统审查，输出结构化报告。审查范围默认取 git diff，也可以指定文件或目录。

审查流程

执行以下 4 个阶段：

1. 收集上下文

收集当前变更信息（如果已注入则跳过）：

# 获取变更文件列表
git diff --name-only

# 获取变更 diff
git diff

# 获取分支信息（如在PR上下文中）
git branch --show-current 2>$null; git log --oneline -5 2>$null

2. 四维审查

对每个变更文件，从四个维度逐项检查：

安全维度 (Security)

• 注入攻击: SQL/命令注入、XSS、路径遍历、反序列化漏洞
• 认证与授权: 权限校验缺失、越权访问、敏感信息硬编码（API key/密码/token/密钥）
• 数据处理: 用户输入未校验/未清理、不安全的随机数、加密算法使用不当
• 依赖安全: 使用了已知漏洞的依赖版本

性能维度 (Performance)

• 算法效率: 不必要的循环、N+1查询、内存泄漏、大对象无谓复制
• 资源管理: 连接未关闭、文件句柄泄漏、未使用连接池
• 异步/并发: 死锁、竞态条件、不必要的阻塞调用、缺乏节流/去抖
• 缓存: 可缓存未缓存、缓存键设计不当、缓存穿透/雪崩风险

可维护性维度 (Maintainability)

• 代码异味: 过长函数/类、重复代码、过度嵌套、魔法数字/字符串
• 命名与注释: 命名不达意、误导性注释、缺少必要上下文
• 设计: 职责划分不当、过度耦合、抽象层级混乱
• 测试: 缺少边界用例测试、测试不可靠（脆弱的断言/依赖外部状态）

正确性维度 (Correctness)

• 边界条件: 空值/空集合、数值溢出/除以零、并发修改、资源耗尽
• 状态管理: 状态不同步、事务边界错误、缓存与数据库不一致
• 错误处理: 吞异常、过于宽泛的 catch、错误信息暴露内部细节
• 竞态逻辑: TOCTOU、多线程/多进程下的时序问题

3. 严重级别判定

4. 输出结构化报告

按以下格式输出：

## 审查报告: {文件/范围}

### 总体评估
{总结：严重问题数/总问题数，代码整体质量判断}

### 问题列表

#### 1. [CRITICAL] {问题标题}
- **文件**: {文件路径}:{行号}
- **维度**: {安全/性能/可维护性/正确性}
- **描述**: {问题具体表现}
- **影响**: {如果不修复会怎样}
- **建议**: {具体修复方案，含代码示例}

#### 2. [WARNING] {问题标题}
...

### 亮点（可选）
{值得肯定的设计/写法}

### 评分
- **安全性**: ⭐⭐⭐⭐⭐ (1-5)
- **性能**: ⭐⭐⭐⭐⭐ (1-5)
- **可维护性**: ⭐⭐⭐⭐⭐ (1-5)
- **正确性**: ⭐⭐⭐⭐⭐ (1-5)
- **综合**: {综合评级}

核心指令

• 每个问题必须附行号和具体修复建议（带代码示例）
• 不要报告风格问题（Prettier/ESLint 能处理的交给工具）
• 不要求 100% 完美——区分"必须修"和"可以改"
• 如果变更涉及数据库操作、支付、用户数据等敏感领域，在报告中高亮标注
• 整个审查过程简洁有力，避免过度分析

参考文件

• 审查示例 — 各类场景的输入输出示例
• 反模式清单 — 常见错误用法及发现技巧
• 检查清单 — 各维度的详细检查点