code-review｜代码变更安全与性能审查指令技能

这是一份由宿主AI编程助手加载的指令技能，不是独立软件，也不自带界面或服务。它的作用是把一次代码评审拆成结构化流程：先确认被审对象，再按安全、性能、正确性、可维护性四个维度逐项检查，最后输出带文件位置、严重程度和修改建议的评审报告。仓库中提供了触发方式和输出模板，具体能自动拉取哪些信息取决于宿主是否连接了源码托管、项目追踪或知识库等外部工具，未连接时仍可手动粘贴差异或文件路径使用。

适用人群包括需要在上线或合并前自查的开发者、做代码走查的技术负责人，以及希望统一评审口径的团队。典型任务流程是：用户提供PR链接、diff内容或文件路径，并补充背景，例如“这是热点路径”“这段处理个人身份信息”；技能据此检查SQL注入、XSS、CSRF、鉴权缺失、硬编码密钥、路径穿越、SSRF等安全问题，N+1查询、无界循环、资源泄漏、热点路径复杂度等性能问题，空输入、空值、溢出、竞态、错误传播、边界偏移等正确性问题，以及命名、职责划分、重复代码、测试覆盖等可维护性问题。

输入为PR URL、代码差异或文件路径，可附加关注重点；输出为Markdown格式报告，包括变更摘要、按严重程度分级的关键问题表、分类建议表、做得好的地方，以及通过、要求修改或需要讨论的结论。报告中的结论属于辅助建议，最终是否合并仍需人工判断，涉及安全与合规的判定也需专业人员复核。

获取与安装：从GitHub仓库复制该技能目录到宿主支持的技能目录，或按宿主说明注册为可用技能；具体安装路径、命令和兼容版本资料未给出，需按宿主文档核查。费用方面，技能本身随仓库提供，遵循Apache License 2.0；调用模型产生的费用取决于所用宿主与账号，未实测。若连接源码托管、项目追踪或知识库，需要相应授权，本技能不会自动修改代码、提交或合并，也不会自动发送邮件或对外发布内容。国内网络下访问GitHub及外部连接器的可用性待核验。示例任务：将一段包含用户查询拼接的接口代码交给技能，要求重点检查注入风险，输出会指出拼接位置、风险等级并给出参数化查询建议。已知限制是评审质量依赖输入代码片段完整度和提供背景，静态检查类规则可能漏报或误报，不能替代测试、扫描工具和人工评审。

官方来源：https://github.com/anthropics/knowledge-work-plugins/blob/02717ef04446b6ef5aa4b8af15bb536d79f42ed0/engineering/skills/code-review/SKILL.md

作者/维护方：anthropics/knowledge-work-plugins。采集日期：2026-11-13；依据官方资料经AI整理，未安装、运行或实测。

许可说明：Apache License 2.0。具体子目录、依赖、模型和在线服务各自适用其条款。本站提供原创说明和来源入口，不随本文分发源码或凭据。