扣子平台可开发智能代码评审助手，解决上下文缺失、提示词膨胀、知识难沉淀三大痛点，通过豆包1.8深度模型支持32k长上下文，结合文件读取、cve识别、web搜索与知识库接入，实现全量静态分析与精准修复建议。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
用扣子开发智能代码评审助手，需解决上下文缺失、提示词膨胀、知识无法沉淀三大痛点，避免只审局部代码导致误报漏报，不依赖硬编码规则堆砌，而是让助手能理解项目结构与业务逻辑。
创建智能体并启用深度模型
登录扣子平台（coze.cn），点击左上角⊕→选择“AI创建”→输入需求：“开发一个能分析完整代码文件、识别架构风险、检测安全漏洞并给出修复建议的Python/Java代码评审助手”→点击生成。
系统自动创建智能体后，进入“编排”页，在右上角模型选择处切换为【豆包 1.8 深度思考】——该模型支持超长上下文（32K tokens），是处理整份源码文件的必要前提，普通模型会强制截断导致评审失焦。
确认智能体名称为“代码评审助手”，头像可点击星标图标由AI生成。
配置人设与评审逻辑
在左侧“人设与回复逻辑”面板中，直接点击右侧星标图标，输入：“你是一名资深SRE兼安全工程师，负责对用户上传的.py或.java文件做全量静态分析，必须基于实际代码内容回答，禁止虚构行号或函数名。”
AI自动生成基础提示词后，手动追加三段关键约束：
① “若检测到SQL拼接、硬编码密钥、未校验反序列化入口，必须标注CVE编号（如CVE-2023-1234）并引用OWASP Top 10章节”；
② “当发现类间循环依赖或模块耦合度＞0.7时，调用‘架构健康度评估’工作流（稍后创建）”；
③ “所有建议必须附带可直接粘贴执行的代码片段，禁用```python包裹，首行写# FIX:”。
搭建评审工作流
方法一：基础单文件评审流
进入“技能”→“工作流”→点击“+创建工作流”，命名为“code-review-core”。
① 在“开始”节点中，将输入变量类型设为【File → Python/Java】，变量名定为“src_file”；
② 添加“文件读取”插件节点，输入字段绑定为“src_file”；
③ 添加“大模型”节点，模型选“豆包 1.8 深度思考”，系统提示词填入以下内容（注意保留换行）：
你正在执行代码静态分析任务。输入是完整源码，请严格按顺序输出：1.【高危问题】列表（含行号、漏洞类型、CVE编号、修复代码）；2.【架构异味】描述（依赖环、上帝类、重复逻辑）；3.【改进建议】（不超过3条，每条带优先级P0/P1）；4.【无问题】仅当全部通过时返回此字段。禁止任何解释性文字。
用户提示词设为“{{input}}”，输入来源选“文件读取”节点的“data”字段。
使用豆包（火山引擎 Ark）生成图片或视频并保存本地。用户提及“豆包生图/图片/生视频/视频”、“Doubao”、“Seedance”、“火山引擎图片/视频”时触发。
方法二：增强型多阶段评审流（推荐）
另建工作流“code-review-advanced”，在基础流后追加节点：
→ 添加“正则提取”节点，用规则pattern=r'(CVE-\d{4}-\d+)'抓取所有CVE编号；
→ 连接“Web Search API”插件，对每个CVE编号发起搜索，限定来源为nvd.nist.gov；
→ 将搜索摘要注入下一环节的大模型节点，用于生成带官方缓解方案的报告。
注意：Web Search插件需在工作流顶部开启“允许访问互联网”开关，否则请求静默失败。
接入知识库强化领域认知
在“技能”→“知识库”中，上传三类文档：
• 内部《Java安全编码规范V3.2》PDF；
• 公司微服务模块依赖图谱（Mermaid格式文本）；
• 历史高危漏洞修复案例集（Markdown，每例含问题代码+修复后代码+上线验证结果）。
上传后点击“立即处理”，等待状态变为“已就绪”——【未显示此状态前所有检索均返回空】。
返回“人设与回复逻辑”，在提示词末尾追加：“你已加载企业知识库，所有分析必须优先匹配知识库中的规范条款和历史案例，匹配成功时在对应条目后标注[KB#027]。”
调试与发布
在右侧“预览与调试”面板中，上传一个含SQL注入漏洞的test.py文件（例如包含query = "SELECT * FROM users WHERE id = " + user_id）。
运行后检查响应是否同时包含：CVE-2023-29357编号、OWASP A1链接、修复代码query = "SELECT * FROM users WHERE id = ?"、以及[KB#114]标记。
若缺失任一要素，返回修改对应工作流节点的输入绑定或提示词约束条件。
确认无误后，点击右上角“发布”→选择渠道：飞书机器人（内部协作）、微信公众号（对外技术布道）、或API接口（对接CI/CD流水线）。
