QA 架构审计员

该技能对代码库执行深度法证级分析，并生成详尽的 QA 测试策略报告，全面符合 IT 通用控制（ITGC）要求。它为每种测试方法论提供独立基线、漏洞评估、从零编写的测试用例以及工具选型建议。

该技能的功能

• 分析仓库结构、编程语言、框架及依赖关系
• 绘制系统架构图并识别关键风险区域
• 生成完整的测试策略报告（支持 HTML 和 Markdown 格式）
• 为每种测试方法论提供具体、定制化的测试用例
• 基于技术栈推荐行业标准工具
• 采用零信任原则：完全忽略所有现有测试

适用场景

当您需要以下能力时，请使用该技能：

• 从零构建完整 QA 策略（不复用任何现有测试）
• 面向安全与质量合规的法证级代码库分析
• 面向系统迁移的 ITGC 就绪型测试文档
• 覆盖全部标准与专项测试方法论的详细测试矩阵
• 针对未经验证或遗留代码库的独立验证计划

快速开始

提供本地仓库路径或 Git URL：

qa-architecture-auditor --repo /path/to/repo --output report.html

该技能将执行以下操作：

1. 克隆或访问仓库
2. 分析代码结构、依赖关系与业务逻辑
3. 识别高风险模块与安全漏洞
4. 生成完整的测试策略报告
5. 提供工具选型建议与具体测试用例

命令行接口

usage: qa-audit [-h] --repo REPO [--output OUTPUT] [--format {html,md}] [--include-risk-prioritization] [--include-test-cases] [--include-tooling] [--exclude EXCLUDE] [--max-depth MAX_DEPTH] [--security-scan] [--compliance {itgc,soc2,iso27001,hipaa,gdpr}]

Perform forensic QA architecture analysis and generate testing strategy report.

options:
  -h, --help            show this help message and exit
  --repo REPO, -r REPO  Repository path or git URL
  --output OUTPUT, -o OUTPUT
                        Output file path (default: qa-report.html)
  --format {html,md}, -f {html,md}
                        Output format (default: html)
  --include-risk-prioritization
                        Include risk prioritization matrix
  --include-test-cases  Include detailed test cases for each methodology
  --include-tooling     Include tooling recommendations
  --exclude EXCLUDE, -e EXCLUDE
                        Comma-separated directories to exclude from analysis
  --max-depth MAX_DEPTH
                        Maximum directory traversal depth
  --security-scan       Perform security vulnerability scanning
  --compliance {itgc,soc2,iso27001,hipaa,gdpr}
                        Compliance framework to target

报告章节

生成的报告包含以下内容：

1. 执行摘要 —— 高层发现与建议
2. 代码库分析 —— 编程语言、框架、依赖项、架构模式
3. 风险评估 —— 高风险模块与安全问题
4. 测试矩阵 —— 各类测试方法论的完整策略：
   • 核心执行：黑盒测试、白盒测试、手工测试、自动化测试
   • 功能与结构测试：单元测试、集成测试、系统测试、功能测试、冒烟测试、可用性测试、端到端测试、回归测试、API 测试、数据库完整性测试
   • 非功能性测试：性能测试、安全测试、可用性测试、兼容性测试、可访问性测试、本地化测试
   • 专项测试：验收测试（UAT）、探索性测试
5. 从零编写的测试用例 —— 关键路径的具体示例
6. 工具选型建议 —— 针对已识别技术栈的最佳工具推荐
7. ITGC 合规性 —— 控制项清单与就绪度评估

外部端点

该技能仅在以下情形下建立出站网络连接：

不连接任何其他外部服务。

安全与隐私

• 本地处理：所有代码分析均在本地运行；代码不会发送至任何第三方 API。
• Git 操作：分析远程仓库时，该技能执行 git clone 或 git fetch。此过程可能通过网络传输仓库数据，并在私有仓库场景下需提供认证信息。
• 输出：生成的报告写入指定的本地文件系统路径。
• 环境：该技能无需设置任何环境变量，且不会修改系统配置。

模型调用说明

该技能作为自主运行的 CLI 工具执行。一旦通过 /qa-audit 或直接 Shell 调用，即独立完成全部分析，无需进一步模型交互。繁重的分析工作由 Python 脚本承担；执行过程中不依赖任何外部 AI 推理服务。

信任声明

使用该技能即表示您信任其代码分析结果与建议在其能力范围内具备准确性。该技能除您明确授权的 Git 操作外，不会将您的代码泄露至任何外部服务。请仅在您拥有分析权限的代码库上安装并运行本技能。

实现说明

• 该技能采用静态分析技术理解代码逻辑，无需实际执行代码
• 支持主流编程语言：JavaScript/TypeScript、Python、Java、Go、Rust、C#、Ruby、PHP
• 可识别常见框架：React、Vue、Angular、Django、Flask、Spring、Express 等
• 基于代码复杂度、外部依赖及数据处理行为生成风险评分
• 同时输出人类可读的 HTML 报告与机器可解析的 Markdown 报告

参考文档

如需详细了解方法论，请参阅：

• references/methodologies.md —— 测试方法定义与决策准则
• references/risk-assessment.md —— 风险评分算法与漏洞模式识别规则
• references/tooling-matrix.md —— 按语言与框架划分的工具推荐矩阵
• references/compliance-frameworks.md —— ITGC 与审计相关要求说明

许可证

MIT

贡献方式

欢迎提交改进建议与代码贡献。请在 GitHub 仓库中创建 Issue 或 Pull Request。