🔍 Code Audit Pro — 全方位AI代码审查

slug: code-audit-pro | 安装: clawhub install @g1776933879/code-audit-pro 一键部署: bash install.sh （自动安装 flake8 + bandit）

核心能力

融合 9 大审查维度 × 4 种使用模式，覆盖传统代码审查 + AI代码特有检查。

9 大审查维度

4 种使用模式

模式一：完整审查（full）

全方位 9 维度扫描，输出完整报告

触发: 审查 [文件] / 帮我review [代码]

输出模板：

## 🔍 Code Audit Pro 报告

**审查范围**: [文件名]
**语言**: [语言]
**使用模式**: 完整审查
**总体评级**: ⭐⭐⭐⭐ (4/5)
**发现问题**: N 个 (🔴 A / 🟡 B / 🔵 C)

### 🔴 致命问题
[列表，每个附带位置、说明、修复代码]

### 🟡 严重/警告
[列表]

### 🔵 建议
[列表]

### ✅ 做得好
[亮点]

### 总结
- 急需修复: N
- 代码健康度: ⭐⭐⭐⭐⭐

模式二：PR/变更审查（pr）

分析 diff，逐文件审查变更

触发: 审查这个PR / review我的变更 / 检查提交

自动执行:

1. 用户在工作目录 → 自动 git diff 获取变更
2. 按文件列出变更行数、风险等级
3. 对每个变更文件逐行审查
4. 输出 PR Review 报告 + 合并建议（✅ 可合并 / ⚠️ 修复后合并 / ❌ 拒绝）

模式三：安全审查（security）

深度安全扫描，只关注安全维度

触发: 安全审查 [代码]

重点：

• SQL注入 / XSS / CSRF
• 硬编码密钥 / 敏感信息泄露
• 命令注入 / 路径遍历
• 不安全反序列化
• 权限绕过 / 认证漏洞
• 依赖漏洞（CVE）

模式四：快速审查（quick）

只输出 🔴 致命问题，适合提交前快速自查

触发: 快速检查 [代码]

输出：

🔍 快速审查结果：✅ 通过 / ⚠️ N 个问题

[致命问题列表 + 修复建议]

语言特定规则

自动检测语言，加载对应审查规则：

AI代码特有检查（业内独家）

审查AI生成代码时自动启用：

• 检测不存在的API/库（AI最常见的幻觉）
• 检测虚构的配置项/参数
• 检测不可能达成的条件（if False, 永远为真的条件）
• 检测重复函数定义（AI分块生成时的常见问题）
• 检测缺失的async/await
• 检测过时的npm包/API

工作流程

1. 收集文件（目标文件 + 配置文件 + git diff）
2. 自动判断语言和使用模式
3. 按维度逐项检查，每个发现输出：

   [严重度] [维度] 标题
   → 位置: 文件:行号
   → 说明: 为什么是问题
   → 修复: 修复方案(含代码片段)
   

4. 生成结构化报告
5. 给出总体评级和修复建议优先级

严重度分级

使用示例

用户: "审查一下这个 server.js"
助手: 自动执行 Code Audit Pro，输出完整报告

用户: "安全审查 app.py"
助手: 仅执行安全维度审查

用户: "快速检查我改的代码"
助手: git diff → 输出致命问题清单

用户: "检查这个PR"
助手: 分析diff → 输出PR Review报告

## 🛠️ 内置工具脚本

技能包含 `scripts/` 目录下的代码审查引擎：

```bash
cd scripts/
python3 audit.py app.py            # 审查单个文件
python3 audit.py src/               # 审查整个目录
python3 audit.py --check "代码内容"  # 审查代码片段

自动检测:

• 语言自动识别（Python/JS/Java/Go/Rust/C++）
• 🔴 安全漏洞（eval/exec/硬编码密钥/SQL注入/XSS）
• 🟡 AI幻觉检测（假import/假包名）
• 🟡 性能问题（N+1查询/循环内IO）
• 🟡 死代码/无限递归

内置库列表: 300+ 真实Python包 + 100+ 真实npm包， 任何不在列表中的import会被标记为可疑

注意事项

• 必须读文件，不要跳步骤
• AI生成的代码要特别检查 API 调用是否真实存在
• 每个问题都要给出具体位置和修复方案
• 宁严勿松：不确定时标记为问题
• 安全相关一律标 🔴 致命