系统化代码审查工作流

代理写得快，但"快"不等于"对"。系统化的代码审查工作流，是高级用户区别于新手的核心能力。本节讲如何把审查代理产出变成一套稳定、可复用的动作，而不是每次凭感觉。

一、审查看什么：四层递进

1. 范围对不对：有没有改到任务范围之外的文件？有没有顺手"优化"了你没要求的地方？
2. 行为对不对：测试是否覆盖了新改动？关键路径是否符合预期？有没有改变对外行为？
3. 质量够不够：命名是否清晰、错误处理是否到位、有没有重复逻辑、是否符合项目约定。
4. 安全有没有：有没有引入注入、硬编码密钥、越权访问等问题（下一节细讲）。

二、让代理参与自审

你不必一个人盯全部 diff。可以在它改完后追加一条指令："请你先自己审查这次改动：列出可能的问题、遗漏的边界、需要补充的测试。"让它先做一轮自我批评，你再在它的自审基础上复核。这能显著提升审查效率，但记住——自审不能替代你的把关，代理对自己产出的盲点依然存在。

三、把审查结论沉淀为规则

每次审查发现代理反复犯的同类错误，就把它写进项目指令或质量清单：例如"新增接口必须校验入参""数据库查询必须带分页"。下一次它就会带着这些约束去写，从源头减少你审查的负担。审查的终点不是"这次改对了"，而是"下次它更不容易错"。