所有文章
阅读时长 1 分钟
AI 写代码很快，审代码这件事反而更不能省
代码生成越快，人越容易把审查当成拖慢进度的步骤。真正昂贵的却是没看出的权限、边界和回滚问题。
AI 生成的补丁应该按来源不明的外部贡献处理：它可能能运行，也可能误解需求、扩大权限或顺手改坏无关代码。生成速度越快，审查边界越要清楚。
先审改动范围
让 Agent 说明需求、改了哪些文件、为什么需要每处修改以及如何回滚。先看 diff 范围和依赖变化，再看实现细节；无关格式化、锁文件漂移和大规模重命名应单独处理。
高风险代码人工逐行看
认证、授权、支付、数据删除、迁移、密钥处理和部署配置不能只靠测试通过。审查者要验证失败路径、默认权限、日志泄漏和回滚是否成立。
测试要证明行为
新增测试应先在旧代码上失败，再在补丁上通过。除了正常路径，还要覆盖空输入、边界值、并发、超时和权限不足；不要接受只断言实现细节的测试。
上线前检查
- diff 中没有无法解释的文件
- 高风险路径有明确所有者审批
- 部署前存在可执行的回滚步骤
