---
id: ka-guidance-审查清单
kind: guidance
title: 审查清单
sync_policy: engine_only
status: active
triggers:
  - 审查
  - review
  - 代码审查
  - 质量
  - 审查清单
  - 检查清单
  - code review
target_artifact:
  - review_report
extra:
  name: review-checklist
  scope:
    - '*'
  products:
    - '*'
  category: constraint
  version: 1.0.0
  last_reviewed: '2026-06-17'
  verification_layer: L2
  stage: verify
  domain: verify
  owner_mechanism: mc-generic-review
---

# 审查清单：代码审查查什么

> 合并旧的十几个审查碎拆（SOLID/性能/并发/错误处理/数据隐私/可维护性等）。
> 确定性门禁只能捕获可可靠执行的结构和代码模式；本清单帮助审查者检查上下文相关语义。
> 注入到代码审查报告（review_report）产出时。
>
> **对抗审查独立于此**：完整验证后使用 `sf_review action="start"` 发起独立采样，通过 `submit` 提交各 session 的 findings，并用 `resolve` 闭环。必需 finding 未裁决为 fixed、false_positive 或经用户确认的 accepted_risk 前，不得推进。

## 审查维度（每类都要过一遍）

### 正确性
- 逻辑是否实现需求（对照 REQ）
- 边界条件：空/null/极值/并发/重复提交
- 错误路径都有处理

### 安全
- 输入校验、SQL 注入、XSS、权限、敏感信息、SSRF、反序列化
- 详见 [[安全加固]]

### 性能
- N+1 查询、SELECT *、全量返回、循环内建对象、大事务、连接池
- 前端：不必要重渲染、未记忆化、未优化资源

### 并发
- 共享可变状态保护、JVM 锁误用、先查后改原子性、事务自调用、ThreadLocal 清理

### 架构
- 分层依赖、循环依赖、单一职责、Controller 不含业务逻辑

### 接口契约
- DTO 不暴露 Entity、写操作事务、权限注解、参数校验、RESTful、统一响应、分页、版本号、文档

### 可维护性（AI 盲区，重点人工复核）
- 命名清晰、单一职责、注释解释 why、无上帝对象
- 可观测：关键路径有日志，便于排查

### 数据隐私
- 敏感数据加密/脱敏、日志不泄露、数据生命周期合规

## 判定边界

- 确定性事实引用真实命令、类型、解析结果或运行响应。
- 语义 finding 引用代码短句和上游约束，并由独立审查闭环。
- 业务、设计或风险接受由用户确认；使用 `sf_review resolve` 留痕，不让 AI 自签。

## 输出

每个发现项：维度 + 严重度 + 文件:行号 + 短引用 + 影响 + 建议 + 证据类型。无法定位或无法证实的意见保留为待核验，不冒充 finding。