技能 code-review-assistant
📦
code-review-assistant
v1.0.0 內容修訂 r1 高風險 ⚙️ 外部命令📁 檔案系統存取
使用多代理檢查審查 Pull Request
手動 PR 審查可能會漏掉安全性、測試與品質問題。此技能會協調專門檢查，並為 Claude、Codex 與 Claude Code 工作流程準備合併回饋。
支援: Claude Codex Code(CC)
安裝前請停止並請求確認。
請審查安裝計畫，並在變更檔案前取得使用者明確同意。
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "code-review-assistant" from https://skillstore.io/skills/dnyoussef-code-review-assistant.md and its manifest at https://skillstore.io/api/skills/dnyoussef-code-review-assistant/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「code-review-assistant」。 審查 PR 123，並啟用所有檢查。
預期結果:
總分 84。可合併但有警告。安全性通過，測試需要一項涵蓋率改善，文件需要發布說明。
正在使用「code-review-assistant」。 僅以安全性為重點審查 PR 123。
預期結果:
安全性審查發現一項阻擋合併的機密處理問題，以及兩項中等嚴重性的驗證疑慮。在阻擋問題修正前要求變更。
正在使用「code-review-assistant」。 為審查發現產生修正建議。
預期結果:
建議修正包括新增輸入驗證、改善邊界測試，以及在核准前更新 API 使用說明。
安全審計
高風險v8 • 2026/7/5 開啟版本化報告
Most static backtick and /dev/null alerts are Markdown or benign shell redirection false positives. The skill still contains a real Bash automation workflow that runs unpinned npx tools, invokes GitHub CLI actions, and writes generated PR artifacts.
1
已掃描檔案
335
分析行數
2
複核項目
0
已忽略的誤報
已確認的安全問題 (3)
高
Unpinned Remote Tool Execution
The workflow repeatedly invokes npx claude-flow without a pinned version or local integrity controls. A changed package could run third-party code during review.
The lines directly call npx claude-flow subcommands from the shell workflow. No pinned version, checksum, or local lockfile is shown in the skill.
高
Automated GitHub Review State Changes
The workflow posts PR comments and can approve or request changes based on generated scores. This can alter repository review state without a human confirmation step.
The GitHub CLI commands are explicit and include gh pr comment plus gh pr review with approve and request-changes actions. The workflow does not show an approval gate before running them.
中
Unescaped PR Metadata in Generated Artifacts
The workflow interpolates PR titles and generated tool output into JSON and Markdown here-docs. Malicious PR metadata can corrupt artifacts or inject misleading review content.
The script assigns PR metadata and embeds variables and command output directly into generated JSON and Markdown. The skill does not show JSON escaping or Markdown sanitization.
能力複核項目 (2)
這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。
高
Template literal with command substitution
```bash
The fenced Bash workflow contains command substitutions and external tool invocations, not only documentation text. It can process PR data and invoke tools that affect repository workflows.
高
Unix shell invocation
#!/bin/bash
The skill defines a runnable Bash workflow that executes GitHub CLI, npx, and Codex commands. This can change repository review state and should require supervision.
風險因素
⚙️ 外部命令 (48)
SKILL.md:36-48 SKILL.md:48-52 SKILL.md:52-68 SKILL.md:68-72 SKILL.md:72-297 SKILL.md:297-302 SKILL.md:302-303 SKILL.md:303-304 SKILL.md:304-307 SKILL.md:307 SKILL.md:308 SKILL.md:309 SKILL.md:310 SKILL.md:313 SKILL.md:314 SKILL.md:318-327 SKILL.md:91 SKILL.md:92 SKILL.md:95 SKILL.md:179 SKILL.md:180 SKILL.md:181 SKILL.md:182 SKILL.md:183 SKILL.md:184 SKILL.md:190 SKILL.md:191 SKILL.md:192 SKILL.md:193 SKILL.md:194 SKILL.md:196 SKILL.md:203 SKILL.md:205 SKILL.md:215 SKILL.md:216 SKILL.md:237 SKILL.md:243 SKILL.md:244 SKILL.md:245 SKILL.md:246 SKILL.md:247 SKILL.md:252 SKILL.md:255 SKILL.md:258 SKILL.md:262 SKILL.md:266 SKILL.md:72-297 SKILL.md:73
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/dnyoussef-code-review-assistant/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/dnyoussef-code-review-assistant?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/dnyoussef-code-review-assistant?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dnyoussef-code-review-assistant/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/dnyoussef-code-review-assistant.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
DNYoussef. (2026). code-review-assistant security audit report (audit version 8) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/dnyoussef-code-review-assistant/audits/8BibTeX 引用
@techreport{dnyoussef-dnyoussef-code-review-assistant-2026,
author = {DNYoussef},
title = {code-review-assistant security audit report (audit version 8)},
institution = {Skillstore},
year = {2026},
number = {8},
url = {https://skillstore.io/skills/dnyoussef-code-review-assistant/audits/8},
note = {Author version 1.0.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "code-review-assistant security audit report (audit version 8)"
version: "1.0.0"
type: report
authors:
- name: "DNYoussef"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/dnyoussef-code-review-assistant/audits/8"
identifiers:
- type: other
value: "skillstore:dnyoussef-code-review-assistant:audit:8"
description: "Skillstore immutable audit report identifier"
比較變體
2 個可安裝變體每位作者的技能都保留為獨立的可安裝項目。推薦變體依 Skillstore 證據排序。
為何此變體排名第一
Skillstore 評分最高
作者 / 來源 Skillstore 評分 證據置信度 Skillstore 使用量 已更新
zhangchenlai-dev-code-review-assistant
Skillstore 評分 79
證據置信度 中
Skillstore 使用量 21
已更新
2026-09-09
DNYoussef 目前
dnyoussef-code-review-assistant
Skillstore 評分 38
證據置信度 中
Skillstore 使用量 13
已更新
2026-09-09
Skillstore 評分
評分依據 證據置信度: 中 55
架構
100
可維護性
87
內容
70
社群
83
規範符合度
你可以打造什麼
合併前儲存庫審查
在維護者決定變更是否已準備好合併前，執行廣泛的 PR 品質檢查。
聚焦安全性檢查
在核准前，審查已變更檔案中的不安全模式、機密資訊與關鍵安全性阻礙。
發布就緒度稽核
將品質、測試與文件訊號整合為發布分支的合併就緒度摘要。
試試這些提示
審查單一 Pull Request
使用所有預設檢查審查 pull request 123。摘要說明阻礙、警告、建議與合併就緒度。
聚焦安全性與測試
審查 pull request 123，重點領域為安全性與測試。優先處理應阻止合併的問題。
準備修正建議
審查 pull request 123，並為每個已確認問題產生修正建議。依嚴重性與檔案區域分組建議。
執行受監督的品質關卡
審查 pull request 123 的發布就緒度。在我確認最終決策前，不要核准或要求變更。
最佳實務
- 從乾淨的工作樹執行此技能，並使用已驗證的 GitHub CLI 工作階段。
- 在作用中的儲存庫上測試時，使用僅留言或 dry-run 行為。
- 在受保護分支上核准或要求變更前，先確認產生的發現。
避免
- 在不受信任的儲存庫上使用廣泛權限的 GitHub token 執行工作流程。
- 讓自動核准取代敏感變更所需的人工作審查。
- 將產生的分數視為 pull request 安全的最終證明。
常見問題
此技能需要 GitHub 存取權嗎？
是。它使用 GitHub CLI 命令，並需要用於檢視 PR 與發布審查回饋的儲存庫權限。
它可以核准 pull request 嗎？
可以。記載的工作流程可以核准或要求變更，因此請搭配受監督的權限使用。
它會在本機寫入檔案嗎？
會。它會建立 PR 審查目錄，並將中繼審查成品儲存在其中。
它可以自動產生修正嗎？
它可以根據審查發現產生修正建議，但開發者應在套用變更前先檢查這些建議。
它只限於安全性審查嗎？
不是。它也涵蓋效能、風格、測試、文件與整體品質評分。
它應該在受保護分支上執行嗎？
先使用 dry-run 行為，然後在任何審查狀態變更前要求人工確認。