审查、审计、加固

一个 agent 出代码的速度快得离谱。这是它的强项，也正是这一点把您的角色挪了位。您不再是逐行敲代码的那个人；您是把关核对的那个人。一段生成得又快又多、还自信满满的代码，值得和手写代码一模一样的审查认真劲儿。也许更甚，因为 agent 从不怀疑自己。

好消息是：agent 同时也是一个出色的核对工具。我们把它掉转过来对付它自己的成果。下面这三道关，请当成条件反射。

1. 系统性地审查 diff

那条已经在本站随处遇到的金科玉律：接受之前先读 diff。git diff 会精确地告诉您改了什么。您只放行您看懂的部分；其余的，您就追问「为什么这么选？」。

但您也可以把第一道关交给一个专职 agent, 一个审查员，去抓那些疲惫的眼睛会漏掉的东西：

/code-review              # 审查当前 diff
/code-review high         # 更深入、更耗时的审查
/code-review --fix        # 随后应用找到的修复

codex review --uncommitted        # 审查所有尚未提交的改动
codex review --base main          # 把当前分支与 main 对比
codex review --commit <sha>       # 审查某一个具体的提交

2. 质量审计

bug 之外，还有代码的健康度：它可读吗、好维护吗、有测试吗？定期要一次质量审计, agent 很擅长发现那些正在悄悄腐烂的东西：

• 重复和死代码，该抽取的复制粘贴，不再被用到的函数。
• 复杂度，又臭又长的函数、读不下去的嵌套、那些拆开会更好的部分。
• 命名和一致性，误导人的名字、各行其是的约定。
• 测试覆盖，那些没被测、却本该被测的部分。

在 Claude Code 里，/simplify 自带了其中一部分工作：它从复用、简化和效率的角度审查改动，然后应用修复。它不找 bug，那是 /code-review 的事。Codex 和 OpenCode 没有现成的质量审计命令：把上面的清单写成指令交给它们，例如 codex exec "对仓库做质量审计：重复代码、死代码、复杂度、命名、缺失的测试。不要修改任何东西。"（在非交互模式下，Codex 默认是只读的），或者做成一个技能。

3. 安全审计

这是最常被跳过的一道关，也是被忽视时最伤人的一道，尤其在一台从外部可达的机器上。在把任何东西放上线之前，明确地要求一次安全审查：

把它变成习惯

诀窍在于，只要您把这三道关自动化，它们几乎不花您什么力气。先用好 agent 自带的命令（Claude Code 里的 /code-review、/simplify、/security-review，Codex 里的 /review 和 codex review）。它们覆盖不到的部分，比如您自己的标准、您的技术栈、您反复踩的坑，就写成您自己的 技能（一个按您的方式做的 /audit），并把它们变成每次上线前的固定步骤。