2. Rust 后端审查

命令模式审查

✅ 正确的 Tauri 命令：

#[tauri::command]
#[specta::specta]
pub async fn get_materials(
    state: State<'_, TauriAppState>,
) -> ApiResponse<Vec<Material>> {
    with_service(state, |ctx| async move {
        ctx.material_service.get_all().await
    })
    .await
}

检查清单：

• 存在 #[tauri::command] 属性
• 存在 #[specta::specta] 属性
• 返回类型是 ApiResponse<T>
• 使用 with_service 辅助函数或适当的错误处理
• 异步函数正确使用 await

错误处理审查

✅ 良好的错误处理：

pub async fn create_formula(&self, dto: CreateFormulaDto) -> Result<Formula> {
    // 验证输入
    if dto.name.is_empty() {
        return Err(anyhow!("名称不能为空"));
    }

    // 检查重复项
    if self.exists_by_name(&dto.name).await? {
        return Err(anyhow!("配方名称已存在"));
    }

    // 使用事务创建
    let mut tx = self.pool.begin().await?;
    let id = self.insert_internal(&dto, &mut tx).await?;
    tx.commit().await?;

    Ok(self.get_by_id(id).await?)
}

需要警惕的常见问题：

• ❌ 缺少错误传播（未使用 ?）
• ❌ 吞没错误（let _ = result）
• ❌ 没有上下文的通用错误消息
• ❌ 未使用 .context() 进行错误链式处理
• ❌ 忘记提交事务

数据库查询审查

✅ 安全的 SQLx 查询：

sqlx::query_as!(
    Material,
    "SELECT code, name, price FROM materials WHERE code = ?",
    code
)
.fetch_one(&pool)
.await

常见问题：

• ❌ SELECT * - 应明确指定列
• ❌ 循环中的 N+1 查询
• ❌ SQL 中的字符串拼接（注入风险）
• ❌ 缺少参数绑定
• ❌ 频繁查询的字段上没有索引

性能审查

危险信号：

// ❌ 阻塞异步运行时
std::thread::sleep(Duration::from_secs(10));

// ❌ 不必要的克隆
let data = self.large_data.clone(); // 可以使用 &LargeData

// ❌ 低效的数据结构
let mut items = Vec::new();
for item in huge_list {
    if items.contains(&item) { // O(n) 查找
        items.push(item);
    }
}

// ✅ 使用 HashSet 实现 O(1) 查找
use std::collections::HashSet;
let mut items = HashSet::new();

性能检查清单：

• 适当使用 Arc 与 & 引用
• 高效的数据结构（HashMap、HashSet 与 Vec）
• 使用 rayon 进行 CPU 密集型任务的并行处理
• 对频繁访问的数据进行缓存
• 在异步上下文中没有阻塞调用

3. React 前端审查

组件质量审查

✅ 结构良好的组件：

import React, { useCallback, useMemo } from 'react';
import { message } from 'antd';

interface Props {
  formula: Formula;
  onUpdate: (id: number) => void;
}

export const FormulaCard: React.FC<Props> = React.memo(({ formula, onUpdate }) => {
  const totalCost = useMemo(
    () => formula.materials.reduce((sum, m) => sum + m.cost, 0),
    [formula.materials]
  );

  const handleUpdate = useCallback(() => {
    onUpdate(formula.id);
  }, [formula.id, onUpdate]);

  return (
    <div>
      <h3>{formula.name}</h3>
      <p>成本: {totalCost.toFixed(2)}</p>
      <Button onClick={handleUpdate}>更新</Button>
    </div>
  );
});

检查清单：

• 正确的 TypeScript 类型（没有 any）
• 使用 React.memo 提升性能
• 使用 useCallback 处理作为 props 传递的回调函数
• 使用 useMemo 处理昂贵的计算
• 没有 console.log（改用 message）
• 有意义的组件名称

Hooks 使用审查

✅ 正确的 Hooks 使用：

export const useFormulas = () => {
  const { data, isLoading, error } = useQuery({
    queryKey: ['formulas'],
    queryFn: () => commands.getFormulas(),
  });

  const createMutation = useMutation({
    mutationFn: (dto: CreateDto) => commands.createFormula(dto),
    onSuccess: () => {
      queryClient.invalidateQueries({ queryKey: ['formulas'] });
      message.success('创建成功');
    },
  });

  return { formulas: data, isLoading, createMutation };
};

常见问题：

• ❌ 在条件/循环内调用 Hooks
• ❌ useEffect/useCallback 中缺少依赖项
• ❌ 直接进行状态突变而不是使用 setState
• ❌ 使用原始的 invoke 而不是生成的 commands

4. 集成审查

前端-后端集成

类型安全检查：

// ✅ 使用生成的类型
import type { Formula, Material } from '../bindings';
import { commands } from '../bindings';

const result = await commands.getFormula(123);
if (!result.success) {
    message.error(result.message);
    return;
}
const formula: Formula = result.data; // 类型安全！

需要注意的问题：

• ❌ 使用 as any 类型断言
• ❌ 未检查 result.success
• ❌ 缺少错误处理
• ❌ 类型命名不一致（snake_case 与 camelCase）

5. 安全审查

常见漏洞

SQL 注入：

// ❌ 存在漏洞
let query = format!("SELECT * FROM materials WHERE name = '{}'", name);
sqlx::query(&query).fetch_one(&pool).await

// ✅ 安全
sqlx::query_as!(
    Material,
    "SELECT * FROM materials WHERE name = ?",
    name
)
.fetch_one(&pool).await

输入验证：

// ❌ 无验证
pub fn create_material(name: String, price: f64) -> Result<Material> {
    // 直接插入，无检查
}

// ✅ 带验证
pub fn create_material(name: String, price: f64) -> Result<Material> {
    if name.is_empty() || name.len() > 100 {
        return Err(anyhow!("无效的原料名称"));
    }
    if price < 0.0 || price > 10000.0 {
        return Err(anyhow!("价格超出合理范围"));
    }
    // 继续创建过程
}

桌面应用安全：

• 没有硬编码的凭据
• 使用环境变量管理密钥
• 文件路径验证（防止目录遍历）
• 安全处理用户提供的文件路径

6. 测试审查

测试覆盖率检查

// ✅ 良好的测试覆盖率
#[cfg(test)]
mod tests {
    use super::*;

    #[test]
    fn test_calculate_cost() {
        // 正常情况
        assert_eq!(calculate_cost(&materials), 100.0);

        // 边界情况
        assert_eq!(calculate_cost(&[]), 0.0);
        assert_eq!(calculate_cost(&[single_material]), single_material.cost);
    }

    #[test]
    fn test_negative_proportion_rejected() {
        let result = validate_proportion(-10.0);
        assert!(result.is_err());
    }
}

检查清单：

• 业务逻辑的单元测试
• 覆盖边界情况（空值、null、负值）
• 数据库操作的集成测试
• 测试错误路径
• 模拟外部依赖项

7. 文档审查

需要检查的内容：

• 公共 API 有文档注释
• 复杂算法有解释说明
• 非显而易见的代码有注释
• TODO/FIXME 注释有相关的问题跟踪
• 如果行为改变，README 已更新

代码审查评论模板

高优先级问题

## 🔴 严重：[问题标题]

**位置**：`src/file.rs:42`

**问题**：[对问题的清晰描述]

**影响**：[为什么这很重要]

**建议修复**：
```rust
// 显示修正后的代码

中优先级问题

## 🟡 建议：[标题]

**位置**：`src/file.rs:123`

**当前方法**：[代码当前的做法]

**建议**：[更好的方法]

**好处**：
- [好处 1]
- [好处 2]

次要问题

## 💡 细节建议：[标题]

**位置**：`src/file.rs:200`

**观察**：[小的改进点]

**为什么重要**：[可选解释]

按类别划分的常见问题

Rust 问题

React 问题

审查工作流

1. 自动化检查（首先执行）

# 运行所有自动化检查
cargo test --all
cargo clippy -- -D warnings
cargo fmt --check
npm test
npm run lint
npm run type-check

2. 手动审查

1. 从上到下阅读差异：获取整体概览
2. 检查关键路径：安全性、性能、正确性
3. 验证测试：确保足够的覆盖率
4. 检查文档：是否是最新的？
5. 手动测试：如果适用，运行应用程序

3. 提供反馈

• 建设性：专注于改进，而非批评
• 解释原因：帮助作者理解问题
• 提供示例：展示如何修复
• 区分优先级：标记严重问题与次要问题
• 保持礼貌：记住代码审查是学习的机会

快速参考

基本命令

# 审查变更
git diff main...feature-branch

# 查看特定文件变更
git diff main..feature-branch -- src/file.rs

# 检查提交历史
git log --oneline main..feature-branch

# 运行测试
cargo test
npm test

# 检查格式
cargo fmt --check
npm run lint

审查清单

后端 (Rust):
- [ ] Tauri 命令属性正确
- [ ] 错误处理全面
- [ ] SQL 查询安全且优化
- [ ] 性能考虑已解决
- [ ] 异步上下文中没有阻塞调用

前端 (React):
- [ ] TypeScript 类型正确
- [ ] Hooks 使用正确
- [ ] 没有 console.log
- [ ] 使用 message 进行错误处理
- [ ] 性能优化

集成:
- [ ] 类型安全的命令调用
- [ ] 适当的错误处理
- [ ] 命名一致
- [ ] specta 类型已生成

测试:
- [ ] 存在单元测试
- [ ] 覆盖边界情况
- [ ] 如果需要，存在集成测试
- [ ] 测试通过

文档:
- [ ] 公共 API 已记录
- [ ] 复杂逻辑已解释
- [ ] README 已更新

何时使用此技能

在以下情况下激活此技能：

• 审查拉取请求时
• 执行代码质量审计时
• 寻找错误和问题时
• 提出重构建议时
• 检查安全漏洞时
• 确保符合项目标准时
• 向开发者介绍代码库时

每周安装次数

1

仓库

cacr92/wereply

首次出现

今天

安全审计

Gen Agent Trust HubPassSocketPassSnykPass

安装于

zencoder1

amp1

cline1

openclaw1

opencode1

cursor1