@blueking/bkui-knowledge 0.0.1-beta.1

package/knowledge/skills/code-review/references/git-scenarios.md

@@ -0,0 +1,242 @@
+# Git 场景评审指南
+
+针对不同的 Git 场景，使用对应的命令和流程进行代码评审。
+
+## 分支合并评审 (merge)
+
+**使用场景**：在将 feature 分支合并到 main/develop 分支之前，评审所有待合并的代码变更。
+
+**命令格式**：
+```bash
+/code-review merge <source-branch> <target-branch>
+```
+
+**执行流程**：
+
+```bash
+# 1. 获取待合并的 commits 列表
+git log <target>..<source> --oneline
+
+# 2. 获取完整的代码变更差异
+git diff <target>...<source>
+
+# 3. 获取变更的文件列表
+git diff <target>...<source> --name-only
+
+# 4. 获取变更统计信息
+git diff <target>...<source> --stat
+```
+
+**检查要点**：
+- 检查所有待合入的 commits 是否符合规范
+- 评估变更范围是否合理（建议单次 PR < 400 行变更）
+- 识别可能的合并冲突风险
+- 确保功能完整性和代码质量
+
+## 指定 Commit 评审 (commit)
+
+**使用场景**：评审特定 commit 的代码变更，用于检查历史提交或特定修改。
+
+**命令格式**：
+```bash
+/code-review commit <commit-id>
+```
+
+**执行流程**：
+
+```bash
+# 1. 获取 commit 的详细信息和变更内容
+git show <commit-id>
+
+# 2. 获取 commit message
+git log -1 --format="%s%n%n%b" <commit-id>
+
+# 3. 获取变更的文件列表
+git show <commit-id> --name-only --pretty=format:""
+
+# 4. 获取变更统计
+git show <commit-id> --stat
+```
+
+**检查要点**：
+- Commit message 是否清晰描述了变更内容
+- 变更是否符合单一职责原则
+- 代码质量是否符合规范
+
+## 最近提交评审 (last-commit)
+
+**使用场景**：快速评审刚刚提交的代码，用于提交后的自查或 review。
+
+**命令格式**：
+```bash
+/code-review last-commit
+```
+
+**执行流程**：
+
+```bash
+# 1. 获取最近一次 commit 的 ID
+git log -1 --format="%H"
+
+# 2. 获取最近 commit 的完整信息
+git show HEAD
+
+# 3. 获取变更文件列表
+git show HEAD --name-only --pretty=format:""
+```
+
+**检查要点**：
+- 与 commit 评审相同
+- 特别关注是否有遗漏的文件或调试代码
+
+## 暂存区评审 (staged)
+
+**使用场景**：在执行 `git commit` 之前，评审已经 `git add` 的代码变更。适合作为提交前的最后检查。
+
+**命令格式**：
+```bash
+/code-review staged
+```
+
+**执行流程**：
+
+```bash
+# 1. 获取暂存区的代码变更
+git diff --cached
+
+# 2. 获取暂存区变更的文件列表
+git diff --cached --name-only
+
+# 3. 获取暂存区变更统计
+git diff --cached --stat
+```
+
+**检查要点**：
+- 是否有不应该提交的文件（如 .env、node_modules）
+- 是否有调试代码（console.log、debugger）
+- 代码是否符合规范和最佳实践
+
+## 工作区评审 (unstaged)
+
+**使用场景**：评审当前工作目录中尚未暂存的代码变更，用于开发过程中的自查。
+
+**命令格式**：
+```bash
+/code-review unstaged
+```
+
+**执行流程**：
+
+```bash
+# 1. 获取工作区的代码变更
+git diff
+
+# 2. 获取工作区变更的文件列表
+git diff --name-only
+
+# 3. 获取工作区变更统计
+git diff --stat
+```
+
+**检查要点**：
+- 开发中的代码是否走在正确的方向
+- 是否有明显的设计问题需要调整
+- 及时发现潜在问题，避免返工
+
+## 全部变更评审 (changes)
+
+**使用场景**：评审所有未提交的代码变更，包括暂存区和工作区的变更。
+
+**命令格式**：
+```bash
+/code-review changes
+```
+
+**执行流程**：
+
+```bash
+# 1. 获取 Git 状态
+git status --porcelain
+
+# 2. 获取所有变更（staged + unstaged）
+git diff HEAD
+
+# 3. 获取所有变更的文件列表
+git diff HEAD --name-only
+
+# 4. 获取变更统计
+git diff HEAD --stat
+```
+
+**检查要点**：
+- 综合 staged 和 unstaged 的检查要点
+- 确保所有变更都是有意义的
+- 检查是否有遗漏的相关文件
+
+## Git 场景通用检查项
+
+所有 Git 场景评审都应包含以下通用检查：
+
+### 1. 变更范围检查
+- 变更是否聚焦于单一目标
+- 是否存在不相关的修改混入
+
+### 2. 文件类型检查
+- 是否有敏感文件（.env, credentials, keys）
+- 是否有应该忽略的文件（node_modules, dist, build）
+
+### 3. 代码质量检查
+- 是否有调试代码残留
+- 是否有注释掉的代码块
+- 是否有 TODO/FIXME 需要处理
+
+### 4. Commit 规范检查（适用于 merge、commit、last-commit）
+- Commit message 格式是否正确
+- 是否遵循 Conventional Commits 规范
+
+## 工作流最佳实践
+
+推荐的代码提交工作流：
+
+```
+1. 开发完成后，暂存变更
+   $ git add <files>
+
+2. 运行静态检查
+   $ npm run lint
+
+3. 在 Cursor 中进行 AI 代码评审
+   /code-review staged
+
+4. 根据评审意见修复问题
+   （修复后重复步骤 1-3）
+
+5. 确认无问题后提交
+   $ git commit -m "feat: your feature description"
+
+6. 推送前进行分支评审（可选）
+   /code-review merge feature/xxx main
+   $ git push
+```
+
+## 紧急情况处理
+
+### 什么是紧急情况
+
+- 允许一个重要的发布继续，而不是回滚
+- 修复一个严重影响生产中用户的 bug
+- 处理一个紧迫的法律问题
+- 关闭一个主要的安全漏洞
+
+### 紧急情况下的处理
+
+- 审查者应更关心审查的速度和代码的正确性
+- 这些评审应该优先于所有其他代码评审
+- 紧急情况解决后，应再次查看紧急 CL，进行更彻底的检查
+
+### 什么不是紧急情况
+
+- 想要在本周而不是下周发布（除非确实有严格的发布截止日期）
+- 开发人员花了很长时间开发一个特性
+- 审查人员不在或在另一个时区
+- 今天是周五，想在周末前完成

package/knowledge/skills/code-review/references/report-examples.md

@@ -0,0 +1,120 @@
+# 评审报告示例
+
+## Git 场景评审报告 (merge)
+
+```
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+代码评审报告 - Git 场景
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+项目: my-frontend
+评审类型: merge review
+评审时间: 2026-01-20 10:30:00
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+Git 变更信息
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+评审类型: 分支合并评审 (merge)
+源分支: feature/user-profile
+目标分支: main
+变更文件: 15 个
+新增行数: +342
+删除行数: -128
+涉及 Commits: 5 个
+
+Commits 列表:
+  - a1b2c3d feat: add user profile component
+  - e4f5g6h fix: fix profile image loading
+  - i7j8k9l style: update profile styles
+  - m0n1o2p test: add profile unit tests
+  - q3r4s5t docs: update profile documentation
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+变更文件列表
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+📁 src/components/
+   ├── UserProfile.vue        (+120, -30)
+   ├── ProfileImage.vue       (+45, -10)
+   └── ProfileSettings.vue    (+80, -25)
+
+📁 src/utils/
+   └── profile-helper.ts      (+35, -8)
+
+📁 src/tests/
+   └── UserProfile.spec.ts    (+62, -55)
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+Git 规范检查
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+✅ GIT-001: Commit message 格式正确
+✅ GIT-002: 变更范围合理 (342 行 < 400 行)
+✅ GIT-003: 未发现潜在合并冲突
+✅ GIT-004: 未发现敏感信息
+⚠️ GIT-005: 发现 1 处调试代码
+   文件: src/components/UserProfile.vue:85
+   代码: console.log('debug:', userData);
+✅ GIT-006: Commits 遵循单一职责原则
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+评审结论
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+📋 结论: 需要小修改
+
+🔴 必须修改: 0 个问题
+🟡 建议修改: 2 个问题
+⚪ 可选优化: 3 个 Nit
+⚠️ Git 规范: 1 个警告
+
+📊 代码质量评分: 82/100
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+下一步行动
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+1. 移除调试代码 (console.log)
+2. 处理 2 个建议修改的问题
+3. 可选：处理 3 个 Nit 优化建议
+4. 修复完成后可安全合并到 main 分支
+```
+
+## 暂存区评审报告 (staged)
+
+```
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+Pre-commit 代码评审报告
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+项目: my-frontend
+评审类型: staged (暂存区)
+评审时间: 2026-01-20 15:45:00
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+暂存区变更
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+变更文件: 3 个
+新增行数: +45
+删除行数: -12
+
+变更文件列表:
+  M src/components/Header.vue    (+25, -8)
+  M src/utils/format.ts          (+15, -4)
+  A src/components/NewFeature.vue (+5, -0)
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+提交前检查
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+✅ 无敏感文件
+✅ 无调试代码
+✅ 变更范围合理
+✅ 代码规范检查通过
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+评审结论: ✅ LGTM - 可以提交
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+```

package/knowledge/skills/code-review/references/report-format.md

@@ -0,0 +1,75 @@
+# 评审报告格式说明
+
+评审报告采用结构化格式，便于快速理解和处理。
+
+## 报告结构
+
+```
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+代码评审报告
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+项目: {项目名}
+评审范围: {文件/分支}
+评审时间: {时间}
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+评审结论
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+📋 结论: {LGTM/需要修改/...}
+
+🔴 必须修改: N 个问题
+🟡 建议修改: N 个问题
+⚪ 可选优化: N 个 Nit
+
+📊 代码质量评分: XX/100
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+问题详情
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+
+🔴 {规则ID}: {问题标题}
+   文件: {文件路径}:{行号}
+   问题: {问题描述}
+   建议: {修复建议}
+
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+亮点 & 下一步行动
+━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
+```
+
+## 结论类型
+
+| 结论 | 含义 | 行动 |
+|------|------|------|
+| `LGTM` | Looks Good To Me | 可以合入 |
+| `需要小修改` | 有小问题需要处理 | 修复后可合入 |
+| `需要修改` | 有明显问题需要修复 | 修复后重新评审 |
+| `需要重大修改` | 有设计级别问题 | 需要讨论方案 |
+
+## JSON 报告格式
+
+```json
+{
+  "summary": {
+    "verdict": "需要修改",
+    "issuesCount": { "critical": 2, "major": 3, "minor": 5 },
+    "score": 75
+  },
+  "issues": [{
+    "ruleId": "FUNC-002",
+    "severity": "critical",
+    "file": "src/utils/helper.js",
+    "line": 42,
+    "issue": "未处理边缘情况",
+    "suggestion": "添加空值检查"
+  }],
+  "positives": ["代码结构清晰"],
+  "recommendations": ["建议添加单元测试"]
+}
+```
+
+---
+
+> 更多示例：`skill://code-review/references/report-examples.md`

package/knowledge/skills/code-review/references/scoring-standard.md

@@ -0,0 +1,69 @@
+# 代码质量评分标准
+
+评审时可参考此评分标准对代码质量进行量化评估。
+
+## 基本要求（80分）
+
+### 代码可读性（30分）
+
+| 检查项 | 分值 | 说明 |
+|--------|------|------|
+| 符合代码规范 | 8 | 遵循团队/公司代码规范 |
+| 变量命名清晰 | 8 | 变量名、方法名、类名有较高可读性 |
+| 逻辑一致性 | 5 | 函数命名、注释和逻辑的一致性 |
+| 目录结构 | 4 | 目录命名、结构的一致性 |
+| 有意义的注释 | 5 | 关键逻辑有注释说明 |
+
+### 代码简单高效（25分）
+
+| 检查项 | 分值 | 说明 |
+|--------|------|------|
+| 优先使用标准库 | 10 | 使用标准库提供的能力 |
+| TypeScript 类型 | 8 | 避免大量使用 any 类型 |
+| 避免冗余 | 4 | 避免无效冗余的写法 |
+| 实现方案一致 | 3 | 同类问题使用一致的解决方案 |
+
+### 安全规范（15分）
+
+| 检查项 | 分值 | 说明 |
+|--------|------|------|
+| XSS 防护 | 5 | 避免 innerHTML/v-html 渲染用户输入 |
+| 敏感数据处理 | 4 | 敏感信息不存储在 localStorage，不硬编码密钥 |
+| 输入校验 | 3 | 用户输入经过校验和转义 |
+| 权限校验 | 3 | 不仅依赖前端进行权限控制 |
+
+### 性能规范（10分）
+
+| 检查项 | 分值 | 说明 |
+|--------|------|------|
+| 资源清理 | 4 | 及时清理定时器/监听器/订阅 |
+| 渲染优化 | 3 | 大列表虚拟滚动、避免不必要渲染 |
+| 依赖体积 | 3 | 避免引入过大的依赖包 |
+
+## 加分项（每项最高10分）
+
+- **高级安全**：CSP 配置、SRI 校验、依赖漏洞扫描
+- **性能优化**：代码分割、图片优化、请求缓存、虚拟滚动
+- **代码架构**：模块划分合理、接口设计良好、设计模式使用合理
+- **功能难度**：巧妙的算法或思路解决复杂问题
+- **稳定性**：异常保护、网络请求优化、兜底策略
+
+## 评分等级
+
+| 分数区间 | 等级 | 结论 |
+|---------|------|------|
+| 90+ | 优秀 | LGTM |
+| 80-89 | 良好 | 需要小修改 |
+| 70-79 | 合格 | 需要修改 |
+| < 70 | 不合格 | 需要重大修改 |
+
+## 一票否决项
+
+以下问题无论评分多高，都需要修复后才能合入：
+
+| 问题 | 规则 ID | 说明 |
+|------|---------|------|
+| XSS 漏洞 | SEC-001 | 存在明确的跨站脚本攻击风险 |
+| 敏感信息泄露 | SEC-010 | 代码中硬编码密钥、凭证等敏感信息 |
+| 严重内存泄漏 | PERF-001 | 存在明确的内存泄漏且影响用户体验 |
+| 依赖严重漏洞 | SEC-008 | 使用了存在高危漏洞的依赖版本 |

package/knowledge/skills/code-review/references/writing-guidelines.md

@@ -0,0 +1,44 @@
+# 评审意见撰写规范
+
+好的评审意见应该帮助开发者成长，而不是打击积极性。
+
+## 核心原则
+
+1. **对事不对人** - 评论代码，而不是评论开发者
+2. **解释为什么** - 帮助开发者理解原因，传递知识
+3. **提供建议** - 给出具体的改进方案
+4. **保持礼貌** - 使用建设性的语言
+
+## 礼貌原则
+
+**示例对比：**
+
+```
+❌ 糟糕：
+"为什么这里你使用了线程，显然并发并没有带来什么好处？"
+
+✅ 好的：
+"这里的并发模型增加了系统的复杂性，但没有任何实际的性能优势。
+因为没有性能优势，最好是将这些代码作为单线程处理而不是使用多线程。"
+```
+
+## 解释为什么
+
+**示例：**
+
+```
+这里建议使用 `const` 代替 `let`，因为 `total` 在后续代码中没有被重新赋值。
+使用 `const` 可以让其他开发者明确知道这个变量不会被修改，提高代码可读性。
+参考：JavaScript 编码规范 2.1 节
+```
+
+## 评论格式模板
+
+```
+[必须/建议/Nit] 规则ID: 问题简述
+
+问题: 具体描述问题所在
+原因: 解释为什么这是一个问题
+建议: 提供具体的修复方案
+参考: 相关规范或文档链接（可选）
+```

package/knowledge/skills/js-security-check/SKILL.md

@@ -0,0 +1,52 @@
+---
+id: sec-js-check
+name: JavaScript 安全审查
+category: security
+description: 检查 XSS、CSRF、原型污染等安全问题，支持 React/Vue/Angular
+tags: [security, javascript, xss, csrf, frontend]
+updated_at: 2026-01-20
+allowed-tools: [Read, Grep, Glob, Shell]
+---
+
+# JavaScript 安全审查
+
+## ⚠️ 核心规则
+
+1. **永不信任用户输入** - 所有用户数据需校验和转义
+2. **默认安全** - 使用安全 API（textContent 而非 innerHTML）
+3. **纵深防御** - 多层安全措施，不依赖单一防护
+
+## 快速开始
+
+```bash
+/js-security-check                    # 智能扫描 src 目录
+/js-security-check file src/xxx.vue   # 扫描指定文件
+/js-security-check report             # 生成详细报告
+```
+
+## 问题分级
+
+| 前缀 | 含义 | 处理方式 |
+|------|------|----------|
+| `🔴 严重` | 可被直接利用 | 阻止发布 |
+| `🟡 中等` | 需特定条件 | 尽快修复 |
+| `⚪ 建议` | 最佳实践 | 可选优化 |
+
+## 检查维度
+
+| 维度 | 检查项 |
+|------|--------|
+| DOM 安全 | innerHTML、document.write、insertAdjacentHTML |
+| URL 安全 | Open Redirect、javascript: scheme |
+| 代码执行 | eval、new Function、setTimeout(string) |
+| 原型污染 | __proto__、constructor、Object.assign |
+| 存储安全 | localStorage 敏感信息、Cookie 属性 |
+| 框架安全 | v-html、dangerouslySetInnerHTML |
+
+## 📦 按需加载资源
+
+| 资源 | URI |
+|-----|-----|
+| 完整检查清单 | `skill://js-security-check/references/checklist.md` |
+| 修复示例 | `skill://js-security-check/references/fix-examples.md` |
+| 评分标准 | `skill://js-security-check/references/scoring-standard.md` |