@tinkcarlos/skillora 0.2.0

package/.claude/skills/code-review/references/new-project-review.md

@@ -0,0 +1,226 @@
+# New Project Review Guide
+
+> Review focus for "from zero to one" development: laying a solid foundation.
+
+## Overview
+
+New projects are foundation-building. Review like an architect: ensure the blueprint is sound before walls go up.
+
+**Target Bug Rate**: <1% at launch
+
+---
+
+## Critical Review Areas
+
+### 1. Architecture & Design
+
+| Check | What to Verify | Red Flags |
+|-------|----------------|-----------|
+| **Separation of concerns** | Clear layers (UI/Logic/Data) | Mixed concerns, god classes |
+| **Dependency direction** | Dependencies point inward | Circular dependencies |
+| **Modularity** | Features are isolated | Cross-cutting concerns everywhere |
+| **Extensibility** | Easy to add features | Hardcoded behaviors |
+| **Testability** | Dependencies injectable | Static dependencies, singletons |
+
+### 2. Tech Stack Validation
+
+| Aspect | Questions to Ask | Warning Signs |
+|--------|------------------|---------------|
+| **Framework** | Is it appropriate for the use case? | Over-engineering, under-powered |
+| **Database** | Right type? (SQL vs NoSQL) | ACID needs with NoSQL |
+| **Dependencies** | Versions pinned? Well-maintained? | `latest` tags, abandoned libs |
+| **Build tools** | Modern, efficient? | Slow builds, complex config |
+
+### 3. Security Foundation
+
+```markdown
+## Security Baseline Checklist
+
+### Authentication & Authorization
+- [ ] Auth mechanism chosen (JWT/OAuth/Session)
+- [ ] Password hashing (bcrypt/argon2)
+- [ ] Session management secure
+- [ ] RBAC/ABAC planned
+
+### Input Validation
+- [ ] All inputs validated
+- [ ] SQL injection prevented (ORM/parameterized)
+- [ ] XSS prevention configured
+- [ ] CSRF protection enabled
+
+### Secrets Management
+- [ ] No hardcoded secrets
+- [ ] Environment variables used
+- [ ] Secrets rotation planned
+- [ ] .env files gitignored
+
+### Security Headers
+- [ ] HTTPS enforced
+- [ ] Security headers configured
+- [ ] CORS policy appropriate
+- [ ] Content Security Policy defined
+```
+
+### 4. Testing Infrastructure
+
+| Test Type | Required Coverage | Purpose |
+|-----------|-------------------|---------|
+| **Unit Tests** | >80% | Component logic |
+| **Integration Tests** | Critical paths | API/DB interaction |
+| **E2E Tests** | Happy paths | User flows |
+| **Security Tests** | OWASP Top 10 | Vulnerability prevention |
+
+### 5. DevOps Readiness
+
+```markdown
+## DevOps Checklist
+
+### CI/CD Pipeline
+- [ ] Lint/format checks
+- [ ] Type checking
+- [ ] Test execution
+- [ ] Build verification
+- [ ] Security scanning
+- [ ] Artifact creation
+
+### Deployment
+- [ ] Containerization (Docker)
+- [ ] Environment configuration
+- [ ] Health checks defined
+- [ ] Rollback procedure
+
+### Monitoring
+- [ ] Logging structured
+- [ ] Metrics defined
+- [ ] Alerting configured
+- [ ] Error tracking (Sentry)
+```
+
+---
+
+## Common New Project Mistakes
+
+### Frontend
+
+| Mistake | Impact | Prevention |
+|---------|--------|------------|
+| No TypeScript | Runtime errors | Mandate strict mode |
+| No component library | UI inconsistency | Storybook from start |
+| No state strategy | Prop drilling, global abuse | Decide early (Context/Zustand/Redux) |
+| No performance baseline | Slow app | Lighthouse CI from day one |
+
+### Backend
+
+| Mistake | Impact | Prevention |
+|---------|--------|------------|
+| No API versioning | Breaking clients | `/v1/` prefix mandatory |
+| No migration tool | Manual DB changes | Alembic/Flyway required |
+| No rate limiting | DoS vulnerability | Rate limits from start |
+| No structured logging | Debugging hell | JSON logs with context |
+
+### Infrastructure
+
+| Mistake | Impact | Prevention |
+|---------|--------|------------|
+| No containerization | "Works on my machine" | Docker from day one |
+| No health checks | Silent failures | Liveness/readiness probes |
+| No secrets management | Security breach | Vault/env vars only |
+| No backup strategy | Data loss | Automated backups tested |
+
+---
+
+## Review Questions for New Projects
+
+```markdown
+## New Project Review Questions
+
+### Architecture
+1. Can you explain the high-level architecture?
+2. What are the main modules/services?
+3. How do they communicate?
+4. What happens when load increases 10x?
+
+### Data
+1. What is the data model?
+2. Why this database choice?
+3. How are migrations handled?
+4. What's the backup/recovery plan?
+
+### Security
+1. How is authentication handled?
+2. Where are secrets stored?
+3. What input validation exists?
+4. Has security testing been done?
+
+### Operations
+1. How is the app deployed?
+2. What monitoring exists?
+3. How are errors tracked?
+4. What's the rollback plan?
+
+### Quality
+1. What's the test coverage?
+2. How are code standards enforced?
+3. What's the code review process?
+4. How is technical debt tracked?
+```
+
+---
+
+## New Project Review Template
+
+```markdown
+# New Project Code Review
+
+## Project Info
+- **Project Name**: 
+- **Tech Stack**: 
+- **Team Size**: 
+- **Timeline**: 
+
+## Architecture Review
+
+### Strengths
+- 
+
+### Concerns
+- 
+
+### Recommendations
+- 
+
+## Security Assessment
+
+### ✅ Implemented
+- 
+
+### ❌ Missing
+- 
+
+### 🔴 Critical Issues
+- 
+
+## Quality Gates
+
+| Gate | Status | Notes |
+|------|--------|-------|
+| TypeScript/Type Safety | ⬜ | |
+| Test Coverage >80% | ⬜ | |
+| Linting Zero Warnings | ⬜ | |
+| Security Scan Clean | ⬜ | |
+| Performance Baseline | ⬜ | |
+| Documentation Complete | ⬜ | |
+
+## Verdict
+
+**Ready for Development**: Yes / No
+
+**Blockers to Address**:
+1. 
+2. 
+
+**Recommendations**:
+1. 
+2. 
+```
+

package/.claude/skills/code-review/references/non-code-files-review.md

@@ -0,0 +1,451 @@
+# 非代码文件审查清单 (Non-Code Files Review)
+
+> **核心原则**: 代码审查不仅仅是审查代码，配置文件、脚本、数据文件同样重要，一个错误的配置可能导致生产事故。
+
+---
+
+## 🔴 为什么需要审查非代码文件
+
+### 真实案例
+
+```
+案例 1: .env 文件泄露
+- 开发者提交了 .env 文件到 Git
+- 包含数据库密码和 API 密钥
+- 被爬虫抓取，数据库被删除
+
+案例 2: 配置错误导致生产事故
+- package.json 中 dependencies 写成了 devDependencies
+- 生产环境缺少关键依赖，服务启动失败
+
+案例 3: SQL 脚本未审查
+- 迁移脚本包含 DROP TABLE
+- 没有备份，数据永久丢失
+```
+
+---
+
+## 📋 Phase 1: 环境配置文件检查
+
+### 1.1 .env 文件检查
+
+```markdown
+## .env 文件检查清单
+
+### 安全检查
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | .env 不在 Git 中 | .gitignore 包含 .env | P0 | ⬜ |
+| 2 | 无硬编码密钥 | 敏感值使用占位符 | P0 | ⬜ |
+| 3 | .env.example 存在 | 有示例文件 | P1 | ⬜ |
+| 4 | 生产密钥不在代码库 | 使用密钥管理服务 | P0 | ⬜ |
+
+### 完整性检查
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 所有必需变量都定义 | 代码中使用的变量都存在 | P0 | ⬜ |
+| 2 | 变量命名规范 | 大写 + 下划线 | P2 | ⬜ |
+| 3 | 有注释说明 | 复杂配置有说明 | P3 | ⬜ |
+| 4 | 环境区分 | DEV/STAGING/PROD 配置分离 | P1 | ⬜ |
+```
+
+**检查命令**:
+```bash
+# 检查 .env 是否在 .gitignore 中
+grep -n "\.env" .gitignore
+
+# 检查代码中使用的环境变量
+grep -rn "process.env\.\|os.environ\[" --include="*.ts" --include="*.py" | \
+  grep -oE "(process\.env\.|os\.environ\[)['\"]?[A-Z_]+['\"]?" | sort -u
+
+# 检查 .env.example 是否存在
+ls -la .env*
+```
+
+### 1.2 Docker 配置检查
+
+```markdown
+## Dockerfile 检查清单
+
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 基础镜像版本固定 | 不使用 :latest | P1 | ⬜ |
+| 2 | 多阶段构建 | 生产镜像不含构建工具 | P2 | ⬜ |
+| 3 | 非 root 用户 | USER 指令存在 | P1 | ⬜ |
+| 4 | 健康检查 | HEALTHCHECK 指令存在 | P2 | ⬜ |
+| 5 | 敏感信息不在镜像中 | 不 COPY .env 或密钥 | P0 | ⬜ |
+| 6 | .dockerignore 存在 | 排除不必要文件 | P2 | ⬜ |
+
+## docker-compose.yml 检查清单
+
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 版本号正确 | version: "3.8" 或更高 | P2 | ⬜ |
+| 2 | 端口映射安全 | 不暴露不必要端口 | P1 | ⬜ |
+| 3 | 卷挂载正确 | 路径存在且权限正确 | P1 | ⬜ |
+| 4 | 环境变量引用 | 使用 ${VAR} 而非硬编码 | P1 | ⬜ |
+| 5 | 网络隔离 | 服务间网络正确配置 | P2 | ⬜ |
+| 6 | 资源限制 | 设置 mem_limit/cpus | P2 | ⬜ |
+```
+
+### 1.3 CI/CD 配置检查
+
+```markdown
+## GitHub Actions / GitLab CI 检查清单
+
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 密钥使用 secrets | 不硬编码密钥 | P0 | ⬜ |
+| 2 | 分支保护 | main/master 有保护规则 | P1 | ⬜ |
+| 3 | 依赖缓存 | 使用 cache 加速构建 | P3 | ⬜ |
+| 4 | 测试步骤存在 | 有 test job | P1 | ⬜ |
+| 5 | 部署审批 | 生产部署需要审批 | P1 | ⬜ |
+| 6 | 超时设置 | timeout-minutes 合理 | P2 | ⬜ |
+```
+
+---
+
+## 📋 Phase 2: 包管理配置检查
+
+### 2.1 package.json 检查
+
+```markdown
+## package.json 检查清单
+
+### 依赖检查
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 版本号正确 | 符合 semver | P2 | ⬜ |
+| 2 | 依赖分类正确 | dev 依赖不在 dependencies | P1 | ⬜ |
+| 3 | 无废弃包 | npm audit 无 deprecated | P2 | ⬜ |
+| 4 | 无安全漏洞 | npm audit 无 high/critical | P0 | ⬜ |
+| 5 | 版本锁定 | 使用 ^ 或 ~ 而非 * | P1 | ⬜ |
+| 6 | lock 文件同步 | package-lock.json 已更新 | P1 | ⬜ |
+
+### 脚本检查
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | start 脚本正确 | 能正常启动 | P0 | ⬜ |
+| 2 | build 脚本正确 | 能正常构建 | P0 | ⬜ |
+| 3 | test 脚本存在 | 有测试命令 | P1 | ⬜ |
+| 4 | 无危险命令 | 不含 rm -rf / 等 | P0 | ⬜ |
+```
+
+### 2.2 requirements.txt / pyproject.toml 检查
+
+```markdown
+## Python 依赖检查清单
+
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 版本固定 | 使用 == 而非 >= | P1 | ⬜ |
+| 2 | 无安全漏洞 | safety check 通过 | P0 | ⬜ |
+| 3 | 依赖完整 | pip check 无错误 | P1 | ⬜ |
+| 4 | 开发依赖分离 | dev 依赖在单独文件 | P2 | ⬜ |
+| 5 | Python 版本指定 | python_requires 正确 | P1 | ⬜ |
+```
+
+---
+
+## 📋 Phase 3: 数据文件检查
+
+### 3.1 JSON 文件检查
+
+```markdown
+## JSON 文件检查清单
+
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 语法正确 | JSON.parse 不报错 | P0 | ⬜ |
+| 2 | 无敏感信息 | 不含密码/密钥 | P0 | ⬜ |
+| 3 | 格式化正确 | 缩进一致 | P3 | ⬜ |
+| 4 | 编码正确 | UTF-8 无 BOM | P2 | ⬜ |
+| 5 | 数据类型正确 | 数字不是字符串 | P2 | ⬜ |
+```
+
+**检查命令**:
+```bash
+# 验证 JSON 语法
+find . -name "*.json" -exec python -m json.tool {} \; 2>&1 | grep -i error
+
+# 检查敏感信息
+grep -rn "password\|secret\|api_key\|token" --include="*.json" | grep -v package
+```
+
+### 3.2 YAML 文件检查
+
+```markdown
+## YAML 文件检查清单
+
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 语法正确 | yamllint 通过 | P0 | ⬜ |
+| 2 | 缩进正确 | 2 空格缩进 | P2 | ⬜ |
+| 3 | 无敏感信息 | 不含明文密码 | P0 | ⬜ |
+| 4 | 锚点引用正确 | &anchor 和 *anchor 匹配 | P1 | ⬜ |
+| 5 | 布尔值明确 | 使用 true/false 而非 yes/no | P2 | ⬜ |
+```
+
+### 3.3 XML 文件检查
+
+```markdown
+## XML 文件检查清单
+
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 语法正确 | xmllint 通过 | P0 | ⬜ |
+| 2 | 编码声明 | <?xml encoding="UTF-8"?> | P2 | ⬜ |
+| 3 | 无敏感信息 | 不含明文密码 | P0 | ⬜ |
+| 4 | Schema 验证 | 符合 XSD 定义 | P1 | ⬜ |
+| 5 | 命名空间正确 | xmlns 声明正确 | P1 | ⬜ |
+```
+
+---
+
+## 📋 Phase 4: 数据库脚本检查
+
+### 4.1 SQL 迁移脚本检查
+
+```markdown
+## SQL 迁移脚本检查清单
+
+### 安全检查
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 无 DROP DATABASE | 禁止删除数据库 | P0 | ⬜ |
+| 2 | DROP TABLE 有确认 | 有注释说明原因 | P0 | ⬜ |
+| 3 | 有回滚脚本 | down migration 存在 | P1 | ⬜ |
+| 4 | 无 TRUNCATE | 或有明确说明 | P0 | ⬜ |
+| 5 | 无硬编码数据 | 测试数据不在迁移中 | P1 | ⬜ |
+
+### 性能检查
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 大表操作分批 | 超过 100 万行分批处理 | P1 | ⬜ |
+| 2 | 索引创建 CONCURRENTLY | 不锁表 | P1 | ⬜ |
+| 3 | 有执行时间估算 | 注释中说明 | P2 | ⬜ |
+| 4 | 向后兼容 | 旧代码仍能运行 | P0 | ⬜ |
+
+### 数据完整性
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 外键约束正确 | ON DELETE 行为明确 | P1 | ⬜ |
+| 2 | 默认值合理 | NOT NULL 有 DEFAULT | P1 | ⬜ |
+| 3 | 索引合理 | 查询字段有索引 | P2 | ⬜ |
+| 4 | 字段类型正确 | 不用 VARCHAR 存数字 | P2 | ⬜ |
+```
+
+### 4.2 种子数据脚本检查
+
+```markdown
+## 种子数据检查清单
+
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 幂等性 | 重复执行不报错 | P1 | ⬜ |
+| 2 | 无生产数据 | 不含真实用户信息 | P0 | ⬜ |
+| 3 | 外键顺序正确 | 先插入父表 | P1 | ⬜ |
+| 4 | 数据量合理 | 开发环境数据量适中 | P3 | ⬜ |
+```
+
+---
+
+## 📋 Phase 5: 脚本文件检查
+
+### 5.1 Shell 脚本检查
+
+```markdown
+## Shell 脚本检查清单
+
+### 安全检查
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | 无 rm -rf / | 禁止危险删除 | P0 | ⬜ |
+| 2 | 变量引用加引号 | "$VAR" 而非 $VAR | P1 | ⬜ |
+| 3 | 无硬编码密码 | 使用环境变量 | P0 | ⬜ |
+| 4 | 权限检查 | 执行前检查权限 | P2 | ⬜ |
+
+### 健壮性检查
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | set -e | 错误时退出 | P1 | ⬜ |
+| 2 | set -u | 未定义变量报错 | P1 | ⬜ |
+| 3 | 错误处理 | trap 或 || 处理 | P1 | ⬜ |
+| 4 | 日志输出 | 关键步骤有日志 | P2 | ⬜ |
+| 5 | 参数验证 | 检查必需参数 | P1 | ⬜ |
+```
+
+**检查命令**:
+```bash
+# 使用 shellcheck 检查
+shellcheck scripts/*.sh
+
+# 检查危险命令
+grep -rn "rm -rf\|dd if=\|mkfs\|:(){" --include="*.sh"
+```
+
+### 5.2 Python 脚本检查
+
+```markdown
+## Python 脚本检查清单
+
+| # | 检查项 | 通过标准 | 严重级别 | 结果 |
+|---|--------|----------|----------|------|
+| 1 | shebang 正确 | #!/usr/bin/env python3 | P2 | ⬜ |
+| 2 | 编码声明 | # -*- coding: utf-8 -*- | P3 | ⬜ |
+| 3 | main guard | if __name__ == "__main__" | P2 | ⬜ |
+| 4 | 异常处理 | try-except 存在 | P1 | ⬜ |
+| 5 | 日志而非 print | 使用 logging 模块 | P2 | ⬜ |
+| 6 | 参数解析 | 使用 argparse | P2 | ⬜ |
+```
+
+---
+
+## 📋 Phase 6: 配置文件一致性检查
+
+### 6.1 多环境配置一致性
+
+```markdown
+## 多环境配置检查
+
+### 配置文件对比
+| 配置项 | .env.development | .env.staging | .env.production | 一致? |
+|--------|------------------|--------------|-----------------|-------|
+| DATABASE_URL | ✅ | ✅ | ✅ | ✅ |
+| REDIS_URL | ✅ | ✅ | ❌ 缺失 | ❌ |
+| API_KEY | ✅ | ✅ | ✅ | ✅ |
+| DEBUG | true | false | false | ✅ |
+| LOG_LEVEL | debug | info | warn | ✅ |
+
+### 检查命令
+```bash
+# 对比不同环境的配置键
+diff <(grep -oE "^[A-Z_]+=" .env.development | sort) \
+     <(grep -oE "^[A-Z_]+=" .env.production | sort)
+```
+```
+
+### 6.2 前后端配置一致性
+
+```markdown
+## 前后端配置一致性检查
+
+| 配置项 | 后端配置 | 前端配置 | 一致? |
+|--------|----------|----------|-------|
+| API_BASE_URL | http://api.example.com | http://api.example.com | ✅ |
+| WS_URL | ws://api.example.com/ws | wss://api.example.com/ws | ❌ 协议不同 |
+| TIMEOUT | 30000 | 30000 | ✅ |
+| MAX_UPLOAD_SIZE | 10MB | 10MB | ✅ |
+| ALLOWED_ORIGINS | ["http://localhost:3000"] | - | ⚠️ 需验证 |
+```
+
+---
+
+## 📊 非代码文件审查汇总模板
+
+```markdown
+## 非代码文件审查报告
+
+### 环境配置
+| 文件 | 安全 | 完整性 | 问题 |
+|------|------|--------|------|
+| .env | ⚠️ | ✅ | 未在 .gitignore |
+| Dockerfile | ✅ | ⚠️ | 缺少 HEALTHCHECK |
+| docker-compose.yml | ✅ | ✅ | - |
+| .github/workflows/*.yml | ✅ | ✅ | - |
+
+### 包管理
+| 文件 | 安全 | 依赖分类 | 问题 |
+|------|------|----------|------|
+| package.json | ⚠️ 2 漏洞 | ✅ | 需要 npm audit fix |
+| requirements.txt | ✅ | ✅ | - |
+
+### 数据文件
+| 文件 | 语法 | 敏感信息 | 问题 |
+|------|------|----------|------|
+| config/*.json | ✅ | ✅ | - |
+| *.yaml | ✅ | ❌ | 包含明文密码 |
+
+### 数据库脚本
+| 文件 | 安全 | 回滚 | 问题 |
+|------|------|------|------|
+| migrations/*.sql | ⚠️ | ✅ | DROP TABLE 需确认 |
+| seeds/*.sql | ✅ | N/A | - |
+
+### 脚本文件
+| 文件 | 安全 | 健壮性 | 问题 |
+|------|------|--------|------|
+| scripts/*.sh | ✅ | ⚠️ | 缺少 set -e |
+| scripts/*.py | ✅ | ✅ | - |
+
+### 问题汇总
+| # | 文件 | 问题 | 严重级别 | 修复建议 |
+|---|------|------|----------|----------|
+| 1 | .env | 未在 .gitignore | P0 | 添加到 .gitignore |
+| 2 | config.yaml | 包含明文密码 | P0 | 使用环境变量 |
+| 3 | deploy.sh | 缺少 set -e | P1 | 添加错误处理 |
+```
+
+---
+
+## 🔧 自动化检查脚本
+
+```bash
+#!/bin/bash
+# non-code-files-check.sh
+
+echo "=== 非代码文件检查 ==="
+
+echo ""
+echo "--- 1. 敏感信息检查 ---"
+echo "检查 .env 文件:"
+if [ -f ".env" ]; then
+  if git ls-files --error-unmatch .env 2>/dev/null; then
+    echo "❌ .env 在 Git 中！"
+  else
+    echo "✅ .env 不在 Git 中"
+  fi
+fi
+
+echo ""
+echo "检查硬编码密钥:"
+grep -rn "password\s*=\|api_key\s*=\|secret\s*=" \
+  --include="*.json" --include="*.yaml" --include="*.yml" \
+  --include="*.xml" --include="*.properties" \
+  | grep -v "example\|template\|sample" | head -10
+
+echo ""
+echo "--- 2. JSON 语法检查 ---"
+find . -name "*.json" -not -path "./node_modules/*" -exec sh -c '
+  python -m json.tool "$1" > /dev/null 2>&1 || echo "❌ 语法错误: $1"
+' _ {} \;
+
+echo ""
+echo "--- 3. YAML 语法检查 ---"
+find . -name "*.yaml" -o -name "*.yml" | grep -v node_modules | while read f; do
+  python -c "import yaml; yaml.safe_load(open('$f'))" 2>&1 | grep -q Error && echo "❌ 语法错误: $f"
+done
+
+echo ""
+echo "--- 4. Shell 脚本检查 ---"
+if command -v shellcheck &> /dev/null; then
+  find . -name "*.sh" -exec shellcheck {} \; 2>&1 | head -20
+else
+  echo "shellcheck 未安装，跳过"
+fi
+
+echo ""
+echo "--- 5. 依赖安全检查 ---"
+if [ -f "package.json" ]; then
+  echo "npm audit:"
+  npm audit --audit-level=high 2>/dev/null | head -10
+fi
+
+if [ -f "requirements.txt" ]; then
+  echo "pip-audit:"
+  pip-audit 2>/dev/null | head -10 || echo "pip-audit 未安装"
+fi
+
+echo ""
+echo "=== 检查完成 ==="
+```