tiered-audit
运行带门控的三层级代码库审计（Git历史、定向扫描、全面审查）
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：tiered-audit。 它的用途是：运行带门控的三层级代码库审计（Git历史、定向扫描、全面审查） 完整的 Skill 内容见：https://321skill.com/skills/tiered-audit-x-5/raw/index.md 请读取该页面内容，如果是 SKILL.md 格式直接安装，如果是 README 提炼核心 prompt 后安装。
提示词包含完整的 Skill 内容链接，AI 读取后即可完成安装。你也可以 查看完整内容 确认无误。
使用示例
“请对当前feature分支的代码运行三层级审计，如果发现任何高危漏洞或合规问题就阻止合并。” 它会自动拉取代码，先分析Git历史中的变更，然后对变更文件进行定向安全扫描，如果发现问题达到阈值，则进一步执行全量代码审查，并最终给出是否通过门控的结论和详细报告。
介绍
该技能旨在解决代码库在交付或合并前，缺乏渐进式、可控制的自动化安全与质量审计问题。它通过设置门控，将审计过程分为三个层级：首先快速扫描Git提交历史，识别高风险变更；然后对高风险区域进行针对性扫描；最后，在必要时触发对整个代码库的全面审查，从而在保障审计深度的同时，优化执行效率。
使用时，您需要配置审计规则和触发条件（门控）。技能会按照预设流程自动执行：第一层分析Git历史，筛选出需要深入检查的提交；第二层对筛选出的代码进行定向扫描（如检查硬编码密钥、特定漏洞模式）；若前两层发现问题或满足特定阈值，则自动进入第三层，对整个项目代码进行更全面的静态分析和合规检查。
它非常适合需要将代码质量与安全检查嵌入CI/CD流程的团队，特别是后端开发、运维工程师和测试工程师，用于在代码合并或部署前自动拦截潜在风险。对于管理复杂项目、有严格合规要求（如金融、安全敏感行业）的团队尤为有用。
建议将此技能集成到您的持续集成流水线中，作为代码合并请求（Pull Request）的强制检查步骤。注意，其效果高度依赖于您配置的审计规则和门控阈值，初次使用建议从较宽松的规则开始，逐步根据团队实际情况调整，避免因误报过多而阻塞正常开发流程。同时，它主要进行静态分析，对于运行时漏洞和逻辑缺陷的检测能力有限。
核心特点
与单一、全量扫描的代码审计工具不同，本技能采用“三层级+门控”机制，能根据代码变更的风险程度动态调整审计范围，在保证关键问题不被遗漏的前提下，显著减少不必要的全量扫描耗时和资源消耗。
注意事项
不适合对代码进行实时、交互式的深度逻辑漏洞挖掘或运行时行为分析。
常见问题
这个技能能检查哪些类型的代码问题？
通常可配置检查硬编码密钥、敏感信息泄露、代码规范、已知漏洞模式、许可证合规性等，具体取决于集成的扫描工具和规则集。
如何设置“门控”触发全面审查？
门控通常基于前两层扫描的结果，例如：当发现超过设定数量的高危问题，或特定文件被修改时，自动触发第三层全面审查。
给 AI 助手的安装指引
如果你的 AI 编程助手（Claude Code、Cursor、TRAE 等）能看到这个页面，把下面这段发给它即可自动完成安装：
请访问 https://321skill.com/skills/tiered-audit-x-5/raw/index.md 读取 tiered-audit 的原始 Skill 定义（Markdown 格式），按其中说明在我的环境里完成安装和配置。
AI 可直接读取的原始 Markdown 地址：/skills/tiered-audit-x-5/raw/index.md（查看排版版本）