往期拆的件，要么来自 anthropics/skills 官方仓库（docx、pdf 那批模板），要么来自市场上的社区件。这期拆的四个不一样：code-review、simplify、verify、security-review——它们不进仓库、不上市场、不收 Star，而是直接缝在 Claude Code 本体里，随版本号一起发货。每个用户的安装里都躺着一份，绝大多数人却从没打开看过。
本期材料是一手解包：通过 Skill 工具把 code-review、simplify、verify 三个件的 SKILL.md 全文调进了上下文，security-review 拿到了加载实录。本机捆绑目录显示版本号为 2.1.161。核心发现一句话：审查、重构、验证、安全四道闸，出厂就已经配齐，而且设计水平比大多数社区件高一截——多 Agent 扇出、投票验证、禁止跑测试的教条、加载即执行的活命令，四件四种写法，几乎没有重复的套路。
| 维度（权重） | code-review | simplify | verify | security-review |
|---|---|---|---|---|
| 功能完整度（25%） | ★★★★★ | ★★★★ | ★★★★ | ★★★☆* |
| 设计质量（25%） | ★★★★★ | ★★★★ | ★★★★★ | ★★★* |
| 实战效果（20%） | ★★★★ | ★★★★ | ★★★★ | ★★★* |
| 上手难度（15%） | ★★★★★ | ★★★★★ | ★★★☆ | ★★★★ |
| 迭代可见性（15%）† | ★★★ | ★★★ | ★★★ | ★★★ |
| 加权总分 | 4.50 | 4.00 | 3.95 | 3.28* |
* security-review 本期只拿到加载实录，未拆到全文，分数按部分证据保守给出。 † 四件均为内置件，不上市场、不收 Star，「社区活跃度」维度对它们失效，改评「随本体迭代的可见性」——本机无外部数据佐证，统一保守给分，此列仅供参考。
verify 被调起时，报了它的安装路径，长这样：
/tmp/claude-1000/bundled-skills/2.1.161/e15898cf01f5d02dc9f5ea8f27ce65f6/verify
关键词是 bundled-skills——捆绑件。它和官方模板件是两个物种：模板件住在 GitHub 仓库里，你能提 PR、能 fork、能看到 Issue 区吵什么；捆绑件跟 Claude Code 本体一个版本号，本体更新它才更新，没有独立的社区入口。这也解释了为什么市面上拆它的文章几乎为零——聚合站爬不到它，榜单上看不见它，但它就装在你机器上。
顺带一个对读者实用的发现：任何 Skill 的原文都是可以读的。调用一次，全文就进上下文；bundled 目录就在 /tmp 下面摆着。想研究别人怎么写 SKILL.md，最硬的材料从来不在教程里，在安装目录里。
调起 code-review，第一行就是它的作战计划：
high effort → 3+4 angles × 6 candidates → 1-vote verify (recall-biased) → ≤10 findings
翻译一下：七个查找角度、每个角度最多交六条候选、每条候选一票验证、最终最多输出十条。这是一条设计得相当工业化的漏斗。逐段看。
Phase 0：先把范围钉死。 第一件事不是分析，是拿 diff——git diff @{upstream}...HEAD，没有上游就退到 main...HEAD，再不行 HEAD~1，有未提交改动还要叠加 git diff HEAD。件一上来就定义了「审查什么」的唯一答案：diff 即范围。没有 diff 就没有审查，这句潜台词贯穿全部四件。
Phase 1：七个角度，三个找 bug，三个找清理，一个看深度。 三个正确性角度的分工很讲究：
剩下四个是清理角度：Reuse（新代码重复造了库里已有的轮子，要点名该用的现成 helper）、Simplification（冗余状态、复制粘贴变体、死代码）、Efficiency（串行本可并行、重复 I/O、热路径上的阻塞活）、Altitude（改动是不是打在正确深度——「共享设施上叠特例，说明修得不够深」）。最后这个角度把「代码味道」上升到了架构判断，一个审查件敢让 Agent 谈 altitude，是有点底气的。
Phase 1 还有一条容易被忽略的军规：
Pass every candidate with a nameable failure scenario through — finders that silently drop half-believed candidates bypass the verify step and are the dominant cause of misses.
说人话：查找员不许自己偷偷毙掉半信半疑的候选。你犹豫，交给验证员去毙。漏报的头号原因就是查找员自作主张——这条规则直接瞄准了 LLM 评审的真实病灶。
Phase 2：一票验证，偏置方向反直觉。 每条去重后的候选派一个验证员，只给三种裁决：CONFIRMED / PLAUSIBLE / REFUTED。关键是默认值——
PLAUSIBLE by default — 并发竞争、罕见但可达路径上的空指针、falsy 零被当缺失、边界差一、重试风暴，这些一律 PLAUSIBLE。
REFUTED 的门槛极高：必须「能从代码里构造出来」——引用真实代码行证明它事实错误，或用类型/常量/不变量证明它不可能，或指出本 diff 里已有守卫。CONFIRMED 和 PLAUSIBLE 都留下。这是一台故意调偏的机器：宁可误报，不可漏报，理由写在开头——「这个档位，抓真 bug 比避免误报重要」。
出口也锁死了：最多十条 JSON，按严重度排序，正确性 bug 永远优先于清理项占坑；一条没活下来就返回 []——不许硬凑，不许把风格意见凑数。
把 simplify 全文调出来对读，会撞见一个非常诚实的事实：它的四个清理 Agent——Reuse、Simplification、Efficiency、Altitude——和 code-review 的四个清理角度是同一套文本，一字不差。这不是抄袭，这是同源设计：四个角度只写了一遍，两个件共用。
区别在出口。code-review 的清理角度只报不改；simplify 的第二阶段标题就叫「Apply the fixes」——等四个 Agent 跑完、去重、然后直接动手改。改的边界也写得很克制：
Skip any finding whose fix would change intended behavior, require changes well outside the reviewed diff, or that you judge to be a false positive — note the skip rather than arguing with it.
改了什么、跳过什么，最后必须交代清单。不许跳得不明不白。
更好玩的是两件互相点名划界。simplify 开篇第二句就是：
Do not look for correctness bugs — that is what
/code-reviewis for.
一句「抓 bug 归隔壁」，把职责切得干干净净。审查件是报告出口，重构件是修复出口，共用同一双眼睛——这个「一刀两用」的模式，比市场上那种每个件都自带一套重复评审话术的写法，省上下文、省令牌，还保证了两件结论不打架。
verify 是四件里写得最有性格的，开篇就是一句宣言：
Verification is runtime observation. You build the app, run it, drive it to where the changed code executes, and capture what you see. That capture is your evidence. Nothing else is.
然后是三连禁令，每条都踩在开发者的默认习惯上：
它甚至给了一张「接触面速查表」：CLI 对终端、服务对 socket、GUI 对像素、库对包边界、Agent 配置对 Agent 本身、CI workflow 对 Actions。改了什么，就到哪张桌子上去取证。纯文档、纯类型声明、纯测试的 diff，直接判 SKIP——「没东西可跑不是事故，一行说明就行」。
然后是本件最独特的设计：强制至少一个探针。报告模板里写着：
🔍 marks a probe — a step off the claim's happy path... A Steps list that's all ✅ and no 🔍 is a happy-path replay.
只走快乐路径的验证不算验证。它还配套给了一张捣乱清单：新参数就传空值、传两次、和冲突参数组合、打错字看报错提不提它；交互界面就 Ctrl-C 打断、拖窗口、粘贴乱码、狂按键；状态就做两遍、带着脏状态做、开两个会话同时做。「探针没炸也是一步」——炸没炸都写进报告，因为「作者没测过」本身就是信息。
裁决体系也堵死了和稀泥的路：PASS / FAIL / BLOCKED / SKIP 四档，没有部分通过——「3 of 4 passed 就是 FAIL，除非第四个被解释掉」。最后一句压舱：
When in doubt, FAIL. False PASS ships broken code; false FAIL costs one more human look.
误放行上的是坏代码，误拦下的只多花一次人眼。这笔账算得很清楚。
还有一个容易被略过的生态钩子：verify 开工前先 ls .claude/skills/，找仓库自带的 verifier-* 件——那是这个仓库自己的取证协议（录屏、截图），仓库里没有就冷启动，限时十五分钟，卡住了输出一份 /run-skill-generator 提示词让你生成专属 verifier。「怎么验」这件事被下放给了每个仓库自带，verify 只负责调度。这是把 Skill 生态往「仓库自带验证协议」方向推的一手。
四件里唯一没拆成全文的是 security-review。调起它时，SKILL.md 里一段内嵌的活命令当场执行了：
!`git log --no-decorate origin/HEAD...`
fatal: not a git repository
这个 ! 前缀命令是加载期执行的——件的元数据里埋着真命令，调起即取 git 历史作为审查范围。两个信息从这里反推出来：其一，它和另外三件一样以 git 上下文为输入起点，而且硬绑定远程分支；其二，在非 git 目录里它直接开不了工。本期到此为止，全文拆解留待后续——不确定的细节，这里一个字不多写。
对读完四个件，能提炼出几条出厂件的共同写法，想写自己第一个 Skill 的读者可以直接抄：
flowchart TD
SL["/code-review 发起"] --> P0["收集diff范围"]
P0 --> P1A["逐行扫diff"]
P0 --> P1B["删除行为审计"]
P0 --> P1C["跨文件追踪"]
P0 --> P1D["清理与深度四角度"]
P1A --> POOL["候选池"]
P1B --> POOL
P1C --> POOL
P1D --> POOL
POOL --> DEDUP["近重去重"]
DEDUP --> VER["单票验证"]
VER --> KEEP["可疑即保留"]
VER --> DROP["可证伪才丢弃"]
KEEP --> OUT["十条内JSON"]
零安装，本体自带，斜杠即用：
/code-review # 审当前分支相对上游的全部改动
/code-review high # 指定力度：low/medium 少而准，high 多而广
/code-review --fix # 审完把结论直接应用到工作区
/code-review --comment # 结论贴成 PR 行内评论
/simplify # 四路清理审查并直接动手改
/verify # 运行时验证最近的改动，禁止拿跑测试交差
/security-review # 安全审查（需在 git 仓库内使用）
--fix、--comment 与 effort 档位的行为说明，来自本体对这三个件的内置描述。
这期的结论可以一句话带走：市场上的件在卷花样，出厂的件在卷方法论。四个随机附赠的件，把「审查、重构、验证」各自的方法论写成了可执行文本——它们不收 Star，但值得每个写 SKILL.md 的人逐行读一遍。
/tmp/claude-1000/bundled-skills/2.1.161/e15898cf01f5d02dc9f5ea8f27ce65f6/verify — 本机捆绑目录直读，含版本号 2.1.161 与 examples/ 子文件引用git log --no-decorate origin/HEAD... 在非 git 目录的报错实录--fix/--comment 参数与 effort 档位说明说明：本期全部一手材料来自本机解包直读，未使用外部网页来源；2.1.161 为本机捆绑目录所示版本号，未经官方页面比对。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。