# 随机附赠四件：效率闸出厂配齐 ## 概述 往期拆的件，要么来自 anthropics/skills 官方仓库（docx、pdf 那批模板），要么来自市场上的社区件。这期拆的四个不一样：**code-review、simplify、verify、security-review**——它们不进仓库、不上市场、不收 Star，而是直接缝在 Claude Code 本体里，随版本号一起发货。每个用户的安装里都躺着一份，绝大多数人却从没打开看过。 本期材料是一手解包：通过 Skill 工具把 code-review、simplify、verify 三个件的 SKILL.md 全文调进了上下文，security-review 拿到了加载实录。本机捆绑目录显示版本号为 2.1.161。核心发现一句话：**审查、重构、验证、安全四道闸，出厂就已经配齐，而且设计水平比大多数社区件高一截**——多 Agent 扇出、投票验证、禁止跑测试的教条、加载即执行的活命令，四件四种写法，几乎没有重复的套路。 ## 评测对比表 | 维度（权重） | code-review | simplify | verify | security-review | |---|---|---|---|---| | 功能完整度（25%） | ★★★★★ | ★★★★ | ★★★★ | ★★★☆* | | 设计质量（25%） | ★★★★★ | ★★★★ | ★★★★★ | ★★★* | | 实战效果（20%） | ★★★★ | ★★★★ | ★★★★ | ★★★* | | 上手难度（15%） | ★★★★★ | ★★★★★ | ★★★☆ | ★★★★ | | 迭代可见性（15%）† | ★★★ | ★★★ | ★★★ | ★★★ | | **加权总分** | **4.50** | **4.00** | **3.95** | **3.28*** | \* security-review 本期只拿到加载实录，未拆到全文，分数按部分证据保守给出。 † 四件均为内置件，不上市场、不收 Star，「社区活跃度」维度对它们失效，改评「随本体迭代的可见性」——本机无外部数据佐证，统一保守给分，此列仅供参考。 ## 先说这批件的出身 verify 被调起时，报了它的安装路径，长这样： ``` /tmp/claude-1000/bundled-skills/2.1.161/e15898cf01f5d02dc9f5ea8f27ce65f6/verify ``` 关键词是 `bundled-skills`——**捆绑件**。它和官方模板件是两个物种：模板件住在 GitHub 仓库里，你能提 PR、能 fork、能看到 Issue 区吵什么；捆绑件跟 Claude Code 本体一个版本号，本体更新它才更新，没有独立的社区入口。这也解释了为什么市面上拆它的文章几乎为零——聚合站爬不到它，榜单上看不见它，但它就装在你机器上。 顺带一个对读者实用的发现：**任何 Skill 的原文都是可以读的**。调用一次，全文就进上下文；bundled 目录就在 `/tmp` 下面摆着。想研究别人怎么写 SKILL.md，最硬的材料从来不在教程里，在安装目录里。 ## 头牌深拆：code-review，一条七进二出的漏斗 调起 code-review，第一行就是它的作战计划： > `high effort → 3+4 angles × 6 candidates → 1-vote verify (recall-biased) → ≤10 findings` 翻译一下：七个查找角度、每个角度最多交六条候选、每条候选一票验证、最终最多输出十条。这是一条设计得相当工业化的漏斗。逐段看。 **Phase 0：先把范围钉死。** 第一件事不是分析，是拿 diff——`git diff @{upstream}...HEAD`，没有上游就退到 `main...HEAD`，再不行 `HEAD~1`，有未提交改动还要叠加 `git diff HEAD`。件一上来就定义了「审查什么」的唯一答案：**diff 即范围**。没有 diff 就没有审查，这句潜台词贯穿全部四件。 **Phase 1：七个角度，三个找 bug，三个找清理，一个看深度。** 三个正确性角度的分工很讲究： - **Angle A 逐行扫描**：读 diff 的每一行，再读每一处改动所在函数的全文。注意这句：「未改动行上的 bug 也在范围内——是这个 PR 把它们重新暴露出来的」。这是很多社区审查件没有的意识：改动的函数是整体入场，不是只有新增行入场。 - **Angle B 删除行为审计**：对每一行被删掉的代码，先说出它原来守着什么不变量，再去新代码里找这个不变量在哪重建。找不到，就是一条候选——被删的守卫、丢掉的错误路径、收窄的校验、删错了的测试。**盯着「删了什么」审，比盯着「加了什么」审，抓回归准得多**，这个角度在社区件里罕见。 - **Angle C 跨文件追踪**：对每个被改的函数，Grep 它的全部调用方，逐个检查改动是否破坏调用点——新前置条件、变的返回结构、新抛的异常、时序依赖。 剩下四个是清理角度：**Reuse**（新代码重复造了库里已有的轮子，要点名该用的现成 helper）、**Simplification**（冗余状态、复制粘贴变体、死代码）、**Efficiency**（串行本可并行、重复 I/O、热路径上的阻塞活）、**Altitude**（改动是不是打在正确深度——「共享设施上叠特例，说明修得不够深」）。最后这个角度把「代码味道」上升到了架构判断，一个审查件敢让 Agent 谈 altitude，是有点底气的。 **Phase 1 还有一条容易被忽略的军规**： > Pass every candidate with a nameable failure scenario through — finders that silently drop half-believed candidates bypass the verify step and are the dominant cause of misses. 说人话：查找员不许自己偷偷毙掉半信半疑的候选。你犹豫，交给验证员去毙。漏报的头号原因就是查找员自作主张——这条规则直接瞄准了 LLM 评审的真实病灶。 **Phase 2：一票验证，偏置方向反直觉。** 每条去重后的候选派一个验证员，只给三种裁决：CONFIRMED / PLAUSIBLE / REFUTED。关键是默认值—— > **PLAUSIBLE by default** — 并发竞争、罕见但可达路径上的空指针、falsy 零被当缺失、边界差一、重试风暴，这些一律 PLAUSIBLE。 REFUTED 的门槛极高：必须「能从代码里构造出来」——引用真实代码行证明它事实错误，或用类型/常量/不变量证明它不可能，或指出本 diff 里已有守卫。CONFIRMED 和 PLAUSIBLE 都留下。**这是一台故意调偏的机器：宁可误报，不可漏报**，理由写在开头——「这个档位，抓真 bug 比避免误报重要」。 **出口也锁死了**：最多十条 JSON，按严重度排序，正确性 bug 永远优先于清理项占坑；一条没活下来就返回 `[]`——不许硬凑，不许把风格意见凑数。 ## simplify：同一套刀，换一个出口 把 simplify 全文调出来对读，会撞见一个非常诚实的事实：它的四个清理 Agent——Reuse、Simplification、Efficiency、Altitude——**和 code-review 的四个清理角度是同一套文本，一字不差**。这不是抄袭，这是同源设计：四个角度只写了一遍，两个件共用。 区别在出口。code-review 的清理角度只**报**不**改**；simplify 的第二阶段标题就叫「Apply the fixes」——等四个 Agent 跑完、去重、然后**直接动手改**。改的边界也写得很克制： > Skip any finding whose fix would change intended behavior, require changes well outside the reviewed diff, or that you judge to be a false positive — note the skip rather than arguing with it. 改了什么、跳过什么，最后必须交代清单。不许跳得不明不白。 更好玩的是两件互相点名划界。simplify 开篇第二句就是： > Do not look for correctness bugs — that is what `/code-review` is for. 一句「抓 bug 归隔壁」，把职责切得干干净净。**审查件是报告出口，重构件是修复出口，共用同一双眼睛**——这个「一刀两用」的模式，比市场上那种每个件都自带一套重复评审话术的写法，省上下文、省令牌，还保证了两件结论不打架。 ## verify：全文最硬的教条，四个「不许」 verify 是四件里写得最有性格的，开篇就是一句宣言： > **Verification is runtime observation.** You build the app, run it, drive it to where the changed code executes, and capture what you see. That capture is your evidence. Nothing else is. 然后是三连禁令，每条都踩在开发者的默认习惯上： - **不许跑测试，不许 typecheck**——「跑测试只能证明你会跑 CI，不能证明改动有用。不当热身，不为保险，不当回归扫尾。」 - **不许 import-and-call**——「import 里那个函数再 console.log 一下，那是你自己写的单元测试。应用根本没跑过。」 - **内部函数不算 surface**——必须顺着调用链走到终端、socket 或窗口，去真正的接触面观察。 它甚至给了一张「接触面速查表」：CLI 对终端、服务对 socket、GUI 对像素、库对包边界、Agent 配置对 Agent 本身、CI workflow 对 Actions。改了什么，就到哪张桌子上去取证。纯文档、纯类型声明、纯测试的 diff，直接判 **SKIP**——「没东西可跑不是事故，一行说明就行」。 然后是本件最独特的设计：**强制至少一个探针**。报告模板里写着： > 🔍 marks a probe — a step off the claim's happy path... A Steps list that's all ✅ and no 🔍 is a happy-path replay. 只走快乐路径的验证不算验证。它还配套给了一张捣乱清单：新参数就传空值、传两次、和冲突参数组合、打错字看报错提不提它；交互界面就 Ctrl-C 打断、拖窗口、粘贴乱码、狂按键；状态就做两遍、带着脏状态做、开两个会话同时做。**「探针没炸也是一步」**——炸没炸都写进报告，因为「作者没测过」本身就是信息。 裁决体系也堵死了和稀泥的路：PASS / FAIL / BLOCKED / SKIP 四档，**没有部分通过**——「3 of 4 passed 就是 FAIL，除非第四个被解释掉」。最后一句压舱： > **When in doubt, FAIL.** False PASS ships broken code; false FAIL costs one more human look. 误放行上的是坏代码，误拦下的只多花一次人眼。这笔账算得很清楚。 还有一个容易被略过的生态钩子：verify 开工前先 `ls .claude/skills/`，找仓库自带的 `verifier-*` 件——那是这个仓库自己的取证协议（录屏、截图），仓库里没有就冷启动，限时十五分钟，卡住了输出一份 `/run-skill-generator` 提示词让你生成专属 verifier。**「怎么验」这件事被下放给了每个仓库自带，verify 只负责调度**。这是把 Skill 生态往「仓库自带验证协议」方向推的一手。 ## security-review：只拿到门厅的一个件 四件里唯一没拆成全文的是 security-review。调起它时，SKILL.md 里一段内嵌的活命令当场执行了： ``` !`git log --no-decorate origin/HEAD...` fatal: not a git repository ``` 这个 `!` 前缀命令是**加载期执行**的——件的元数据里埋着真命令，调起即取 git 历史作为审查范围。两个信息从这里反推出来：其一，它和另外三件一样以 git 上下文为输入起点，而且硬绑定远程分支；其二，在非 git 目录里它直接开不了工。本期到此为止，全文拆解留待后续——不确定的细节，这里一个字不多写。 ## 四件共享的家族基因 对读完四个件，能提炼出几条出厂件的共同写法，想写自己第一个 Skill 的读者可以直接抄： 1. **diff 即输入**。四件全以 git 改动为起点，不搞「整个仓库帮我看看」这种无法收敛的任务。 2. **多视角扇出，单票裁决**。不指望一个 Agent 一次看对，而是让多个带不同任务书的 Agent 并行找，再统一验证。code-review 七个角度、simplify 四个角度，全是这个骨架。 3. **偏置写进明文**。code-review 明说「宁可误报」，verify 明说「存疑判 FAIL」。不留给模型现场猜「该偏向哪边」。 4. **出口锁死格式与数量**。十条以内的 JSON、四种裁决、必交代的 skip 清单——输出不可数，质量就不可控。 5. **互相引用划界**。simplify 第一段就把抓 bug 的活推给 code-review。家族内分工写在件的正文里，而不是靠用户猜。 ```mermaid flowchart TD SL["/code-review 发起"] --> P0["收集diff范围"] P0 --> P1A["逐行扫diff"] P0 --> P1B["删除行为审计"] P0 --> P1C["跨文件追踪"] P0 --> P1D["清理与深度四角度"] P1A --> POOL["候选池"] P1B --> POOL P1C --> POOL P1D --> POOL POOL --> DEDUP["近重去重"] DEDUP --> VER["单票验证"] VER --> KEEP["可疑即保留"] VER --> DROP["可证伪才丢弃"] KEEP --> OUT["十条内JSON"] ``` ## 安装与使用 零安装，本体自带，斜杠即用： ```bash /code-review # 审当前分支相对上游的全部改动 /code-review high # 指定力度：low/medium 少而准，high 多而广 /code-review --fix # 审完把结论直接应用到工作区 /code-review --comment # 结论贴成 PR 行内评论 /simplify # 四路清理审查并直接动手改 /verify # 运行时验证最近的改动，禁止拿跑测试交差 /security-review # 安全审查（需在 git 仓库内使用） ``` `--fix`、`--comment` 与 effort 档位的行为说明，来自本体对这三个件的内置描述。 ## 推荐排行榜 - **设计质量奖：verify**。三连禁令、接触面速查表、强制探针、四档裁决，教条密度全场最高，每一条都打在真实工作流的坏习惯上。 - **编排奖：code-review**。7×6 候选池加一票验证的漏斗，加「删除行为审计」这种稀缺角度，是四件里工程化程度最高的一个。 - **即用奖：simplify**。一条命令、改完给清单，上手成本为零，适合当每个人接触这批出厂件的第一站。 - **最神秘奖：security-review**。加载即跑命令的设计全场独一份，可惜本期只到门厅。 - **综合首推：code-review**，加权 4.50。如果你只试一个，试它。 这期的结论可以一句话带走：**市场上的件在卷花样，出厂的件在卷方法论**。四个随机附赠的件，把「审查、重构、验证」各自的方法论写成了可执行文本——它们不收 Star，但值得每个写 SKILL.md 的人逐行读一遍。 ## 参考来源 1. [verify SKILL.md 全文] `/tmp/claude-1000/bundled-skills/2.1.161/e15898cf01f5d02dc9f5ea8f27ce65f6/verify` — 本机捆绑目录直读，含版本号 2.1.161 与 examples/ 子文件引用 2. [code-review SKILL.md 全文] 经 Skill 工具从本机本体加载 — 七角度漏斗与一票验证原文 3. [simplify SKILL.md 全文] 经 Skill 工具从本机本体加载 — 四清理角度与 Apply the fixes 原文 4. [security-review 加载实录] 本机触发 — 内嵌命令 `git log --no-decorate origin/HEAD...` 在非 git 目录的报错实录 5. [本体内置描述] 本环境 harness 对 code-review/simplify/verify 的能力描述 — `--fix`/`--comment` 参数与 effort 档位说明 *说明：本期全部一手材料来自本机解包直读，未使用外部网页来源；2.1.161 为本机捆绑目录所示版本号，未经官方页面比对。* > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。