注册
Claude

Claude Code 代码审查：/code-review（别名 /review）和 /security-review 怎么用，参数、目标和 --fix 的注意事项

按 Claude Code 官方文档讲 /code-review（别名 /review）的效果级别、审查目标、--fix 与 --comment，/security-review 审查什么、要什么前提，以及 /simplify、/verify、/diff 的分工，附四段可复制提示词。

NNathaniel bigo··原创首发·AI 辅助撰写
11 分钟读完
资料核对于 2026-11-05 · 依据官方文档与公开资料整理 Pro 账号
本文根据 Claude Code 官方文档《Commands》《Review locally with /code-review》《Best practices for Claude Code》《Checkpointing》整理，资料核对于 2026-11-05。配图为本站整理的示意图，不是界面截图。本站（bigolab.com）不是 Anthropic 官方网站。

适用于谁

  • 想让 Claude Code 在提交或开 PR 之前先审一遍代码的人；
  • 看过旧教程里 /review 的用法，发现行为不一样的人；
  • 想弄清 /code-review、/security-review、/simplify、/verify 各自管什么的人。

命令列表的总览见 /guides/claude-code-slash-commands，通用的「用 AI 审代码」流程见 /guides/ai-code-review-workflow。本文只讲 Claude Code 官方命令本身。

结论先说

  1. /code-review 找的是正确性问题（bug）；官方说，取决于模型和效果级别，也会顺带给出复用、简化和效率方面的整理建议。/review 现在只是它的别名。
  2. /security-review 是另一个命令，分析当前分支相对 origin 默认分支的改动里有没有安全漏洞，比如注入、认证问题、数据暴露；需要有 origin 远程。
  3. 不带目标时审的是你当前分支，也可以指定 PR 号、分支、路径或提交范围。
  4. --fix 会让 Claude 改你的工作区，改动照常走你的权限模式；后台运行的审查所做的修改，/rewind 可能撤不掉，要用 Git。
  5. 官方明确说审查会遵守你的 CLAUDE.md，但不会读 REVIEW.md，那个文件是给 GitHub 上托管的 Code Review 服务用的。

Claude Code 四个审查类命令分工

图：本站根据 Claude Code 官方文档：Commands 整理的示意图

一、/code-review 怎么用

直接在会话里输入：

text
/code-review

官方说明：没有目标时，审查覆盖你当前分支领先上游分支的提交，加上未提交的改动；如果分支没有上游，则与 main 或上一个提交比较。在终端会话中，它作为后台子智能体运行，有自己的上下文窗口，不会占满你的对话，结果在审完后回到对话里。这个命令在任何套餐上都能用，消耗计入你的套餐用量或 API 计费。

审查目标可以写在命令后面，官方给的对照如下：

想审什么输入
当前分支和未提交改动/code-review
最近 15 个提交/code-review HEAD~15..HEAD
一个分支对另一个分支/code-review main...my-feature
某一个提交/code-review abc1234^..abc1234
某个 PR/code-review 1234
某个文件或目录/code-review src/auth

参数方面，官方列出的有：

  • 效果级别 low、medium、high、xhigh、max、ultra。low 只报最有把握的问题，误报少；medium 到 max 逐级扩大覆盖面。没写级别时，会沿用你上一次输入的级别，并显示类似 Reusing high effort 的提示；
  • --fix：审完后让 Claude 把发现的问题改到工作区；
  • --comment：把结果作为行内评论发到 GitHub PR（GitLab 合并请求则是一条总评论，需要 glab 和 v2.1.257 或更高版本）；
  • --max-findings n：限制或放宽报告条数，需要 v2.1.288 或更高版本。

提示词 1：审查前先交代背景

终端里的 /code-review 本身不需要提示词，但你可以先在 CLAUDE.md 里写好项目规则，因为官方说审查会遵守它。下面是适合追加到 CLAUDE.md 的一段：

text
## 代码审查关注点
- 所有数据库查询必须经过 src/db/ 里的封装，不允许在业务代码里拼接 SQL
- 公开接口的参数必须校验，校验写在 src/api/schemas/
- 涉及金额的计算一律使用整数（分），不要用浮点数
- 审查时忽略代码风格问题，只报会导致错误行为的问题

二、/security-review 怎么用

官方对它的描述是：分析当前分支改动里的安全漏洞，比较的是你的分支与 origin 默认分支之间的 diff，识别注入、认证、数据暴露等风险。前提是仓库有 origin 远程；如果运行时报 ambiguous argument 错误，官方说明在错误参考页里有对应排查。官方还提到 /init 和 /security-review 是少数 Claude 本身也能通过技能工具调用的内置命令。

它只是辅助工具。涉及支付、权限、用户数据的代码，建议再配合人工审查和专业的安全评估。让 AI 编码工具少碰密钥的做法见 /guides/ai-coding-security-secrets-permissions。

提示词 2：让 Claude 针对一类风险专项检查

text
请检查当前分支相对 main 的改动，只关注认证和权限：
1）新增或修改的接口有没有遗漏登录校验；
2）是否存在用户 A 能访问用户 B 数据的可能（越权）；
3）有没有把令牌、密钥或密码写进代码、日志或错误信息。
每个问题给出文件和行号、触发条件、修改建议。没有发现就写「未发现」，不要为了凑数编造问题。

三、--fix、ultra 和其他邻近命令

--fix 的边界。 官方在审查文档里提醒：不加 --fix，审查只出报告；加了它，Claude 会改你的工作区，且仍然走权限模式。后台审查应用的 --fix 改动在你会话的检查点之外，之后 /rewind 只能还原 Claude 在对话里已经编辑过的文件，其余文件要用 Git 撤销。所以建议先提交或暂存手头的工作，再用 --fix。回退细节见 /guides/claude-code-rewind-checkpoints-undo。

ultra。 /code-review ultra 在云端运行更深的多代理审查（也有别名 /ultrareview）。官方命令页写的是：Pro、Max、Ultra 套餐含 3 次免费运行，之后需要用量额度。它要求用 claude.ai 账号认证，在 Amazon Bedrock、Google Cloud、Microsoft Foundry 上不可用，启用了零数据保留的组织也不可用，这时会改为在本地会话里审查。免费次数和限制以官方页面当前显示为准。

邻近命令。

  • /simplify：只做整理（复用已有函数、简化、效率、抽象层级），并直接应用修改，不找正确性 bug。官方的审查文档特别提醒：v2.1.147 之前，类似的审查命令叫 /simplify 且默认应用修复，如果你的脚本曾拿它找 bug，请改用 /code-review --fix；
  • /verify：让 Claude 构建并运行应用，看改动是否真的有效，能发现测试和类型检查漏掉的问题；
  • /diff：自己查看工作区改动，包括 Claude 到目前为止做的编辑。

提示词 3：对照需求文件审查（官方最佳实践里的写法）

text
请用一个子智能体，对照 SPEC.md 审查当前改动：检查每条需求是否都已实现，列出的边界情况是否有测试；
只报告影响正确性的缺口，跳过代码风格问题。

官方特别强调这条里的「跳过风格」：被要求挑毛病的审查者总会找到点什么，如果每条意见你都照改，最后会多出不必要的抽象层和给不会发生的情况写的测试。

提示词 4：处理审查结果

text
刚才的审查报告里，请先逐条判断哪些是真问题、哪些是误报或风格偏好，并说明理由。
只修复真问题，每修一个跑一次【测试命令】。修完后告诉我改了哪些文件，以及哪些意见你没有采纳、为什么。

审查类命令选择指南

图：本站根据官方 Commands 与 Review locally 文档整理的示意图

常见问题

Q：想让 GitHub 上每个 PR 都自动被审？

那是托管的 Code Review 服务，面向 Team 和 Enterprise，由组织所有者开启，和本地 /code-review 是两回事。在 PR 里用 @claude 的做法见 /guides/claude-code-github-actions。

Q：不想让 Claude 自己去启动审查？

官方给了写法：在设置文件的 skillOverrides 里把 code-review 设为 user-invocable-only，之后只有你手动输入时才会运行。

Q：想换成自己的审查规则？

官方说 /code-review 是内置技能，没有可编辑的 SKILL.md；同名的项目或个人技能会替代它，但 /review 别名仍然运行内置版本。常规做法是把项目规则写进 CLAUDE.md，或者自己写一个审查子智能体。

订阅和额度

本地审查会话计入套餐用量，大分支审查消耗不小。想了解订阅可以看 /chongzhi/claude-code，价格和额度以官方页面当前显示为准。

相关教程

参考资料

  • Claude Code 文档：Commands — https://code.claude.com/docs/en/commands
  • Claude Code 文档：Review locally with /code-review — https://code.claude.com/docs/en/code-review-local
  • Claude Code 文档：Best practices for Claude Code — https://code.claude.com/docs/en/best-practices
  • Claude Code 文档：Checkpointing — https://code.claude.com/docs/en/checkpointing

Nathaniel 的更多内容

  1. 01

    Claude Code 在 Windows 上的常见坑：Git Bash 还是 PowerShell、路径反斜杠、假报错、WSL 怎么选

    Windows 上用 Claude Code，装好之后最容易踩的是：用哪个 shell、路径写法不一致、grep 没匹配就报错、钩子没生效、WSL 和原生怎么选。本文逐条按官方文档整理原因和处理办法，附三段提示词和一张对照表。

    Claude0
  2. 02

    Claude Code Hooks 实战「提交前自动跑测试」：PreToolUse 拦住 git commit，测试不过就退出码 2，附 Windows 注意点

    只写一个完整例子：让 Claude Code 每次要执行 git commit 之前，先自动跑项目测试，没通过就拦下并把输出交给它修。本文按官方 Hooks 文档给出脚本、settings.json 配置、测试方法、排错和 Windows 的两处坑。

    Claude0
  3. 03

    Claude Code 自定义斜杠命令与 Skill 实战：从零写一个「生成更新日志」的 /release-notes，含传参、预执行命令和调试

    概念看过了，还是不知道从哪下手？本文按 Claude Code 官方「Extend Claude with skills」写一个完整可用的例子：用 /release-notes 根据 git 记录生成更新日志，覆盖目录、frontmatter、传参、预执行命令、预授权和调试。

    Claude0
  4. 04

    Claude Code 部署网站：先写 Dockerfile 和 compose 在本机跑通，再按清单上云服务器，别让它直接改线上

    想让 Claude Code 帮你把网站部署到云服务器。本文只写通用做法，按 Docker 官方文档讲：让它写 Dockerfile、.dockerignore 和 compose，在本机跑通，端口和数据卷怎么设，再给出上线清单，并说明为什么不要让它直接动线上机器。

    Claude0
  5. 05

    Claude Code 写爬虫与数据清洗：先查 robots.txt 和网站条款，控制频率，原始数据留一份再清洗

    想让 Claude Code 写爬虫抓数据再清洗。本文先讲合规：robots.txt 不是授权也不是安全措施、网站条款要自己读；再讲怎么用 Python 标准库检查规则、小样本先试、保存原始数据，以及用 pandas 清洗，附四段提示词。

    Claude0
  6. 06

    Claude Code 写 Chrome 扩展：按 Manifest V3 起步，加载未打包的扩展，改了哪些文件要重新加载

    想让 Claude Code 帮你写一个 Chrome 扩展。本文按 Chrome 官方扩展文档讲：manifest.json 的最小写法、在 chrome://extensions 加载未打包的扩展、哪些改动要刷新、怎么看控制台和报错，再给四段提示词，以及权限要尽量少。

    Claude0

同产品的其他教程

  1. 01

    Claude Code 写安卓 App：Android Studio 建项目、让它用 gradlew 编译安装，报错和日志怎么喂给它

    想让 Claude Code 帮你写安卓 App。官方文档没有专门的安卓教程，本文把 Claude Code 官方工作流和安卓官方命令行文档拼在一起：Android Studio 建项目、gradlew 编译安装、模拟器和真机、测试与日志，附四段提示词。

    Claude0
  2. 02

    Claude Code 用数据库 MCP 查数据、出报表：只读账号、先看口径再看数字，结果别一次拉太多行

    想用自然语言让 Claude Code 查数据库、出统计报表，而不是写后端接口。本文按官方 MCP 页面和 DBHub 说明讲：怎么连 PostgreSQL、MySQL、SQLite、输出太大怎么办、怎么让它先说明口径、怎么核对数字，附三段提示词。

    Claude0
  3. 03

    Claude Code 配 Figma MCP 还原设计稿：插件或一条命令安装，复制图层链接，小块小块地让它出代码

    想让 Claude Code 照 Figma 设计稿写前端代码。本文按 Figma 官方开发者文档讲：远程服务器地址、插件和手动两种安装、怎么复制图层链接、为什么要选小块、座位类型与调用次数限制，并给三段还原设计稿的提示词。

    Claude0
  4. 04

    Claude Code 管理 GitHub issue：用 gh 命令还是 GitHub MCP，怎么装、怎么限权、怎么让它分拣和回复 issue

    让 Claude Code 读 issue、分拣标签、起草回复、关联 PR，有两条路：装好 gh 命令行直接用，或连 GitHub 官方 MCP 服务器。本文按两边官方文档讲安装命令、令牌权限、只读模式，并给出三段分拣提示词和限权设置。

    Claude0
  5. 05

    Claude Code 配 Playwright MCP 做浏览器测试：一条命令安装，让它打开页面、点按钮、读控制台，再把流程写成测试

    想让 Claude Code 自己打开浏览器测试你的网页。本文按微软 Playwright MCP 官方仓库和 Claude Code 官方 MCP 文档讲：安装命令、怎么确认连上、有头无头与隔离参数、一次测试的提示词，以及它不是安全边界这件事。

    Claude0
  6. 06

    Claude Code 写文档、README 和代码注释：先让它读代码再动笔，指定风格，写完逐条核对命令能不能跑

    想让 Claude Code 给项目补 README、接口文档和注释，又怕它编造不存在的命令和参数。本文按官方「Handle documentation」工作流讲：先找没有文档的代码、指定风格、写完核对，附四段可复制提示词和验证办法。

    Claude0

0 条评论

登录 后参与评论

还没有评论，来抢沙发～