differential-review skill 是什麼、怎麼安裝使用：Trail of Bits 的代碼改動安全評審 Skill（PR / diff 審計）

本文根據 trailofbits/skills 倉庫裏該技能的 SKILL.md 與倉庫 README 整理，資料核對於 2026-10-11。所在倉庫 trailofbits/skills 在 GitHub 約 7462 Star（同日數據）。技能內容會隨倉庫更新，以倉庫為準。

這個 Skill 做什麼

多數安全問題不是一開始就在的，而是某次改動帶進來的：一個被悄悄放寬的權限檢查，一次「重構」把以前修好的漏洞又放了回來。differential-review 專門審「變化的部分」。它出自安全公司 Trail of Bits。description：對代碼改動進行以安全為重點的差異評審；審查 PR、提交或 diff 的安全漏洞、檢查改動是否重新引入了以前修復過的缺陷、追問這次改動還可能破壞什麼，或找出哪些被修改的代碼沒有測試覆蓋時使用。

五條核心原則：風險優先（聚焦認證、密碼學、價值轉移、外部調用）；基於證據（每個發現都要有 git 歷史、行號和攻擊場景支撐）；自適應（按代碼庫規模分小、中、大三檔調整策略）；誠實（明確說明覆蓋範圍的侷限和置信度）；以產出為導向（最後落成一份報告）。

具體手段包括：用 git blame 查被改代碼的來歷，判斷是不是在動以前的修復；統計調用方數量來估算「爆炸半徑」；檢查被改動代碼的測試覆蓋。技能列出了觸發高風險等級的條件、一棵決策樹、三個場景示例（小 PR 快速分診、中型代碼庫標準評審、關鍵改動深度審計），以及不該使用它的情形。

怎麼安裝

differential-review 在 trailofbits/skills 裏屬於 differential-review 插件。Claude Code 先登記市場，再在選單裏選擇要裝的插件（命令來自倉庫 README）：

text
/plugin marketplace add trailofbits/skills
/plugin menu

Codex 用 codex plugin marketplace add trailofbits/skills，再執行 codex plugin add differential-review@trailofbits。

倉庫整體介紹和其他安裝方式，詳見本站《trailofbits/skills 是什麼、怎麼安裝：Trail of Bits 的代碼安全審計 Skills（靜態分析、差異評審、供應鏈檢查）》。

怎麼用

• 「對這個 PR 做一次安全差異評審，報告寫到 review.md」。
• 「這次提交改了登入邏輯，會不會把之前修的那個繞過問題帶回來？」
• 「列出這次改動裏沒有任何測試覆蓋的函數」。

目錄裏有方法論、常見模式、對抗性分析和報告格式四份配套文檔。

適合誰 / 侷限

適合處理認證、支付、權限等敏感代碼的團隊，在合併前加一道安全視角的檢查。它是輔助人工的評審流程，技能自己強調要如實說明沒看到的部分；它不運行動態測試，不能代替正式的安全審計。

注意事項

• 許可：CC BY-SA 4.0——可以使用和改編，但須署名，改編後的技能要以相同許可共享；併入公司內部的專有技能庫前留意這一點。
• 聲明的工具權限：Read、Write、Grep、Glob、Bash，會執行 git 等命令並寫報告文件。
• 只對你有權審查的代碼使用。