註冊
Claude

Claude Code 代碼審查：/code-review（別名 /review）和 /security-review 怎麼用，參數、目標和 --fix 的注意事項

按 Claude Code 官方文檔講 /code-review（別名 /review）的效果級別、審查目標、--fix 與 --comment，/security-review 審查什麼、要什麼前提，以及 /simplify、/verify、/diff 的分工，附四段可複製提示詞。

NNathaniel bigo··原創首發·AI 輔助撰寫
11 分鐘讀完
資料核對於 2026-11-05 · 依據官方文檔與公開資料整理 Pro 帳號
本文根據 Claude Code 官方文檔《Commands》《Review locally with /code-review》《Best practices for Claude Code》《Checkpointing》整理，資料核對於 2026-11-05。配圖為本站整理的示意圖，不是介面截圖。本站（bigolab.com）不是 Anthropic 官方網站。

適用於誰

  • 想讓 Claude Code 在提交或開 PR 之前先審一遍代碼的人；
  • 看過舊教學裏 /review 的用法，發現行為不一樣的人；
  • 想弄清 /code-review、/security-review、/simplify、/verify 各自管什麼的人。

命令列表的總覽見 /guides/claude-code-slash-commands，通用的「用 AI 審代碼」流程見 /guides/ai-code-review-workflow。本文只講 Claude Code 官方命令本身。

結論先說

  1. /code-review 找的是正確性問題（bug）；官方說，取決於模型和效果級別，也會順帶給出複用、簡化和效率方面的整理建議。/review 現在只是它的別名。
  2. /security-review 是另一個命令，分析當前分支相對 origin 預設分支的改動裏有沒有安全漏洞，比如注入、認證問題、數據暴露；需要有 origin 遠程。
  3. 不帶目標時審的是你當前分支，也可以指定 PR 號、分支、路徑或提交範圍。
  4. --fix 會讓 Claude 改你的工作區，改動照常走你的權限模式；後台運行的審查所做的修改，/rewind 可能撤不掉，要用 Git。
  5. 官方明確說審查會遵守你的 CLAUDE.md，但不會讀 REVIEW.md，那個文件是給 GitHub 上託管的 Code Review 服務用的。

Claude Code 四個審查類命令分工

圖：本站根據 Claude Code 官方文檔：Commands 整理的示意圖

一、/code-review 怎麼用

直接在會話裏輸入：

text
/code-review

官方說明：沒有目標時，審查覆蓋你當前分支領先上游分支的提交，加上未提交的改動；如果分支沒有上游，則與 main 或上一個提交比較。在終端會話中，它作為後台子智能體運行，有自己的上下文窗口，不會佔滿你的對話，結果在審完後回到對話裏。這個命令在任何套餐上都能用，消耗計入你的套餐用量或 API 計費。

審查目標可以寫在命令後面，官方給的對照如下：

想審什麼輸入
當前分支和未提交改動/code-review
最近 15 個提交/code-review HEAD~15..HEAD
一個分支對另一個分支/code-review main...my-feature
某一個提交/code-review abc1234^..abc1234
某個 PR/code-review 1234
某個文件或目錄/code-review src/auth

參數方面，官方列出的有：

  • 效果級別 low、medium、high、xhigh、max、ultra。low 只報最有把握的問題，誤報少；medium 到 max 逐級擴大覆蓋面。沒寫級別時，會沿用你上一次輸入的級別，並顯示類似 Reusing high effort 的提示；
  • --fix：審完後讓 Claude 把發現的問題改到工作區；
  • --comment：把結果作為行內評論發到 GitHub PR（GitLab 合併請求則是一條總評論，需要 glab 和 v2.1.257 或更高版本）；
  • --max-findings n：限制或放寬報告條數，需要 v2.1.288 或更高版本。

提示詞 1：審查前先交代背景

終端裏的 /code-review 本身不需要提示詞，但你可以先在 CLAUDE.md 裏寫好項目規則，因為官方說審查會遵守它。下面是適合追加到 CLAUDE.md 的一段：

text
## 代碼審查關注點
- 所有數據庫查詢必須經過 src/db/ 裏的封裝，不允許在業務代碼裏拼接 SQL
- 公開接口的參數必須校驗，校驗寫在 src/api/schemas/
- 涉及金額的計算一律使用整數（分），不要用浮點數
- 審查時忽略代碼風格問題，只報會導致錯誤行為的問題

二、/security-review 怎麼用

官方對它的描述是：分析當前分支改動裏的安全漏洞，比較的是你的分支與 origin 預設分支之間的 diff，識別注入、認證、數據暴露等風險。前提是倉庫有 origin 遠程；如果運行時報 ambiguous argument 錯誤，官方說明在錯誤參考頁裏有對應排查。官方還提到 /init 和 /security-review 是少數 Claude 本身也能通過技能工具調用的內置命令。

它只是輔助工具。涉及支付、權限、用戶數據的代碼，建議再配合人工審查和專業的安全評估。讓 AI 編碼工具少碰密鑰的做法見 /guides/ai-coding-security-secrets-permissions。

提示詞 2：讓 Claude 針對一類風險專項檢查

text
請檢查當前分支相對 main 的改動，只關注認證和權限：
1）新增或修改的接口有沒有遺漏登入校驗；
2）是否存在用戶 A 能訪問用戶 B 數據的可能（越權）；
3）有沒有把令牌、密鑰或密碼寫進代碼、日誌或錯誤訊息。
每個問題給出文件和行號、觸發條件、修改建議。沒有發現就寫「未發現」，不要為了湊數編造問題。

三、--fix、ultra 和其他鄰近命令

--fix 的邊界。 官方在審查文檔裏提醒：不加 --fix，審查只出報告；加了它，Claude 會改你的工作區，且仍然走權限模式。後台審查應用的 --fix 改動在你會話的檢查點之外，之後 /rewind 只能還原 Claude 在對話裏已經編輯過的文件，其餘文件要用 Git 撤銷。所以建議先提交或暫存手頭的工作，再用 --fix。回退細節見 /guides/claude-code-rewind-checkpoints-undo。

ultra。 /code-review ultra 在雲端運行更深的多代理審查（也有別名 /ultrareview）。官方命令頁寫的是：Pro、Max、Ultra 套餐含 3 次免費運行，之後需要用量額度。它要求用 claude.ai 帳號認證，在 Amazon Bedrock、Google Cloud、Microsoft Foundry 上不可用，啟用了零數據保留的組織也不可用，這時會改為在本地會話裏審查。免費次數和限制以官方頁面當前顯示為準。

鄰近命令。

  • /simplify：只做整理（複用已有函數、簡化、效率、抽象層級），並直接應用修改，不找正確性 bug。官方的審查文檔特別提醒：v2.1.147 之前，類似的審查命令叫 /simplify 且預設應用修復，如果你的腳本曾拿它找 bug，請改用 /code-review --fix；
  • /verify：讓 Claude 構建並運行應用，看改動是否真的有效，能發現測試和類型檢查漏掉的問題；
  • /diff：自己查看工作區改動，包括 Claude 到目前為止做的編輯。

提示詞 3：對照需求文件審查（官方最佳實踐裏的寫法）

text
請用一個子智能體，對照 SPEC.md 審查當前改動：檢查每條需求是否都已實現，列出的邊界情況是否有測試；
只報告影響正確性的缺口，跳過代碼風格問題。

官方特別強調這條裏的「跳過風格」：被要求挑毛病的審查者總會找到點什麼，如果每條意見你都照改，最後會多出不必要的抽象層和給不會發生的情況寫的測試。

提示詞 4：處理審查結果

text
剛才的審查報告裏，請先逐條判斷哪些是真問題、哪些是誤報或風格偏好，並說明理由。
只修復真問題，每修一個跑一次【測試命令】。修完後告訴我改了哪些文件，以及哪些意見你沒有采納、為什麼。

審查類命令選擇指南

圖：本站根據官方 Commands 與 Review locally 文檔整理的示意圖

常見問題

Q：想讓 GitHub 上每個 PR 都自動被審？

那是託管的 Code Review 服務，面向 Team 和 Enterprise，由組織所有者開啟，和本地 /code-review 是兩回事。在 PR 裏用 @claude 的做法見 /guides/claude-code-github-actions。

Q：不想讓 Claude 自己去啟動審查？

官方給了寫法：在設定文件的 skillOverrides 裏把 code-review 設為 user-invocable-only，之後只有你手動輸入時才會運行。

Q：想換成自己的審查規則？

官方說 /code-review 是內置技能，沒有可編輯的 SKILL.md；同名的項目或個人技能會替代它，但 /review 別名仍然運行內置版本。常規做法是把項目規則寫進 CLAUDE.md，或者自己寫一個審查子智能體。

訂閱和額度

本地審查會話計入套餐用量，大分支審查消耗不小。想了解訂閱可以看 /chongzhi/claude-code，價格和額度以官方頁面當前顯示為準。

相關教學

參考資料

  • Claude Code 文檔：Commands — https://code.claude.com/docs/en/commands
  • Claude Code 文檔：Review locally with /code-review — https://code.claude.com/docs/en/code-review-local
  • Claude Code 文檔：Best practices for Claude Code — https://code.claude.com/docs/en/best-practices
  • Claude Code 文檔：Checkpointing — https://code.claude.com/docs/en/checkpointing

Nathaniel 的更多內容

  1. 01

    Claude Code 在 Windows 上的常見坑：Git Bash 還是 PowerShell、路徑反斜槓、假報錯、WSL 怎麼選

    Windows 上用 Claude Code，裝好之後最容易踩的是：用哪個 shell、路徑寫法不一致、grep 沒匹配就報錯、鉤子沒生效、WSL 和原生怎麼選。本文逐條按官方文檔整理原因和處理辦法，附三段提示詞和一張對照表。

    Claude0
  2. 02

    Claude Code Hooks 實戰「提交前自動跑測試」：PreToolUse 攔住 git commit，測試不過就退出碼 2，附 Windows 注意點

    只寫一個完整例子：讓 Claude Code 每次要執行 git commit 之前，先自動跑項目測試，沒通過就攔下並把輸出交給它修。本文按官方 Hooks 文檔給出腳本、settings.json 配置、測試方法、排錯和 Windows 的兩處坑。

    Claude0
  3. 03

    Claude Code 自定義斜槓命令與 Skill 實戰：從零寫一個「生成更新日誌」的 /release-notes，含傳參、預執行命令和調試

    概念看過了，還是不知道從哪下手？本文按 Claude Code 官方「Extend Claude with skills」寫一個完整可用的例子：用 /release-notes 根據 git 記錄生成更新日誌，覆蓋目錄、frontmatter、傳參、預執行命令、預授權和調試。

    Claude0
  4. 04

    Claude Code 部署網站：先寫 Dockerfile 和 compose 在本機跑通，再按清單上雲伺服器，別讓它直接改線上

    想讓 Claude Code 幫你把網站部署到雲伺服器。本文只寫通用做法，按 Docker 官方文檔講：讓它寫 Dockerfile、.dockerignore 和 compose，在本機跑通，端口和數據卷怎麼設，再給出上線清單，並說明為什麼不要讓它直接動線上機器。

    Claude0
  5. 05

    Claude Code 寫爬蟲與數據清洗：先查 robots.txt 和網站條款，控制頻率，原始數據留一份再清洗

    想讓 Claude Code 寫爬蟲抓數據再清洗。本文先講合規：robots.txt 不是授權也不是安全措施、網站條款要自己讀；再講怎麼用 Python 標準庫檢查規則、小樣本先試、儲存原始數據，以及用 pandas 清洗，附四段提示詞。

    Claude0
  6. 06

    Claude Code 寫 Chrome 擴展：按 Manifest V3 起步，加載未打包的擴展，改了哪些文件要重新加載

    想讓 Claude Code 幫你寫一個 Chrome 擴展。本文按 Chrome 官方擴展文檔講：manifest.json 的最小寫法、在 chrome://extensions 加載未打包的擴展、哪些改動要刷新、怎麼看控制檯和報錯，再給四段提示詞，以及權限要盡量少。

    Claude0

同產品的其他教學

  1. 01

    Claude Code 寫安卓 App：Android Studio 建項目、讓它用 gradlew 編譯安裝，報錯和日誌怎麼餵給它

    想讓 Claude Code 幫你寫安卓 App。官方文檔沒有專門的安卓教學，本文把 Claude Code 官方工作流和安卓官方命令行文檔拼在一起：Android Studio 建項目、gradlew 編譯安裝、模擬器和真機、測試與日誌，附四段提示詞。

    Claude0
  2. 02

    Claude Code 用數據庫 MCP 查數據、出報表：只讀帳號、先看口徑再看數字，結果別一次拉太多行

    想用自然語言讓 Claude Code 查數據庫、出統計報表，而不是寫後端接口。本文按官方 MCP 頁面和 DBHub 說明講：怎麼連 PostgreSQL、MySQL、SQLite、輸出太大怎麼辦、怎麼讓它先說明口徑、怎麼核對數字，附三段提示詞。

    Claude0
  3. 03

    Claude Code 配 Figma MCP 還原設計稿：插件或一條命令安裝，複製圖層連結，小塊小塊地讓它出代碼

    想讓 Claude Code 照 Figma 設計稿寫前端代碼。本文按 Figma 官方開發者文檔講：遠程伺服器地址、插件和手動兩種安裝、怎麼複製圖層連結、為什麼要選小塊、座位類型與調用次數限制，並給三段還原設計稿的提示詞。

    Claude0
  4. 04

    Claude Code 管理 GitHub issue：用 gh 命令還是 GitHub MCP，怎麼裝、怎麼限權、怎麼讓它分揀和回覆 issue

    讓 Claude Code 讀 issue、分揀標籤、起草回覆、關聯 PR，有兩條路：裝好 gh 命令行直接用，或連 GitHub 官方 MCP 伺服器。本文按兩邊官方文檔講安裝命令、令牌權限、只讀模式，並給出三段分揀提示詞和限權設定。

    Claude0
  5. 05

    Claude Code 配 Playwright MCP 做瀏覽器測試：一條命令安裝，讓它打開頁面、點按鈕、讀控制檯，再把流程寫成測試

    想讓 Claude Code 自己打開瀏覽器測試你的網頁。本文按微軟 Playwright MCP 官方倉庫和 Claude Code 官方 MCP 文檔講：安裝命令、怎麼確認連上、有頭無頭與隔離參數、一次測試的提示詞，以及它不是安全邊界這件事。

    Claude0
  6. 06

    Claude Code 寫文檔、README 和代碼註釋：先讓它讀代碼再動筆，指定風格，寫完逐條核對命令能不能跑

    想讓 Claude Code 給項目補 README、接口文檔和註釋，又怕它編造不存在的命令和參數。本文按官方「Handle documentation」工作流講：先找沒有文檔的代碼、指定風格、寫完核對，附四段可複製提示詞和驗證辦法。

    Claude0

0 條評論

登入 後參與評論

還沒有評論，來搶沙發～