CodeBuddy代码审查角色需明确职责边界与能力配置：命名须体现技术域+审查焦点；仅PR触发审查；按语言绑定ESLint/SonarJS或注入超时≤12秒的自定义检查器；高危漏洞自动阻断且不可覆盖，中危48小时内未修复则关闭PR，低危仅作建议。

为CodeBuddy打造高效的代码审查角色，关键在于明确其在团队协作中的具体职责范围与能力配置，避免角色定义过于宽泛导致审查流于形式或遗漏关键风险点。换言之，如果角色边界模糊，审查就容易变成走过场，真正需要关注的风险反而被忽略。

定义审查角色的核心职责

首先打开CodeBuddy项目设置，进入「角色管理」，点击「新建角色」。在「角色名称」栏中填入语义化名称，例如「前端安全审查员」或「后端性能审查员」。这里有一个硬性要求：名称必须体现技术域+审查焦点，切勿使用“高级审查员”这类模糊称谓——否则后续管理时难以区分各角色负责的领域。

接着勾选「仅限PR触发审查」，同时取消勾选「推送即扫描」。为什么这样设置？因为如果每次提交都触发扫描，团队频繁提交时会生成大量冗余告警，严重影响开发节奏。只有明确只在PR阶段触发，才能集中精力处理真正需要关注的变化。

配置审查能力插件

方法一：基于语言自动加载。进入「插件中心」，选择当前仓库主语言（比如TypeScript），然后勾选「ESLint + TypeScript规则集」和「SonarJS深度路径分析」，最后点击「绑定到本角色」。这样语言相关的检查规则就自动关联上了。

方法二：手动注入自定义检查器。点击「添加自定义检查器」，粘贴你已经验证过的Shell脚本片段（例如用来检测硬编码密钥的grep正则），然后设置超时阈值为12秒。注意：超过15秒将中断审查流程并标记为失败，这个阈值不可调高——否则可能拖慢整个审查流水线。

设定审查通过阈值与阻断条件

在「策略规则」页签里，针对每类问题设置分级响应策略，这样才能让自动化审查有章可循：

• 高危漏洞（比如SQL注入、未授权访问）：自动阻断合并，且禁止人工覆盖。这类问题一旦出现，必须立即修复，没有商量余地。

• 中危问题（比如缺少输入校验、日志中泄露敏感信息）：标记为「待修复」，作者需在48小时内提交修正commit，否则PR会被自动关闭。这个时间窗口足够完成修复，同时避免无限期拖延。

• 低危提示（比如命名不规范、注释缺失）：仅显示为建议项，不参与通过判定。这类问题留给作者自行决定是否优化，不强制阻断流程。