CodeBuddy 的代码审查功能可直接在 IDE 内完成操作，提供四种高效审查方式：右键启动审计、自然语言指令定向扫描、自定义 Skill 结构化审查以及 CLI 批量代码审查。审查范围覆盖代码安全、编码规范与测试覆盖三大维度，开发者无需切换窗口，也无需手动运行外部扫描工具。
当你正在处理 Spring Boot 项目代码，希望排查潜在安全漏洞、命名不规范或测试覆盖不足等问题时，CodeBuddy 的智能代码评审功能可直接在 IDE 内完成——具备上下文感知能力，省去切换窗口、手动执行扫描工具的麻烦。
在IDE中右键启动自动审查
操作流程非常简洁：直接在项目文件树中选中待检查文件即可。但需注意一个前提：确保已使用企业账号登录 CodeBuddy，并且当前工程已完整加载（尤其是 pom.xml 或 build.gradle 需完成依赖解析）。
1、在 IntelliJ IDEA 或 VS Code 左侧文件资源管理器中，定位目标 Java 类（比如 com.example.auth.config.SecurityConfig.java）；
2、右键点击该文件 → 选择【Review with CodeBuddy】；
3、待右侧面板弹出审查结果，系统会自动标注三类内容：✅ 优点（如“已启用 CSRF 防护”）、⚠️ 问题（如“/login 接口未限制请求方法，存在越权风险”）、? 建议（如“建议为 UserDetailsService 实现添加 @Primary 注解”）。
注意：如果面板长时间空白或显示“上下文未就绪”，请检查是否执行过项目同步（Maven Reload / Gradle Refresh），【未完成依赖解析会导致审查无法获取 Bean 定义和配置类关联关系】。
用自然语言指令定向审计关键逻辑
当你只想聚焦某一块高危逻辑——例如密码处理、JWT 生成、数据库查询时，使用自然语言指令比全文件扫描更加精准高效。
方法一：在编辑器底部命令栏输入指令后回车
例如输入：“检查这个类中所有 PasswordEncoder 的使用方式，确认是否全部采用 BCryptPasswordEncoder，指出硬编码盐值的位置”；
方法二：选中一段代码（比如 configure(HttpSecurity http) 方法体）→ 右键 → “Ask CodeBuddy about selection” → 在弹出框中输入：“这段配置是否允许匿名访问 /actuator/health？如果允许，是否符合生产环境安全要求？”；
系统会立即定位到对应行号，给出依据 Spring Security 6.x 最佳实践的判断，并附带修复建议代码片段。
通过自定义 Skill 执行结构化审查流程
团队希望每次提交前都统一执行“安全+可维护性+测试覆盖”三维审查？这时需要启用预设 Skill。
第一步：确认项目根目录下存在 .codebuddy/skills/security-audit/SKILL.md 文件，且其 YAML 头包含 name: security-audit 和完整 description；
第二步：打开 LoginController.java，全选整个类 → 点击顶部工具栏 “Apply Skill → security-audit”；
第三步：审查完成后，面板输出严格按以下格式组织：
✅ **优点**: 使用 @Validated 校验登录参数，已覆盖空值与长度边界；
⚠️ **High**: 登录失败次数未做 Redis 计数限流，可能被暴力破解；
⚠️ **Medium**: 密码重置 Token 有效期硬编码为 3600L，建议抽取为配置项；
? **建议**: 为 login() 方法补充 @Timed 注解以接入 Micrometer 监控。
这一步必须确保 Skill 文件存在于本地项目中，【远程仓库中的 Skill 不会被自动拉取，必须手动复制到本项目 .codebuddy 目录下】。
使用 CLI 批量审查本次 Git 变更文件
适合在 CI 流水线或本地提交前快速兜底，尤其适用于多人协作中遗漏审查的新增 Controller 或 Repository 类。
在项目根目录终端中执行：
codebuddy review --changed --format=markdown > code-review-report.md
该命令会自动识别 git status 中的 modified/added 文件，仅对这些文件运行审查，并将结果导出为 Markdown 报告；
若需跳过测试类，追加 --exclude="**/test/**" 参数；
执行后检查 report 文件，重点关注 ⚠️ High 条目——它们通常对应 SQL 拼接、未校验用户输入、敏感信息日志打印等真实风险点。