并行多维度审查 — 安全+性能+正确性同时审#

// parallel-review.workflow.js
export const meta = {
  name: 'parallel-payment-review',
  description: '支付模块三维度并行审查 + 对抗验证',
  phases: [
    { title: 'Parallel Review', detail: '安全/性能/正确性 三个 Agent 并行审查' },
    { title: 'Adversarial Verify', detail: '对每个发现启动 3 个验证 Agent 反向确认' },
    { title: 'Aggregate', detail: '聚合确认后的问题 → 生成修复任务清单' },
  ],
}

phase('Parallel Review')

const [securityFindings, performanceFindings, correctnessFindings] = await parallel(
  // Agent 1：安全审查
  () => agent(
    `审查 src/services/payment-service.ts 的**安全性**：
    1. 检查是否存在 SQL 注入风险（拼接查询、未参数化）
    2. 检查敏感信息是否经日志或错误消息泄露（密钥、token、用户 PII）
    3. 检查支付金额/参数是否在前端可篡改
    4. 检查鉴权/授权逻辑是否有绕过路径

    只关注安全问题，忽略性能和代码风格。`,
    { label: 'security-review', schema: { type: 'array', items: FINDING_SCHEMA } },
  ),

  // Agent 2：性能审查
  () => agent(
    `审查 src/services/payment-service.ts 的**性能**：
    1. 检查是否存在 N+1 查询（循环内执行 DB 操作）
    2. 检查是否存在同步阻塞 IO（fs.readFileSync、大 JSON 解析阻塞事件循环）
    3. 检查是否有无界循环或递归调用
    4. 检查缓存策略——高频查询是否复用结果

    只关注性能问题，忽略安全和代码风格。`,
    { label: 'performance-review', schema: { type: 'array', items: FINDING_SCHEMA } },
  ),

  // Agent 3：正确性审查
  () => agent(
    `审查 src/services/payment-service.ts 的**正确性**：
    1. 检查库存扣减是否有并发超卖风险（read-check-write 非原子）
    2. 检查支付回调是否做了幂等处理（重复回调不重复扣款/发货）
    3. 检查金额计算是否使用浮点数（应用整数/Decimal）
    4. 检查边界条件：0 元订单、超大金额、负库存、重复请求

    只关注正确性问题，忽略安全和性能。`,
    { label: 'correctness-review', schema: { type: 'array', items: FINDING_SCHEMA } },
  ),
)

log(`安全 Agent 发现 ${securityFindings.length} 个问题`)
log(`性能 Agent 发现 ${performanceFindings.length} 个问题`)
log(`正确性 Agent 发现 ${correctnessFindings.length} 个问题`)

// verify-findings.workflow.js
export const meta = {
  name: 'verify-findings',
  description: '对抗验证：3 个 Agent 独立尝试证伪每个发现',
  phases: [{ title: 'Verify' }],
}

phase('Adversarial Verify')

const allFindings = [
  ...securityFindings.map((f) => ({ ...f, source: 'security' })),
  ...performanceFindings.map((f) => ({ ...f, source: 'performance' })),
  ...correctnessFindings.map((f) => ({ ...f, source: 'correctness' })),
]

const confirmed = []

for (const finding of allFindings) {
  const votes = await parallel(
    Array.from({ length: 3 }, () => () =>
      agent(
        `你的任务是**证伪**以下审查发现。默认判定为"不真实"，除非你从源代码中找到确凿证据：

        问题：${finding.title}
        描述：${finding.description}
        位置：${finding.file}:${finding.line}
        建议：${finding.suggestion}

        请阅读源码，验证：
        1. 问题描述是否准确反映了代码的实际行为？
        2. 行号是否正确？
        3. 是否是误报（代码上下文中有防御措施，或根本不存在该问题）？

        给出明确结论：isReal（boolean）、reason（理由）、evidence（引用具体代码行）。`,
        { label: `verify:${finding.file}:${finding.line}`, schema: VERDICT_SCHEMA },
      ),
    ),
  )

  const realVotes = votes.filter(Boolean).filter((v) => v.isReal).length
  if (realVotes >= 2) {
    confirmed.push(finding)
    log(`✅ 确认：${finding.title}（${realVotes}/3 确认真实）`)
  } else {
    log(`❌ 证伪：${finding.title}（${realVotes}/3 确认真实，判定为误报）`)
  }
}

log(`\n共 ${allFindings.length} 个审查发现，${confirmed.length} 个确认真实，${allFindings.length - confirmed.length} 个被证伪`)

// aggregate-tasks.workflow.js
phase('Aggregate')

const sorted = confirmed.sort((a, b) => {
  const severityOrder = { critical: 0, high: 1, medium: 2, low: 3 }
  return severityOrder[a.severity] - severityOrder[b.severity]
})

log('## 修复任务清单\n')
log('| Severity | Category | Issue | Verified | Assignee |')
log('| -------- | -------- | ----- | -------- | -------- |')
for (const f of sorted) {
  log(`| ${f.severity} | ${f.category} | ${f.title} | ${f.votes || '3/3'} | TBD |`)
}

const results = await parallel(
  () => agent('审查 billing-service 的支付相关模块', { label: 'review:billing' }),
  () => agent('审查 invoice-service 的支付相关模块', { label: 'review:invoice' }),
  // payment-service 自己就是一个 3-Agent 的 parallel
)

const [securityFindings, performanceFindings, correctnessFindings] = await parallel(
  () => agent(
    '审查 src/services/payment-service.ts',
    { subagent_type: 'security-auditor', schema: { type: 'array', items: FINDING_SCHEMA } },
  ),
  () => agent(
    '审查 src/services/payment-service.ts',
    { subagent_type: 'perf-analyzer', schema: { type: 'array', items: FINDING_SCHEMA } },
  ),
  () => agent(
    '审查 src/services/payment-service.ts',
    { subagent_type: 'code-reviewer', schema: { type: 'array', items: FINDING_SCHEMA } },
  ),
)