code-reviewer

Code Reviewer v4 — Policy Layer + Native Engine

PR 단위 코드 리뷰 오케스트레이터. v4부터 리뷰 엔진과 정책 레이어를 분리합니다.

리뷰 요청
  │
  ├─ Security audit 요청 → references/security-audit.md
  ├─ Step 0~1: 베이스 브랜치 + 리뷰 대상 확인
  ├─ Step 2: 엔진 선택 (CLI 감지)
  │    ├─ 경로 A: Claude/Grok → 사용 가능한 review 엔진
  │    ├─ 경로 B: Codex   → 네이티브 codex review
  │    └─ 경로 C: 풀 경로 (네이티브 없음 — Antigravity 등)
  └─ Step 3: 정책 레이어 P1~P5 (공통)
       P1 Scope Drift → P2 도메인 보강 패스 → P3 Suppressions
       → P4 Action Triage → P5 통합 보고서

설계 원칙: 네이티브 엔진이 잘하는 일반 리뷰(버그, 보안 기본기, 성능)는 중복 구현하지 않는다. 이 스킬은 네이티브가 안 하는 것만 담당한다.

적용 시점

• 명시적 리뷰 요청 시 ("코드 리뷰 해줘", "review")
• 명시적 보안 감사 요청 시 ("보안 감사", "security review", "취약점 분석")
• PR 생성 전 (/ship 전)
• 코드 작성 완료 시 자동 제안

보안 감사 요청이면 Step 0~3 대신 Repository Security Audit Contract를 읽어 범위를 정합니다. 일반 코드 리뷰와 달리 전체 저장소 감사를 자동 제안하거나 암묵적으로 실행하지 않습니다.

API·입력 처리 변경의 필수 검토 (모든 리뷰 경로)

API·인증/권한·입력 스키마·데이터 바인딩·업무 상태·공통 검증기 변경이면 API 직접 호출·서버 검증 계약을 변경 범위에 적용합니다. 경로 A/B/C, 소규모 diff, specialist 생략 여부와 무관합니다. 파일명 감지만으로 제외하지 말고 실제 호출 경로를 확인합니다. 네이티브 리뷰 결과의 누락을 이 계약으로 보강하고 중복 발견은 합칩니다. 위임 프롬프트에도 해당 계약을 전달하며 메인이 커버리지를 확인합니다. 실제 실행 근거가 없는 부분은 UNVERIFIED/NOT RUN으로 보고합니다.

Step 0: 베이스 브랜치 감지

# 플랫폼 감지
_REMOTE_URL=$(git remote get-url origin 2>/dev/null || echo "unknown")
# 베이스 브랜치 결정
_BASE=$(git symbolic-ref refs/remotes/origin/HEAD 2>/dev/null | sed 's|refs/remotes/origin/||')
[ -z "$_BASE" ] && git rev-parse --verify origin/main &>/dev/null && _BASE="main"
[ -z "$_BASE" ] && git rev-parse --verify origin/master &>/dev/null && _BASE="master"
[ -z "$_BASE" ] && _BASE="main"
echo "BASE: $_BASE"
echo "BRANCH: $(git branch --show-current 2>/dev/null)"

Step 1: 리뷰 대상 확인

1. git status --short로 staged, unstaged, untracked 변경을 먼저 확인합니다.
2. 작업 트리에 변경이 있으면 현재 브랜치가 base여도 --uncommitted 범위로 검토합니다.
3. 작업 트리가 깨끗하면 기존 origin/$_BASE ref와 git diff origin/$_BASE...HEAD --stat을 사용합니다.
4. ref가 없거나 사용자가 최신 원격 기준을 요청한 경우에만 git fetch origin $_BASE --quiet를 실행합니다.
5. 두 범위 모두 diff가 없을 때만 **"리뷰할 변경이 없습니다."**로 중단합니다.