# 04 · 代码审查清单（Code Review Checklist）

> 用法：PR 作者自查 + 评审人复核，全部勾选才可合并。发现清单外问题同样记录到 PR。

## 1. 通用（全语言）

- [ ] 命名与现有风格一致；无魔法值（进配置/常量）
- [ ] 无注释掉的死代码、无 TODO 裸奔（TODO 必须带 issue 号或负责人）
- [ ] 公共函数有 JSDoc/docblock；复杂分支有一句话"为什么"
- [ ] 错误路径与快乐路径同等对待：超时、非 2xx、坏 JSON、空数据
- [ ] 所有外部输入（HTTP 参数、配置、API 响应）视为不可信
- [ ] 日志不打印敏感信息（Key、密码、token 永不出现在日志）
- [ ] 新增依赖需在 PR 说明理由（本仓库目标：运行时零依赖）

## 2. 插件 Host 半边（Node/ESM）

- [ ] `apply(ctx, config)` 内不做顶层 await 阻塞装配
- [ ] 配置规范化：白名单字段、类型检查、越界回默认值并 warn
- [ ] 对宿主 API 一律 feature-detect（`typeof x === 'function'`）+ try/catch
- [ ] 动态 import 失败静默降级且有 debug 日志
- [ ] 定时器/监听器/文件句柄走 ctx effect 或显式 dispose
- [ ] 不写死 `$DSH_HOME` 路径、端口、协议常量

## 3. 插件 Client 半边（浏览器）

- [ ] 注入的 DOM 全部带 `fmh-` 前缀 class；dispose 时移除自己创建的节点与 `<style>`
- [ ] 任何动态文本不得用 innerHTML 直拼——统一 `textContent` / `el()` 助手
- [ ] 外链一律 `target="_blank" rel="noopener noreferrer"`
- [ ] URL 白名单校验（仅 http/https），非法置灰
- [ ] fetch 带 AbortController 超时；竞态响应丢弃（stale 判定）
- [ ] 分页窗口算法有单测覆盖（边界：0 条、1 页、恰 7 页、8 页、当前页居窗左右侧）
- [ ] localStorage 仅存非敏感偏好（如最后页码），键名带插件前缀
- [ ] 无 eval/new Function；无第三方 CDN 脚本

## 4. PHP 后端

- [ ] 数据库操作 100% PDO 预编译；禁止字符串拼接 SQL
- [ ] 输出转义统一 `e()`；JSON 输出用 json_encode 数组形式 + JSON_THROW_ON_ERROR
- [ ] 所有状态变更 POST + CSRF token 校验（token per-session，hash_equals 比较）
- [ ] 上传？无。eval/include 变量？无。反序列化用户输入？无
- [ ] 文件权限：data/ deny-all；错误显示关闭；session 参数加固代码在入口执行
- [ ] 登录限速逻辑覆盖：失败计数、锁定窗口、成功清零
- [ ] 重定向仅限站内白名单路径
- [ ] 兼容 PHP 7.4：CI `php -l` 通过；不使用 8.x 语法
- [ ] 时区/时间统一 UTC 存储、展示本地化由前端处理

## 5. 构建与发布

- [ ] lib/ 与 src/ 同步（CI 校验重新构建后 git diff 为空）
- [ ] package.json version == CHANGELOG 最新条目 == 即将打的 tag
- [ ] files 字段最小化；server-php/ 不进入 npm 包内容物（git 安装可含，README 说明）
- [ ] README 安装命令、topics、截图可用性复查

## 6. 审查流程

1. 作者按 §1–§5 自查并在 PR 描述贴勾选结果。
2. 评审人抽核高风险区：§3 的 XSS 面、§4 的注入面、§2 的降级路径。
3. 安全项冲突时以《05-安全审查与验收》为准绳。
4. 合并采用 squash，提交信息符合 Conventional Commits。