differential-review

differential-review 技能概覽

differential-review 的用途

differential-review 是一套以安全為核心的審查工作流程，用來比一般提示更嚴謹地檢視 PR、commit 與 diff。它特別適合需要判斷變更是否會引入 regression 的審查者，尤其是在 auth、crypto、外部呼叫、狀態變更，以及其他高風險路徑上。

最適合誰使用

如果你正在審查安全敏感的程式碼、接手一個很大的 diff，或需要一套可重複、且能隨 codebase 大小調整的方法，那就很適合用 differential-review 技能。它特別適合工程師、安全審查者，以及想要證據導向結論、而不是只做表面逐行掃描的 AI 輔助稽核者。

它和其他方法有什麼不同

differential-review 最大的價值，在於它會先要求上下文，再下結論：基準歷史、影響範圍、測試涵蓋率，以及明確的信心界線。這個 repository 也會把輸出導向結構化的 markdown 報告，所以它不只是分析提示詞，而是一套會產出交付物的審查流程。

如何使用 differential-review 技能

安裝並載入技能

一般的 differential-review install 會先從 repository 工具鏈開始，接著把 agent 指到技能資料夾。這個套件的安裝路徑是 plugins/differential-review/skills/differential-review。如果你使用的是 Trail of Bits skills repo，請先用專案的 skills 指令安裝，然後先開啟 SKILL.md。

提供適合審查的輸入

要獲得最佳的 differential-review usage，請讓它審查明確的 base/head 範圍、commit 或 PR，並在你已知的情況下點出安全疑慮。好的輸入像是：「審查 base..head 是否有 auth bypass、reentrancy 以及缺少測試；請聚焦外部呼叫路徑與狀態轉換。」像「幫我看看這個 diff」這種模糊輸入，會留下太多猜測空間。

先讀對的檔案

一份好的 differential-review guide 會先從 SKILL.md 開始，再看 methodology.md、adversarial.md、patterns.md 和 reporting.md。這些檔案會告訴 agent 如何建立基準上下文、該用哪些攻擊模型、要掃哪些模式，以及最後報告要怎麼整理。這個 plugin 沒有額外的 helper scripts 或參考資料夾，所以這些 skill 檔案就是唯一且最重要的依據。

會影響輸出品質的工作流程建議

當你能提供乾淨的 diff、基準 commit，以及足夠的 repository 背景來檢查呼叫端與測試時，這個技能的效果最好。你可以告訴它 codebase 是小型、中型還是大型，或讓它自行判斷規模，但不要省略 baseline/history 這一步。對於 differential-review for Code Review 來說，價值最高的輸入是具體資訊：變更檔案、可能的信任邊界、可疑函式，以及你已知的任何 regression 歷史。

differential-review 技能 FAQ

differential-review 只適合安全審查嗎？

是的，主要是如此。它是為安全導向的 differential review 設計的，不是用來做一般風格修整或功能驗收。你仍然可以拿它做普通 code review，但真正的價值會在變更可能影響信任邊界、資料完整性或可利用性時最明顯。

它和一般提示詞有什麼不同？

一般提示詞可能只會摘要 diff；differential-review 則會嘗試用歷史、影響範圍與攻擊者模型去證明或推翻風險。它也預期輸出 markdown 報告，這讓結果更容易交接或歸檔。

初學者也能用嗎？

可以，但它假設使用者能指出特定 diff，並且想要結構化分析。如果你對 codebase 不熟，這個技能仍然有幫助，因為它會要求 baseline context，並把缺少的涵蓋範圍明確指出來。

什麼時候不該用？

不要把 differential-review 用在很小的文字修改、低風險、只改格式的 PR，或你只需要一段摘要的情境。當沒有實質的安全或 regression 風險時，它就顯得過度；只有在真的有值得深入檢查的內容時，這套流程才會帶來價值。

如何改善 differential-review 技能

提供更完整的審查背景

最大的改善來自於把精確的審查範圍交給技能：PR 編號、commit 範圍、目標分支，以及任何你懷疑有風險的區域。如果你知道專案領域，也請一開始就說明：Solidity 變更、API auth 流程，或付款路徑，都會把分析導向正確的攻擊模型。

第一輪就提出正確的深度要求

如果你想讓 differential-review usage 更有效，請直接指定你更在意正確性、可利用性，還是 regression 風險。例如：「請聚焦外部可呼叫函式、變更過的驗證邏輯，以及新分支是否缺少測試。」這樣可以把搜尋範圍縮到最重要的路徑，並減少雜訊型發現。

留意常見失誤模式

最常見的漏看點包括：把小 diff 當成低風險、忽略被刪除程式碼的歷史，以及在判斷影響範圍時忘了轉遞呼叫者。這個技能本來就是為了避免這些錯誤而設計，但它仍然需要具體的 baseline 和清楚界定的 diff，才能真正發揮效果。

在第一份報告後持續迭代

把第一份報告拿來修正下一輪檢查。如果結果太廣，就要求更窄的攻擊者模型，或針對某個子系統做更深入的檢視。如果結果太淺，就要求它加入更多歷史、加強測試審查，或更嚴格地聚焦不變量與 regression 路徑。