AI代码审查员培训课件照着流程就能开课

AI代码审查员培训课件第1页共1页2026版AI代码审查员培训课件解决「AI生成的代码看着规范、上线才炸」：7个模块拆解真实工作流，含课时分配表·课堂练习·结业考核·讲师手册，企业内训与转岗自学都能直接开课课程总说明一、课程基本信息项目内容课程名称AI代码审查员：从扫描告警到放行结论课程定位人机协同改造岗上岗培训。培养"能用AI扫描做全量初筛、能过滤误报、能对放行负责"的代码审查员，不是培养安全专家，也不是培养工具管理员总课时24课时（4天，每天6课时，每课时45分钟）授课形式讲授40%、案例研讨25%、上机实操30%、复盘点评5%班型12～20人小班。低于8人无法开展争议仲裁演练，高于20人无法逐份点评审查结论前置要求有2年以上开发或测试经验；能独立读懂一门语言的业务代码；自带笔记本电脑并能访问企业代码库测试环境考核方式闭卷理论30%+限时实操50%+逃逸回溯报告20%结业标准总分不低于80分，且实操环节不低于40分（满分50）。实操不通过者不发结业证，需跟下一期重做实操培训后跟踪结业后30天内由带教人复核其前20份审查结论，误判率高于15%的需补训二、课程目标学完本课程，学员能做到：1.能画出所在团队"代码从提交到进主干"的完整链路，标出AI介入点、人工介入点与三个最易失控的环节。2.能把一条审查意见准确归入Blocker、Major、Minor、Nit四级，并在30秒内说清归级理由。3.能对一条扫描告警做出真缺陷、误报、需确认的三分类判断，并写出可被第三人复核的判定依据。4.能独立完成注入、越权、敏感信息、加密误用四类安全问题的复核，给出利用条件与修复方向。5.能对涉及并发写同一资源的改动，写出"两个请求同时到达"的推演过程，而不是只写"注意并发"。6.能识别N+1查询、循环内远程调用、无分页全表加载三类性能问题，并给出量级估算。7.能在业务催上线的情况下，完成一次合规的例外放行，四个要件齐全、留痕完整。8.能对一起线上逃逸缺陷完成回溯，判断"审查阶段是否可发现"，并沉淀为规则或检查项。三、课时分配表模块主题课时形式模块一流程拆解与人机分工3讲授加链路绘制模块二判定标准：什么算不能进主干3讲授加分级演练模块三读懂AI输出与误报识别4讲授加上机分诊模块四安全类问题的复核动作4案例研讨加实操模块五正确性、并发与性能判断4推演演练加实操模块六合规与供应链复核3讲授加依赖审查实操模块七放行决策、差错处理与沉淀3情景模拟加复盘结业理论考试与实操考核2闭卷加限时实操合计—24—模块一流程拆解与人机分工1.1学习目标●能完整复述一次代码变更从提交到线上的8个环节，并说明每个环节的负责人。●能说清AI在哪些环节介入、输出什么、人在哪些环节接手、接手后要对什么负责。●能识别本团队流程中最容易"看起来审过了、其实没人看"的三个断点。1.2核心内容1.2.1一次变更的完整链路代码审查不是孤立动作，它嵌在一条链路上。链路断了，审查再认真也没用。环节发生什么谁负责典型耗时提交作者推送分支，写变更说明开发作者5～30分钟流水线编译、单测、静态扫描、依赖扫描、密钥扫描并行跑CI平台3～15分钟初筛扫描结果聚合、去重、按严重级排序工具加审查员5～20分钟人工审查读diff、核逻辑、判误报、出意见审查员15～90分钟修改与复议作者改代码或举证，审查员复核双方0.5～3天门禁检查必过项是否满足，决定能否合并平台加审查员1～5分钟合并与发布进入主干，随版本发布作者加运维按排期线上观察监控指标、错误率、告警运维加作者24～72小时链路里最常见的失控点是第三个环节：扫描结果出来了，但没人把它变成结论。工具跑得再勤，也只是把噪音从一个地方搬到另一个地方。1.2.2人机分工的四个交接点交接点AI输出人的动作常见失败模式扫描到分诊100～500条原始告警去重、归并、按风险排序直接全量转发给作者，作者放弃阅读分诊到判定带规则编号与位置的候选问题判定真缺陷、误报、需确认只点忽略不写理由，三个月后无人能复盘判定到结论已分类的问题清单定级、给修改方向、决定阻断或放行把"建议"写成"必须"，或把"必须"写成"建议"结论到责任无（工具不承担责任）签字、留痕、例外审批口头同意放行，事后无记录，出事故无法定责一句话记住交接点的本质：AI的产出是"线索"，人的产出是"决定"，责任在签字那一刻完成转移。1.2.3审查员的一天时段动作产出09:30～10:00处理隔夜队列，先看R0与R1级MR当日优先级清单10:00～12:00集中审查，每50分钟休息10分钟3～6份审查结论13:30～14:30与作者沟通争议、复核修改闭环记录14:30～16:30第二波集中审查4～8份审查结论16:30～17:30规则维护、误报统计、案例入库规则建议、周报17:30～18:00清理"待确认"超期项超期率报表深度审查每天不宜超过5小时。超过这个时长，第6小时的误判率会明显上升，这时最该做的是停下来，而不是硬撑。1.3案例或演示讲师现场打开一个真实的800行MR，投影展示：AI报出63条问题，其中41条集中在两个文件的重复代码上，12条是测试代码的硬编码，真正需要处理的是6条，而最严重的一条（分页参数未做上限校验，可被拉全表）AI没有报。演示重点是时间账：如果逐条看63条，需要50分钟；先去重再分诊，12分钟就能锁定6条。审查效率的提升不来自看得更快，而来自看得更准。1.4课堂练习学员用自己的项目画一张链路图，标注：每个环节的实际耗时、AI介入点、人工介入点、最近一次线上缺陷是从哪个环节漏出去的。20分钟后两两交换，互相指出对方链路里"没有结论出口"的环节。1.5讲师提示●学员最容易把"审查"等同于"看diff"，要反复强调审查包含前置分级、后置回溯。●不要一上来讲工具菜单，先讲责任链。学员理解了"谁签字谁负责"，后面所有标准才立得住。●若学员来自没有CI的团队，链路图会画得很短，这恰恰是最好的教学素材：先补链路，再谈审查。模块二判定标准：什么算不能进主干2.1学习目标●能把任意一条审查意见归入四个等级，并说清归级依据。●能区分"我不喜欢这种写法"与"这种写法会出事"。●能说清本团队的硬性约定（哪些写法一律禁止），并知道约定从哪里获取。2.2核心内容2.2.1四级结论级别定义典型例子处置时限Blocker会导致安全事件、资金损失、数据错误或服务不可用，必须改完才能合并硬编码生产密钥、SQL拼接、越权接口、金额用浮点累加立即，不接受延期Major在特定条件下会出问题，合并前必须改或有明确兜底缺少超时设置、吞异常、N+1查询、事务边界错误合并前Minor不影响正确性，但会增加维护成本命名与实现不符、重复代码、魔法数、注释过期下个迭代Nit个人偏好或风格问题，不改也能上线空行位置、日志措辞、变量声明顺序可不改判定口诀：问三个问题——会不会泄露、会不会算错、会不会挂。三个都不会，最多是Minor。2.2.2五维判定标准维度必查项阻断条件安全性注入、越权、敏感信息、加密误用、不安全反序列化存在可利用路径且无上游防护正确性边界、异常、空值、精度、状态流转主流程或高频路径会算错可维护性命名、耦合、重复、注释、复杂度一般不阻断，除非导致后续改动必然出错性能N+1、循环内IO、大对象、无分页、索引缺失在预估数据量下会超时或拖垮数据库合规性许可证、数据采集范围、日志脱敏、依赖来源许可证冲突、敏感数据明文落盘2.2.3团队约定与历史包袱约定类型如何获取判错的代价明确写下的规范团队规范文档、检查清单、历史评审记录低，可引用原文口口相传的惯例问模块owner、看近半年同类改动的评审意见中，容易被认为是挑刺历史事故留下的禁忌事故复盘文档、代码里的特殊注释高，踩中会直接引发事故已废弃但仍存在的写法看是否有统一替代方案、是否有迁移计划中，要求改会被反问"为什么别人不改"新人最常犯的错，是拿通用最佳实践去要求一个有三年代码债的系统。正确做法是先问"这里为什么这么写"，再判断"这次改动有没有让它更糟"。2.3案例或演示讲师给出同一段20行代码（含一个未校验的分页参数、一个拼接到日志里的手机号、一个用double累加的金额），请三位学员分别定级。常见结果是三种不同结论。讲师逐条拆解：分页未校验在数据量10万级时会导致全表扫描，定Major；手机号进日志属于个人信息泄露，定Blocker；金额用double在万级累加后会出现分位误差，定Blocker。定级分歧的本质不是水平差异，而是没有共同的判定标准。这正是本模块要解决的问题。2.4课堂练习发放20条真实审查意见（去掉项目信息），学员独立定级，然后与标准答案对比，统计分歧率。分歧率高于25%的学员，需要重做一遍并写出每条的依据。2.5讲师提示●学员常把"性能问题"一律定Major，要提醒：在100条数据的场景下N+1不是问题，在10万条时才是。定级要带数据量。●强调"阻断要有依据"，不能因为"我觉得不安全"就阻断。说不出利用条件的阻断，在争议仲裁中必输。●可以让学员分享一次"自己定的级被推翻"的经历，这比讲十条标准更有效。模块三读懂AI输出与误报识别3.1学习目标●能说清四类扫描器各自输出什么、可信度大概在什么区间。●能识别误报的六种常见成因，并说出对应的验证动作。●能在20分钟内把100条告警压到15条以内，且不漏掉高危项。3.2核心内容3.2.1四类扫描输出类型典型工具关键输出字段可信度特征静态应用安全扫描Semgrep、CodeQL、SonarQube等规则编号、文件行号、数据流路径、严重级模式匹配类误报高，数据流类误报低但漏报也高依赖漏洞扫描Dependabot、Snyk、OSV-Scanner等包名、版本、漏洞编号、修复版本准确率高，但"是否存在实际调用"需人工判断密钥扫描gitleaks等文件、匹配串、提交历史位置准确率较高，测试用假密钥是主要误报源质量与复杂度SonarQube、各语言linter圈复杂度、重复率、覆盖率、坏味道客观指标可信，但"是否要改"需结合上下文3.2.2误报的六种成因成因识别特征验证动作上游已校验参数在入口处已做类型与范围校验找到入口代码，确认校验不可绕过框架已默认防护用了ORM参数化、模板自动转义查框架版本文档，确认默认行为未被关闭命中的是测试代码路径含test、mock、fixture确认该文件不进入生产构建命中的是生成代码路径含generated、proto、构建产物确认已排除或确认生成源安全规则本身过时规则针对旧版本API，当前版本已修复查当前依赖版本与该API的实际实现数据流实际不可达危险函数在死代码或永远不成立的分支里从入口走到该行，确认可达性3.2.3告警分诊三步法步骤动作时间预算第一步：批量去重按规则加文件聚类，同类超过10条归为批量问题100条告警3分钟第二步：先砍高危误报优先验证Blocker级告警，确认是误报就立即标记并写理由每条30～60秒第三步：剩余逐条定性按文件分组，同文件的告警一起看，减少上下文切换每条20～40秒分诊的第一原则是先看会出事的，再看数量多的。很多审查员习惯从第一条往下看，看到第40条已经疲劳，恰好漏掉排在第80条的高危项。3.3案例或演示讲师投影一个真实仓库的扫描结果：180条告警，涉及42个文件。现场演示：先按规则聚类，发现96条来自同一条"魔法数"规则；再按文件聚类，发现38条集中在两个自动生成的proto文件；剩下的46条里，有12条是测试代码的硬编码。最终需要人工判断的是11条，其中2条是真缺陷（一处路径遍历、一处未校验的跳转地址）。整个过程14分钟。如果逐条看，同样的结果需要70分钟以上。3.4课堂练习发放60条脱敏后的真实告警（含4条真缺陷、38条误报、18条需确认），限时25分钟完成分诊，要求每条误报写出成因分类。讲师按"漏掉真缺陷数"和"误报理由准确率"两项打分。3.5讲师提示●学员最常见的错误是"看着不像问题就标误报"，必须强制要求写出成因，写不出成因的一律标"需确认"。●提醒学员：误报判定错误比漏判更隐蔽，因为它不会立刻出事，但会在三个月后以事故形式出现。●不要贬低工具。工具的价值在于全量覆盖，人的价值在于判断，两者不是替代关系。模块四安全类问题的复核动作4.1学习目标●能沿数据流走完一条注入链路，说清入口、传递、执行三个位置。●能用三个问题识别水平越权、垂直越权与租户隔离缺失。●能识别硬编码密钥、弱哈希、ECB模式、关闭证书校验四类加密误用。4.2核心内容4.2.1注入类：走完数据流注入类型入口特征验证动作修复方向SQL注入请求参数进入查询语句拼接找拼接点，确认是否参数化改用预编译参数或ORM绑定命令注入参数进入系统命令或脚本调用确认是否有白名单与转义改用参数数组调用，禁用字符串拼接模板注入用户输入进入模板渲染确认模板是否可控、是否沙箱模板与数据分离，禁用动态模板日志注入用户输入直接写日志确认是否含换行与控制字符转义换行，结构化日志表达式注入输入进入动态表达式或规则引擎确认表达式来源是否可信白名单函数，禁用任意表达式数据流核查的三句话：这个值从哪来、经过谁、最后进了哪个危险函数。三句话答不全，就不能判误报。4.2.2越权类：三个核对问题越权类型核对问题常见伪装水平越权这个接口有没有校验"这条数据属于当前用户"有登录校验，但只查了ID存在性垂直越权这个接口有没有校验"当前用户有这个角色"前端隐藏了按钮，后端未校验租户隔离查询条件里有没有强制带上租户ID靠前端传租户ID，后端不校验批量接口批量操作是否逐个校验归属只校验第一个ID最典型的漏判是"接口上有鉴权注解"。注解只证明"登录了"，不证明"这条数据是你的"。审查时必须追问资源归属。4.2.3密钥与加密问题识别特征处置硬编码密钥代码里出现长随机串、AK/SK前缀、私钥头一律阻断，要求走配置中心或密钥管理，并轮换已泄露的密钥弱哈希存密码用MD5、SHA1直接存密码阻断，改用带盐的慢哈希ECB模式加密代码里出现ECB字样阻断，改用带随机IV的认证加密模式固定IVIV写成常量或全零阻断，IV必须随机且随密文传输关闭证书校验出现跳过校验的参数或信任所有证书阻断，除本地调试且已加环境判断随机数误用令牌用普通伪随机函数生成阻断，改用密码学安全随机源4.2.4依赖与许可证许可证类型主要约束处置建议MIT、BSD、Apache2.0保留版权声明，Apache需保留NOTICE可使用，注意声明文件LGPL动态链接可闭源，修改库本身需开源谨慎使用，避免静态链接与修改GPL衍生作品需以同许可证开源闭源产品一律阻断AGPL网络服务使用也触发开源义务闭源产品与服务一律阻断无许可证声明默认保留所有权利阻断，要求替换或取得授权自定义商业许可条款差异极大转法务，不得自行判断许可证判断有一条铁律：看不懂就转法务，不要凭印象下结论。一次误判可能导致产品全量下线。4.3案例或演示讲师展示一个"看起来没问题"的文件上传接口：有登录校验、有文件类型白名单、有大小限制。逐层拆开后发现三个问题——白名单只校验了Content-Type（可伪造）、存储路径由用户传入的文件名拼接（路径遍历）、上传后的文件可通过静态资源目录直接访问（可执行脚本）。三个问题AI只报了路径遍历一条。结论：AI能发现"字符串拼接"这个模式，但发现不了"白名单校验错了字段"这种语义问题。4.4课堂练习发放5段各30～50行的代码（含SQL拼接、越权查询、硬编码密钥、ECB加密、路径遍历），限时30分钟，要求每段写出：问题位置、利用条件、影响、修复方向。四人一组互评，讲师点评分歧最大的两段。4.5讲师提示●不要讲成渗透课。学员需要的是"判断这段代码会不会出事"，不是"如何攻击"。●反复强调利用条件。说不出利用条件的漏洞，在争议中会被作者一句"外网访问不到"顶回来。●密钥类问题要讲清"删除文件不等于修复"，提交历史里的密钥必须轮换。模块五正确性、并发与性能判断5.1学习目标●能对一个新增方法列出至少5个边界输入及预期行为。●能对并发写同一资源的场景写出时序推演，指出可能的结果。●能识别N+1、循环内IO、无分页加载三类性能问题，并估算量级。5.2核心内容5.2.1边界清单类型必查输入典型后果空与空集合null、空字符串、空列表空指针、除零、返回结构异常数值边界0、负数、超大值、精度临界金额算错、库存扣成负数、溢出长度边界超长字符串、超长列表、深嵌套截断、内存溢出、栈溢出时间边界时区、跨天、闰年、夏令时统计错位、定时任务重复执行分页边界第一页、最后一页、超出总页数重复数据、死循环、全表扫描重复提交同一请求连点、消息重复消费重复扣款、重复发货5.2.2并发时序推演场景推演问题结论写法库存扣减两个请求同时读到库存1，各自扣1，结果是多少写明是否需要用条件更新或分布式锁账户余额并发转账是否会出现覆盖写写明是否需要乐观锁版本号幂等控制同一订单的回调到达两次写明幂等键是什么、存在哪里、过期多久缓存与库先更新库再删缓存，两步之间读到什么写明不一致窗口与兜底消息消费消息重投时业务是否重复执行写明消费端去重方案分布式事务本地事务成功后远程调用失败写明补偿或对账机制推演的标准句式：请求A在第一步之后暂停，请求B完成全部步骤，此时A继续执行，数据会变成什么。写不出这句话，就说明没推演。5.2.3性能的五个信号信号识别方法量级估算N+1查询循环体内有查库或远程调用列表200条即200次查询，单次5毫秒则多1秒循环内IO循环体内读写文件、发消息、调接口按单次耗时乘以循环次数估算无分页加载查询无limit或limit由前端传入且无上限表数据10万行时单次加载可达数百毫秒并占大量内存大对象序列化一次性把大集合转JSON或全字段查询字段越多、嵌套越深，序列化耗时呈线性上升连接与线程耗尽连接池偏小、长事务、线程池无界队列并发100时可能出现排队与超时5.3案例或演示讲师展示一段"只加了一个循环"的代码：在订单列表返回前，循环查询每个订单的物流状态。数据量50条时接口200毫秒，看不出问题；运营把每页调到200条后，接口变成2.3秒，数据库连接池被打满，连带影响了其他接口。演示重点是量级思维：不是判断"有没有循环"，而是判断"循环次数乘以单次耗时在最大数据量下是多少"。5.4课堂练习发放一段含库存扣减与订单状态更新的代码，要求：写出两个请求同时到达的推演过程；列出6个边界输入；指出一处性能隐患并估算量级。限时30分钟，讲师抽取3份现场点评。5.5讲师提示●学员容易把并发问题写成"建议加锁"，要追问"加什么锁、锁的粒度、锁的范围、会不会死锁"。●性能判断一定要带数据量。脱离数据量谈性能，等于没谈。●可以让学员算一次自己系统的真实数字，比讲理论印象深得多。模块六合规与供应链复核6.1学习目标●能指出个人信息在代码里的四个常见落点，并说明对应的核查动作。●能判断一段日志是否构成敏感信息泄露，并给出脱敏方案。●能对一次依赖变更完成许可证、漏洞、来源、维护状态四项审查。6.2核心内容6.2.1数据合规在代码里的落点要求代码位置核查动作最小必要采集接口入参、表单字段核对每个字段是否有业务用途，是否超出需求明示同意注册与授权流程确认同意记录是否落库、是否可追溯存储限制数据库表、缓存、日志确认敏感字段是否加密或脱敏，保留期限是否可配置删除权用户注销、数据清理任务确认删除是否覆盖主库、从库、缓存、备份跨境限制第三方SDK、海外节点调用确认数据流向，是否有未申报的出境6.2.2日志与脱敏字段风险正确做法手机号可直接识别个人中间四位掩码，或只记哈希身份证号高敏感，泄露后果严重一律不落日志，必要时记后四位银行卡号涉及资金安全只记后四位，禁止记完整卡号与CVV密码与令牌可直接用于登录任何情况下不得打印，包括调试日志地址与位置可推断个人行踪精确到城市或做泛化请求体全文可能夹带上述所有字段默认不打印，调试开关须有环境限制与有效期6.2.3供应链风险风险识别方法处置抢注包名包名与知名库仅差一两个字符，下载量极低阻断，核实官方来源无锁文件依赖变更未提交锁文件退回，要求锁定版本与哈希维护停滞两年以上无更新、issue无人响应提交风险评估，寻找替代来源不明从个人仓库或非官方镜像引入阻断，改走企业私有源传递依赖直接依赖干净，间接依赖带漏洞用依赖树工具展开核查构建脚本执行安装时执行任意脚本审查安装脚本，必要时禁用6.3案例或演示讲师展示一次真实的依赖变更：新增一个工具库，许可证为MIT，看起来没问题。展开依赖树后发现它引入了一个AGPL的间接依赖，且该间接依赖在安装时执行脚本下载二进制。三个问题里，只有"无锁文件"被工具报出，许可证冲突与安装脚本都需要人工展开依赖树才能发现。6.4课堂练习发放一份依赖变更清单（含6个新增包，其中1个抢注、1个AGPL传递依赖、1个两年未更新），学员用依赖树工具展开核查，30分钟内出结论：哪几个阻断、哪几个可用、理由是什么。6.5讲师提示●合规部分最容易讲成法条宣讲，务必落到"代码哪一行、查什么动作"。●强调许可证判断的边界：审查员做初判，法务做终判，不要越权下结论。●提醒学员关注传递依赖，这是实际工作中漏判率最高的一类。模块七放行决策、差错处理与沉淀7.1学习目标●能在5分钟内对一个MR给出放行、有条件放行、阻断三种结论之一，并说清依据。●能完成一次合规的例外放行，四个要件齐全。●能对一起逃逸缺陷完成回溯，产出可执行的改进项。7.2核心内容7.2.1放行决策条件结论审批要求无Blocker、无Major，Minor已记录放行审查员签字即可有Major但有明确兜底且已验证有条件放行审查员签字加兜底方案留档有Blocker，业务不紧急阻断审查员直接阻断有Blocker，业务紧急例外放行需业务负责人与技术负责人双签无法判断是否有Blocker阻断并升级转安全或架构，24小时内给结论7.2.2例外放行的四个要件要件要求留痕方式书面审批业务负责人与技术负责人双签，注明理由审批单关联到MR补偿措施明确临时防护手段，如网关限流、开关关闭、人工审核写在审批单内整改期限明确修复时间，通常不超过7天，资金类不超过24小时生成整改工单并指派责任人复核安排明确谁在什么时间验证整改完成工单到期自动提醒四个要件缺一，这次放行在事故认定时就会被认定为违规操作。口头同意、聊天记录同意都不算书面审批。7.2.3逃逸回溯回溯问题追问沉淀去向这个缺陷在审查阶段能看到吗当时diff里有没有相关行若能看到，补检查项为什么没看到是没查、看不懂、还是判成误报分别对应流程、能力、标准问题工具报了吗报了但被忽略，还是根本没报忽略则修误报判定，没报则补规则同类代码还有多少全库检索相同模式生成专项排查任务怎么防止再次发生规则、检查项、培训、还是流程卡点至少落一项，指定责任人7.3案例或演示讲师复盘一次真实事故：上线后第二天发现优惠券可被重复领取，损失约3万元。回溯发现，审查阶段AI报了"缺少唯一约束"的提示，审查员判定为误报（理由是"业务层已做校验"），但业务层校验只在单机内存中，多实例部署后失效。三个改进项：一是把"分布式场景下的唯一性"加入检查项；二是误报判定涉及并发时必须有第二人复核；三是把该案例入库，作为新人培训的必讲案例。7.4课堂练习给出一个含Blocker的MR与一个"业务明天必须上线"的场景，学员分饰审查员、开发、业务负责人，完成一次例外放行的完整流程：审批、补偿、整改期限、复核安排。讲师按四要件齐全度打分。7.5讲师提示●例外放行是最容易走形的环节，务必让学员实际填一遍审批单，而不是听讲。●强调"阻断不是目的，可控交付才是"。一味阻断的审查员会被绕过，最终失去作用。●回溯要避免变成追责会。追责会让所有人开始隐藏信息，回溯就失去价值。结业考核一、考核构成环节形式时长分值通过线理论闭卷，40题（选择加简答）60分钟30分18分实操限时审查一个真实MR（含120条告警）90分钟50分40分回溯提交一份逃逸缺陷回溯报告课后3天20分12分二、评分维度表维度权重评分要点告警分诊20%是否去重、是否优先处理高危、是否漏掉真缺陷缺陷识别25%是否发现安全、正确性、性能三类问题，是否说清利用条件误报判定15%是否写出成因，是否有无依据的误报结论质量20%分级是否准