编码 agent 的工程纪律：需求、测试与评审
给已经在用 Claude Code、Codex 等编码 agent 的全栈、后端、前端与测试工程师，按一次改动的顺序排：先被 agent 追问需求，再写规格、拆任务，测试先行（先写会失败的测试再写实现），按流程排查缺陷，拿证据验收，做代码评审。排在最后的会话交接、记忆与安全护栏贯穿全程，开工前就装好。技能只是写给 agent 的规则，它不一定照做，关键处要靠测试和钩子（在工具调用前后、每轮开始等时机自动运行的脚本）兜底；AI 评审不能代替人工评审。部分插件只支持 Claude Code，评审工具要配模型接口或 GitHub CLI；第三方技能与 MCP 装之前先读一遍它的脚本。
12 个资源更新于 2026-10-12
- Grill MeSkill追问需求：动手前输入 /grill-me，agent 围绕你的计划或设计逐个提问并附上推荐答案，直到每个决策都问清楚。要同时装同仓库的 grilling 技能，目录里的安装命令已包含。mattpocock/skills278k
- Spec KitCLI写规格、拆任务：GitHub 官方工具，按 specify、plan、tasks、implement 几步把需求变成规格、技术方案和任务清单，再照着实现。需要 Python 3.11+ 与 uv，有简体中文 README。github/spec-kit139k
- tddSkill测试先行：先和你约定在哪些接口上测，再一次只写一个会失败的测试，补最少的实现让它通过；还列出耦合实现、同义反复等坏测试写法。出自 Matt Pocock 的技能集。mattpocock/skills293k
- Diagnosing BugsSkill排查疑难缺陷：先造出能稳定复现问题的测试或脚本，再缩小范围、列出 3 到 5 个可证伪的假设逐个验证，修好后补回归测试；要求输出里的密钥先打码。mattpocock/skills294k
- Verification Before CompletionSkill拿证据验收：agent 说「完成了」「测试通过」之前，必须重新跑完整的验证命令、读完输出再下结论，不许凭印象报喜。出自 Superpowers，可以单独安装。obra/superpowers292k
- Code ReviewPlugin评审 GitHub PR：4 个子代理并行查是否违反 CLAUDE.md、有无明显缺陷、结合 git 历史找问题，过滤低置信度结果，加 --comment 发成 PR 评论。只支持 Claude Code，要已登录的 GitHub CLI。anthropics/claude-code151k
- Open Code ReviewCLI本地评审：阿里开源的 ocr 命令评审工作区、单个提交或分支差异，给出行级意见，宁可少报、不乱报。可选内置供应商或自定义接口并填 API Key；另装它的 delegate 技能可交给当前 agent 评审，不用 Key。alibaba/open-code-review41.9k
- Planning with FilesSkill会话交接：把计划、调研发现和进度写进项目里的三个 Markdown 文件，钩子每轮注入，/clear、上下文压缩或会话中断后能接着做。要中文版就把安装命令里的技能名换成 planning-with-files-zh。OthmanAdi/planning-with-files27.2k
- Claude-MemPlugin跨会话记忆：钩子记录工具调用并生成摘要，新会话自动带上相关上下文，有简体中文模式。摘要另调模型，可选托管服务、OpenRouter 或 Gemini Key、Anthropic 订阅，代码片段会发给所选服务，公司代码先确认能否外发。thedotmack/claude-mem101k
- CC Safety NetPlugin拦截危险命令：挡下 git reset --hard、危险路径上的 rm -rf 与读写 SSH 密钥、.env，换种写法也能识别，但不是沙箱。支持 Claude Code、Codex、Kimi Code 等，需 Node.js 18+。kenryu42/cc-safety-net1.6k
- Anthropic Sandbox Runtime (srt)CLI沙箱：用 srt 包住 agent、本地 MCP 服务器或任意命令，无需容器。默认断网、只能写少数默认路径，联网按白名单放行；读文件默认不受限，要用 denyRead 挡住 ~/.ssh 等目录。Anthropic 官方研究预览版。anthropics/sandbox-runtime5.5k
- Supply Chain Risk AuditorSkill审查依赖：读取 npm、PyPI、Go 的清单与锁文件，检查已知漏洞、弃用或无人维护的上游、安装期脚本等风险，不安装也不运行项目。需要 uv，建议登录 gh；不支持 pnpm、yarn、poetry 的锁文件。trailofbits/skills7.5k
