first commit

.codebuddy/plans/Go_后端全量代码审查_a0608b8a.md

@@ -0,0 +1,65 @@
+---
+name: Go 后端全量代码审查
+overview: 对 zt-closet-backend 的 Go 后端代码（internal / pkg / global / main.go / cmd）进行全量业务逻辑与技术逻辑审查，产出一份 Markdown 审查报告文件，不改动任何业务代码。
+todos:
+  - id: baseline-review
+    content: 用 [subagent:code-explorer] 建立模块基线并核对上轮修复现状
+    status: completed
+  - id: review-trade
+    content: 用 [skill:lsp-code-analysis] 审查交易与额度域（订单/虚拟支付/额度/补偿/商品）
+    status: completed
+    dependencies:
+      - baseline-review
+  - id: review-content
+    content: 审查内容与社区域（衣物/穿搭/分享/互动/通知/AI推荐/用户）
+    status: completed
+    dependencies:
+      - baseline-review
+  - id: review-crosscutting
+    content: 审查横切技术面（安全/并发/事务/错误处理/资源/基础设施）
+    status: completed
+    dependencies:
+      - baseline-review
+  - id: generate-report
+    content: 复核上轮报告并生成审查报告 docs/代码审查报告-三次check.md
+    status: completed
+    dependencies:
+      - review-trade
+      - review-content
+      - review-crosscutting
+---
+
+## 用户需求
+
+对 zt-closet-backend 全量 Go 后端进行只读代码审查，识别业务逻辑与技术逻辑问题，并生成 Markdown 审查报告文件。
+
+## 审查范围
+
+- 覆盖 `internal/`、`pkg/`、`global/`、`main.go`、`cmd/`（不含 `thirdparty/` Python 服务）。
+- 只出报告，不修改任何业务代码，仅新增报告文件。
+
+## 审查维度
+
+- 业务逻辑：状态机流转、额度扣减/回退一致性、幂等性、并发竞态、金额与单位、边界条件、补偿机制闭环。
+- 技术逻辑：安全（SQL 注入、越权 AuthZ、SSRF、XSS、密钥泄露、反序列化）、事务一致性、并发安全、错误处理、资源泄漏、超时控制、分页边界、日志脱敏。
+
+## 交付物
+
+- 新报告文件 `docs/代码审查报告-三次check.md`。
+- 问题按「严重/中等/轻微」分级，每条包含文件+行号/函数定位、风险说明、修复建议。
+- 复核上一轮报告 `docs/代码审查报告-二次check.md` 中各项的当前修复状态。
+- 结论须基于真实代码，不确定处标注「待确认」。
+
+## 推荐扩展
+
+### SubAgent
+
+- **code-explorer**
+- 用途：跨目录建立模块与文件清单，定位上一轮报告涉及文件及当前实现状态。
+- 预期结果：产出各业务域关键文件/函数清单，支撑后续分域审查。
+
+### Skill
+
+- **lsp-code-analysis**
+- 用途：追踪额度扣减/回退、订单状态流转、权益发放等关键符号的定义与引用链。
+- 预期结果：明确关键调用链与全部调用点，验证并发与幂等路径。