---
name: Go 后端全量代码审查
overview: 对 zt-closet-backend 的 Go 后端代码（internal / pkg / global / main.go / cmd）进行全量业务逻辑与技术逻辑审查，产出一份 Markdown 审查报告文件，不改动任何业务代码。
todos:
  - id: baseline-review
    content: 用 [subagent:code-explorer] 建立模块基线并核对上轮修复现状
    status: completed
  - id: review-trade
    content: 用 [skill:lsp-code-analysis] 审查交易与额度域（订单/虚拟支付/额度/补偿/商品）
    status: completed
    dependencies:
      - baseline-review
  - id: review-content
    content: 审查内容与社区域（衣物/穿搭/分享/互动/通知/AI推荐/用户）
    status: completed
    dependencies:
      - baseline-review
  - id: review-crosscutting
    content: 审查横切技术面（安全/并发/事务/错误处理/资源/基础设施）
    status: completed
    dependencies:
      - baseline-review
  - id: generate-report
    content: 复核上轮报告并生成审查报告 docs/代码审查报告-三次check.md
    status: completed
    dependencies:
      - review-trade
      - review-content
      - review-crosscutting
---

## 用户需求

对 zt-closet-backend 全量 Go 后端进行只读代码审查，识别业务逻辑与技术逻辑问题，并生成 Markdown 审查报告文件。

## 审查范围

- 覆盖 `internal/`、`pkg/`、`global/`、`main.go`、`cmd/`（不含 `thirdparty/` Python 服务）。
- 只出报告，不修改任何业务代码，仅新增报告文件。

## 审查维度

- 业务逻辑：状态机流转、额度扣减/回退一致性、幂等性、并发竞态、金额与单位、边界条件、补偿机制闭环。
- 技术逻辑：安全（SQL 注入、越权 AuthZ、SSRF、XSS、密钥泄露、反序列化）、事务一致性、并发安全、错误处理、资源泄漏、超时控制、分页边界、日志脱敏。

## 交付物

- 新报告文件 `docs/代码审查报告-三次check.md`。
- 问题按「严重/中等/轻微」分级，每条包含文件+行号/函数定位、风险说明、修复建议。
- 复核上一轮报告 `docs/代码审查报告-二次check.md` 中各项的当前修复状态。
- 结论须基于真实代码，不确定处标注「待确认」。

## 推荐扩展

### SubAgent

- **code-explorer**
- 用途：跨目录建立模块与文件清单，定位上一轮报告涉及文件及当前实现状态。
- 预期结果：产出各业务域关键文件/函数清单，支撑后续分域审查。

### Skill

- **lsp-code-analysis**
- 用途：追踪额度扣减/回退、订单状态流转、权益发放等关键符号的定义与引用链。
- 预期结果：明确关键调用链与全部调用点，验证并发与幂等路径。