实战案例复盘用 ClaudeCodeAgents 完整审计一个认证系统的实现【免费下载链接】ClaudeCodeAgentsA set of useful QA agents for Claude Code.项目地址: https://gitcode.com/gh_mirrors/cl/ClaudeCodeAgents开发说认证系统做完了你敢直接上线吗本文复盘一次真实的认证系统交付审计看 ClaudeCodeAgents 这套面向 Claude Code 的 QA 智能体集合如何把口头完成变成证据确凿的验收结论。为什么认证系统最需要一次审计级验收认证系统是任何应用的安全命门JWT 签发、密码重置、会话过期、多租户权限……任何一个环节看起来能用都可能埋下重大隐患。常规的自测只能覆盖快乐路径而真正的问题往往藏在错误处理、边界条件和集成点里。ClaudeCodeAgents 恰好是为此而生的工具——它是一套开箱即用的 QA 智能体集合专门为 Claude Code 扩展代码审查、规范校验、任务完成度验证等能力。与其相信测过了不如让 AI 审计员独立检查一遍。这就是本次实战复盘的主题用 ClaudeCodeAgents 完整审计一个认证系统的实现。ClaudeCodeAgents 是什么一套 QA 智能体全家桶整个项目由一组 markdown 定义文件构成每个文件就是一个职责明确的AI 审计员你可以按需召唤、互相协作。核心成员如下智能体文件核心职责 JennyJenny.md核对实现与规格的一致性做差距分析✅ Claude MD Compliance Checkerclaude-md-compliance-checker.md检查改动是否符合 CLAUDE.md 项目规范 Code Quality Pragmatistcode-quality-pragmatist.md排查过度设计、冗余抽象与过早优化 Karenkaren.md实际运行代码揭穿宣称完成与真正可用的差距 Task Completion Validatortask-completion-validator.md验证任务是否端到端真实可用而非 stub️ UI Comprehensive Testerui-comprehensive-tester.md自动选择 Playwright 等工具做全平台 UI 测试 Ultrathink Debuggerultrathink-debugger.md深挖根因处理疑难 bug 与诡异故障它们在 README.md 中都有使用场景说明彼此之间还内置了协作协议例如 Jenny 发现问题后会建议转交task-completion-validator复核。审计路线图认证系统五步走审计流程本次审计我们按需求→功能→质量→规范→实测五个维度推进每个维度对应一个专职智能体避免单一视角的盲区。第一步用 Jenny 核对需求与实现的一致性审计起点是需求文档。把认证规格如 JWT 过期策略、刷新令牌轮换规则、密码强度要求交给 Jenny它会独立阅读代码、数据库 schema 与配置逐条对照规格输出差距清单。这一步我们立刻发现了第一个问题规格要求刷新令牌 7 天轮换但代码里的RefreshTokenLifetime被写成了常量 30 天——规格说 7实现写 30这种不一致在人工 review 时很容易被看起来没问题糊弄过去。第二步用 task-completion-validator 验证功能是否真实可用接下来验证功能是否真的能跑。task-completion-validator的审查方式非常严格它会检查核心路径是否被 stub、错误处理是否被空 catch 吞掉、测试是否只是在测 mock。审计中它抓到了两个典型问题空异常处理catch (Exception e) { }吞掉了令牌解析失败用户会收到诡异的 500假测试单测只测了mockTokenService从不走真实签名与验签路径。这类测试全绿但一上线就崩的陷阱正是认证系统审计里最常见的暗雷。第三步用 code-quality-pragmatist 排查过度设计功能能跑之后检查复杂度是否配得上需求。code-quality-pragmatist专门打击企业级模式套在 MVP 项目上的过度设计多余抽象层、杀鸡用牛刀的缓存中间件、三层封装只为调一个接口。本次它建议砍掉一层ITokenStrategy抽象——项目里只有一种令牌策略多一层接口纯粹增加心智负担。这个建议同时由Jenny复核规格并未要求策略可插拔可以安全简化。第四步用 claude-md-compliance-checker 检查项目规范符合性如果你的项目有 CLAUDE.md这一步必不可少。claude-md-compliance-checker会逐条比对最近的改动是否违反项目规则例如不该创建的文件是否被创建是否做了需求之外的事。审计中发现开发顺手创建了一个docs/auth-notes.md违反了除非明确要求否则不主动创建文档的项目规则——属于典型的 scope creep需要回退。第五步用 karen 复跑真实场景做最后兜底最后请出 Karen——它是唯一坚持去把代码跑起来的智能体。Karen 不看代码自我辩解直接调接口、打数据、查日志。我们模拟了真实攻击场景连续 5 次错误密码、跨设备登录、过期令牌访问受保护接口。结果发现多租户数据隔离在单租户 fixture 下全通过但换成真实多租户数据后查询漏加了tenant_id过滤——只在特定环境下才暴露的高危问题被 Karen 一跑现行。实战发现认证系统最常见的 6 类问题把五个智能体的报告汇总后问题清单一目了然#问题严重级别发现者1刷新令牌生命周期与规格不符7 天 vs 30 天高Jenny2令牌解析异常被空 catch 吞掉高task-completion-validator3单测只测 mock未走真实验签路径高task-completion-validator4多租户查询漏过滤 tenant_id严重karen5不必要的策略抽象层低code-quality-pragmatist6未经要求创建说明文档低claude-md-compliance-checker可以看到高危问题大多来自看起来完成的角落而 Karen 的实测能力恰好补上了静态审查的盲区。复盘总结审计认证系统的 4 条核心经验多视角交叉审计比单次 review 可靠需求、功能、质量、规范、实测五路并行任何单一智能体的盲区都能被队友覆盖。能跑和符合规格是两件事Jenny 管规格对齐task-completion-validator管功能落地缺一不可。一定要实测别只读代码Karen 的做法真实调用接口、真实数据、真实日志是审计的底线。让智能体之间互相协作项目内置的跨智能体协议如file_path:line_number引用格式、统一的严重级别让多轮审计报告可以无缝拼接。快速上手3 步在项目中启用 ClaudeCodeAgents想在自己的认证系统上复刻这套审计流程步骤如下获取智能体定义克隆仓库即可拿到全部智能体文件仓库地址为https://gitcode.com/gh_mirrors/cl/ClaudeCodeAgents将需要的.md文件放入你的 Claude Code 工作区按需召唤参照 README.md 的场景说明在对话中指定对应智能体例如用 Jenny 核对认证实现与规格串联执行按 Jenny → task-completion-validator → code-quality-pragmatist → claude-md-compliance-checker 的顺序跑一轮最后用 Karen 实测收尾。整个过程零代码侵入——你不需要改一行业务代码只需要把审计任务交给 Claude Code。写在最后认证系统的质量不该建立在开发者说做完了这句话上。ClaudeCodeAgents 的价值正是把验收从主观承诺变成客观证据规格有人核对、功能有人验证、质量有人把关、规范有人检查、真相有人实测。下次再听到认证系统完成了不妨让这套 QA 智能体跑一遍你会看到另一番风景。【免费下载链接】ClaudeCodeAgentsA set of useful QA agents for Claude Code.项目地址: https://gitcode.com/gh_mirrors/cl/ClaudeCodeAgents创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考