繁星阁变更雷达与本地融合建议

| 本地存在具体可复核的辅助函数 | P0 | 这些是按需加载的 Markdown 审查规则，无新增服务、凭证或本地模型依赖。 ## 3) 特别值得融合进本地的 Top 5 **本期仅三个有证据的落地点，不凑数；均未执行修改。** 1. **补现有 review 清单｜P0** 在 `software-development/github/references/code-review.md` 增加：值/标识符分离、动态字段白名单、ORM 原始表达式入口、LIKE 字面/通配语义。复用已有技能，不再建重复总技能。 2. **定向复核 `youth-db` 辅助函数｜P0** 本地 `youth_db.py:1320` 的 `cmd_find` 直接拼入 keyword；`:1264,1270` 的 `cmd_desc` 直接拼表名。建议先补离线测试，再适配： - 值使用 PyMySQL **`%s`** 绑定，不能照搬 Go 的 `?`。 - 表名做受控标识符校验，不能当普通值绑定。 - 保留现有事实路由、只读和 EXPLAIN 门禁。 **这里只确认了代码形态，未证明可利用漏洞，也未连接数据库。** 3. **沉淀一页知识｜P0** 在统一 llm-wiki 中整理“SQL 安全审查边界”，链接现有 `AI-Code-Review`，记录来源分支与 commit；GORM 的具体行为作为待补证案例。 ## 4) 暂不融合／仅观察 - 源规范“DTO 扫描表名必然错误”的表述不宜直接泛化；需结合实际 GORM 版本、Model/Table 和生成 SQL 验证。 - LIKE 转义适用于**字面匹配**；业务若允许通配搜索，应明确语义，不能一刀切。 - P2：暂不整体导入编码框架，不执行其 usage reporter。本地并非缺少全部 SQL 安全能力，缺的是更细的场景检查。 ## 5) 下次跟踪点 - 跟踪 `655607a` 后续修订和合入主线情况；本次已保存分支游标。 - `youth-db` 先以 mock cursor 覆盖引号、通配符、反斜线及非法表名。 - 下次相关 Go 项目 review 时，再核对 GORM 最终 SQL，不为雷达额外访问线上。 ## 6) 证据与沉淀 **CNB：** - `coding/coding-standards/SKILL.md`：Quick Gate 第 4 项。 - `coding/coding-standards/references/mysql-redis-locking.md:18-26`：新增规范。 **本地对照：** - `~/.hermes/skills/software-development/github/references/code-review.md` - `~/.hermes/skills/youth-db/SKILL.md` - `~/.hermes/skills/youth-db/youth_db.py:1258-1270,1315-1320` 报告已保存至 `~/.hermes/cron/output/a101e2378bae/`，包含时间戳 Markdown、latest Markdown 和结构化 JSON；状态文件已更新。 **[观澜台任务详情](https://abos-at.work/cc-wechat/files/observatory/report-bus/task-a101e2378bae.html)已刷新**，公网 JSON、任务页和首页均读回校验通过。只读 review 与发布已完成，无阻塞；未安装或覆盖 skills，未修改业务脚本、知识库或 cron。