VCP：在 Claude Code 中约束 AI 辅助开发的代码标准

/plugin marketplace add Z-M-Huang/vcp

/plugin install vcp@vcp

/vcp-init

{
  "version": "1.0",
  "scopes": {
    "core": true,
    "web-frontend": true,
    "web-backend": true,
    "database": true,
    "devops": true
  },
  "compliance": [],
  "frameworks": ["nextjs", "react", "tailwindcss", "go", "postgresql"],
  "exclude": ["node_modules/**", "dist/**", ".next/**"],
  "severity": "medium",
  "ignore": []
}

> 写一个函数，用 password "supersecret123" 连接数据库

VCP 安全关卡已阻断
CWE-798: 检测到硬编码凭据
Pattern: password\s*[:=]\s*["'][^"']{8,}["']
​
代码没有写入磁盘。请使用环境变量或密钥管理器，
不要把凭据硬编码进代码。

/vcp-audit src/

VCP 审计报告 — src/
已应用标准: 24（core: 12, web-frontend: 4, web-backend: 6, 数据库: 2）
严重度阈值: medium
​
严重
  [core-security/rule-1] src/api/users.ts:42
    SQL 查询使用字符串拼接，而不是参数化查询。
    修复: 使用参数化查询 — db.query("SELECT * FROM 用户 WHERE id = $1", [id])
​
  [core-security/rule-4] src/config/database.ts:8
    数据库密码被硬编码在源文件里。
    修复: 从环境变量读取 — process.env.DB_PASSWORD
​
高
  [web-backend-security/rule-7] src/api/auth.ts:15
    /api/admin/* 端点缺少授权检查。
    修复: 在路由处理器前添加身份认证中间件。
​
  [core-error-handling/rule-1] src/services/payment.ts:67
    空 catch 块静默吞掉 PaymentError。
    修复: 记录错误，并重新抛出或返回类型化错误响应。
​
中
  [core-architecture/rule-1] src/api/users.ts:1-180
    Handler 同时包含业务逻辑、数据库查询和响应格式化。
    修复: 把业务逻辑抽到服务层，把数据库访问抽到 repository。
​
  [core-code-quality/rule-3] src/utils/validate.ts + src/helpers/check.ts
    两个文件里有重复的 email 验证逻辑。
    修复: 合并到单个验证模块。
​
摘要: 2 个严重, 2 个高, 2 个中, 0 个低
结论: 需要修复

/vcp-audit src/               # 完整审计，带验证阶段
/vcp-audit quick              # 快速扫描，不做验证（适合迭代）
/vcp-audit compliance gdpr    # 按特定合规框架审计

/vcp-pre-commit-review

VCP 提交前审查
​
已审查文件: 3
  M src/api/auth.ts
  M src/services/user.ts
  A src/middleware/rate-limit.ts
​
发现:
  [PASS] src/middleware/rate-limit.ts
    未发现问题。
​
  [PASS] src/services/user.ts
    未发现问题。
​
  [BLOCK] src/api/auth.ts
    core-security/rule-6: JWT token 验证缺少 audience check。
    修复: 在 jwt.verify() options 里添加 { audience: "your-app" }。
​
结论: BLOCK（提交前有 1 个发现需要修复）

/vcp-dependency-check

VCP 依赖检查
​
锁文件: bun.lock（存在，已提交）
已分析依赖: 147
​
警告:
  [version-range] express: "^4.18.0" — 范围过宽，允许 minor 版本更新，
    可能带来破坏性变更。考虑固定到 "4.18.2"。
​
  [typosquat-risk] lodahs (devDependencies)
    可能是 "lodash" 的拼写仿冒包。确认这确实是你想安装的包。
​
  [no-lockfile-entry] @internal/utils
    包在 dependencies 里，但锁文件中缺失。
    运行: bun install
​
PASS: 未发现严重依赖问题。

/vcp-review-tests src/__tests__/

VCP 测试质量审查 — src/__tests__/
​
  [需要处理] auth.test.ts
    - 过度模拟: 7 次 mock 搭建调用。测试验证的是 mock 状态，
      不是真实逻辑。考虑使用更少 mock 的集成测试。
    - 同义反复式断言（第 45 行）: 断言 mock 返回的正是它被配置返回的内容。
      这测试的是 mock 框架，不是你的代码。
​
  [良好] rate-limit.test.ts
    - 用最少 mock 测试真实状态。
    - 覆盖边界情况: 零请求、边界值、时钟翻转。
​
  [需要处理] user.test.ts
    - 缺少边界情况: 没有测试空输入、null 值或并发访问。
    - 所有断言只检查正常路径。
​
摘要: 1 个良好, 2 个需要处理, 0 个需要重写

/vcp-config severity high

/vcp-config compliance add gdpr

/vcp-config ignore add core-architecture/rule-5

/vcp-config scope enable agentic-ai    # 构建 AI agents？加入这些标准
/vcp-config scope disable mobile       # 不是移动项目

manifest.json (根目录)
  → scopes/core.json         → 12 标准 (始终启用)
  → scopes/web-frontend.json → 4 标准
  → scopes/web-backend.json  → 6 标准
  → scopes/database.json     → 2 标准
  → scopes/devops.json       → 4 标准
  → scopes/智能体式-ai.json   → 5 标准
  → scopes/compliance-*.json → 3 合规框架
  ...

## 原则
这条标准为什么存在（1-3 句话）
​
## 规则
1. 在系统边界验证所有输入。
2. 所有数据查询都必须参数化。没有例外。
...
​
## 模式
### 应该这样写
（正确代码示例和解释）
​
### 不要这样写
（有漏洞的代码示例和解释）
​
## 例外
什么时候可以偏离规则，以及需要哪些保护措施。