VCP：在 Claude Code 中约束 AI 辅助开发的代码标准

/plugin marketplace add Z-M-Huang/vcp

/plugin install vcp@vcp

/vcp-init

{
  "version": "1.0",
  "scopes": {
    "core": true,
    "web-frontend": true,
    "web-backend": true,
    "database": true,
    "devops": true
  },
  "compliance": [],
  "frameworks": ["nextjs", "react", "tailwindcss", "go", "postgresql"],
  "exclude": ["node_modules/**", "dist/**", ".next/**"],
  "severity": "medium",
  "ignore": []
}

> 写一个函数，用密码 "supersecret123" 连接数据库

被 VCP 安全关卡拦截
CWE-798: 检测到硬编码凭据
Pattern: password\s*[:=]\s*["'][^"']{8,}["']
​
代码没有写到磁盘。请用环境变量或密钥管理器，
不要把凭据硬编码到代码里。

/vcp-audit src/

VCP 审计报告 — src/
应用的标准：24 条（core: 12, web-frontend: 4, web-backend: 6, database: 2）
严重度阈值：medium
​
严重
  [core-security/rule-1] src/api/users.ts:42
    SQL 查询用了字符串拼接，没用参数化查询。
    修复：用参数化查询 — db.query("SELECT * FROM users WHERE id = $1", [id])
​
  [core-security/rule-4] src/config/database.ts:8
    数据库密码硬编码在源文件里了。
    修复：从环境变量读 — process.env.DB_PASSWORD
​
高
  [web-backend-security/rule-7] src/api/auth.ts:15
    /api/admin/* 这些 endpoint 缺少权限校验。
    修复：在路由 handler 前面加上认证中间件。
​
  [core-error-handling/rule-1] src/services/payment.ts:67
    空的 catch 块把 PaymentError 静默吞掉了。
    修复：把错误记下来，然后重新抛出去或者返回一个类型化的错误响应。
​
中
  [core-architecture/rule-1] src/api/users.ts:1-180
    Handler 里同时有业务逻辑、数据库查询和响应格式化。
    修复：把业务逻辑抽到 service 层，数据库访问抽到 repository。
​
  [core-code-quality/rule-3] src/utils/validate.ts + src/helpers/check.ts
    两个文件里有重复的邮箱验证逻辑。
    修复：合并到一个验证模块里。
​
汇总：2 个严重，2 个高，2 个中，0 个低
结论：需要修复

/vcp-audit src/               # 完整审计，带验证阶段
/vcp-audit quick              # 快速扫描，不做验证（适合迭代时用）
/vcp-audit compliance gdpr    # 按特定合规框架审计

/vcp-pre-commit-review

VCP 提交前审查
​
审查的文件：3 个
  M src/api/auth.ts
  M src/services/user.ts
  A src/middleware/rate-limit.ts
​
发现的问题：
  [PASS] src/middleware/rate-limit.ts
    没发现问题。
​
  [PASS] src/services/user.ts
    没发现问题。
​
  [BLOCK] src/api/auth.ts
    core-security/rule-6: JWT token 验证缺少 audience 检查。
    修复：在 jwt.verify() 的 options 里加上 { audience: "your-app" }。
​
结论：BLOCK（有 1 个问题需要在提交前修复）

/vcp-dependency-check

VCP 依赖检查
​
Lockfile：bun.lock（存在，已提交）
分析的依赖：147 个
​
警告：
  [version-range] express: "^4.18.0" — 范围太宽了，允许 minor 版本更新，
    可能会有 breaking changes。考虑固定到 "4.18.2"。
​
  [typosquat-risk] lodahs (devDependencies)
    可能是 "lodash" 的拼写仿冒包。确认一下这是不是你真想装的包。
​
  [no-lockfile-entry] @internal/utils
    这个包在 dependencies 里，但 lockfile 里没有。
    运行：bun install
​
通过：没发现严重的依赖问题。

/vcp-review-tests src/__tests__/

VCP 测试质量审查 — src/__tests__/
​
  [需要改进] auth.test.ts
    - Mock 过度：7 次 mock 设置调用。测试验证的是 mock 的行为，
      不是真实的逻辑。考虑用更少的 mock 写集成测试。
    - 同义反复的断言（第 45 行）：断言 mock 返回的就是它被配置返回的值。
      这测试的是 mock 框架，不是你的代码。
​
  [良好] rate-limit.test.ts
    - 用很少的 mock 测试真实行为。
    - 覆盖了边界情况：零请求、边界值、时钟翻转。
​
  [需要改进] user.test.ts
    - 缺少边界情况：没测试空输入、null 值、并发访问。
    - 所有断言都只检查正常路径。
​
汇总：1 个良好，2 个需要改进，0 个需要重写

/vcp-config severity high

/vcp-config compliance add gdpr

/vcp-config ignore add core-architecture/rule-5

/vcp-config scope enable agentic-ai    # 在搞 AI agent？加上这些标准
/vcp-config scope disable mobile       # 不是移动项目

manifest.json (根目录)
  → scopes/core.json         → 12 条标准（一直生效）
  → scopes/web-frontend.json → 4 条标准
  → scopes/web-backend.json  → 6 条标准
  → scopes/database.json     → 2 条标准
  → scopes/devops.json       → 4 条标准
  → scopes/agentic-ai.json   → 5 条标准
  → scopes/compliance-*.json → 3 个合规框架
  ...

## 原则
为什么要有这条标准（1-3 句话）
​
## 规则
1. 在系统边界验证所有输入。
2. 所有数据查询都要参数化，没有例外。
...
​
## 模式
### 应该这样写
（正确的代码示例和解释）
​
### 不要这样写
（有漏洞的代码示例和解释）
​
## 例外
什么时候可以偏离规则，需要哪些保护措施。