在项目缺少书面质量标准、或 AI…

当项目没有成文质量门槛、用户要求设定约束/质量门禁，或代理反复用跳过测试、加抑制注释等方式蒙混过关时，通过访谈+默认值+CONSTRAINTS.md 把质量标准固化成可执行检查。

适用场景

解决思路

1. 先检测再提问：在问第一个问题前，从 package.json、pyproject.toml、go.mod、Cargo.toml 读取语言与栈；从 dev 依赖、test 脚本、已有测试文件判断测试运行器；从 eslint.config.*、biome.json、.ruff.toml 找现有 linter；从 coverage/ 输出或跑一次测试套件获取当前覆盖率；从 .github/workflows/、.gitlab-ci.yml 看 CI；从 .claude/、.codex/、AGENTS.md 看代理框架。用两行汇报发现，只问剩下的。
2. 只问四个问题，每个都带默认值，让「我不知道」也是完整答案：Q1 除底线外要强制哪些维度（测试覆盖率/安全扫描/性能预算/可访问性/架构边界），默认选覆盖率+安全扫描，并说明每项成本（性能与可访问性需要运行中的 URL，架构边界需要写规则文件）；Q2 检查失败时阻塞还是警告，默认底线阻塞、其余前两周警告；Q3 是否有目标数字，默认先测量当前值并守住；Q4 能容忍的最慢检查耗时，默认任务结束 90 秒、CI 不限。问完四个就停。
3. 在仓库根目录写 CONSTRAINTS.md，包含：Floor（始终强制、无需安装）——不得新增 @ts-ignore/eslint-disable/# noqa/# type: ignore 等抑制注释、不得有未实现桩（throw new Error("Not implemented")、空 catch {}）、不得无理由跳过或删除测试、源码不得含密钥、本文件不得为让改动通过而被削弱；Enforced with numbers 表格（维度/规则/检查命令/运行时机），每行必须写明产生判定的命令，只有数字没有命令的是愿望不是约束；Measured, not yet enforced 表格记录当前值与方向；Exceptions 表格含 ID/规则/路径/原因/负责人/过期时间。
4. 在 AGENTS.md 和 CLAUDE.md 各加一行：Read CONSTRAINTS.md before writing code. Do not weaken it to make a change pass.
5. 为每个选定维度安装对应工具并给出命令：类型 TS 用 tsc --noEmit，Python 用 pip install mypy 后 mypy .；Lint 用现有配置 eslint . / biome check / ruff check；覆盖率 JS 用 vitest run --coverage（或 jest --coverage），Python 用 pip install pytest-cov 后 pytest --cov --cov-report=lcov；代码安全用 pipx install semgrep 后 semgrep scan --config p/default --config p/owasp-top-ten；密钥用 brew install gitleaks 后 gitleaks detect --redact --no-banner；依赖漏洞用 brew install osv-scanner 后 osv-scanner scan source -r .；页面性能用 npm i -D lighthouse 后 lighthouse $URL --output=json --quiet；包体积用 npm i -D size-limit 后 size-limit --json；可访问性用 npm i -D @axe-core/cli 后 axe $URL --tags wcag2a,wcag2aa,wcag21aa；架构用 npm i -D dependency-cruiser 后 depcruise --validate src；断言质量用 npm i -D @stryker-mutator/core 后 stryker run --mutate <changed files>。
6. 五个易踩坑点：gitleaks 必须加 --redact，否则匹配到的密钥会进入代理记录，只报告规则和位置绝不报告值；Lighthouse 和 axe 需要 URL，只对运行中的应用有效，应放在运行时阶段针对预览部署或本地服务器，若项目没有可访问 URL（CLI、库、桌面应用）就说明并放弃该维度而不是编造无法运行的检查；把昂贵检查限定到 diff，stryker run --mutate 全仓库要数小时会被关掉、只对改动文件不到一分钟，Semgrep 同理传路径列表；覆盖率不需要跑第二遍测试，读取套件已写出的 lcov 并与 git diff 求交集；Semgrep 注册表规则可免费运行，再分发前检查许可证，必要时用同规则格式的 opengrep 替代。
7. 把命令写进项目自身脚本以便脱离代理复现：check:fast = tsc --noEmit && eslint . && gitleaks detect --redact --no-banner；check:task = npm run check:fast && vitest run --coverage；check:full = npm run check:task && semgrep scan --config p/default && osv-scanner scan source -r .。CONSTRAINTS.md 是唯一权威来源（带原因且出现在评审中），脚本只是必须镜像它的便捷包装，冲突时以文件为准。
8. 按生命周期接线，避免到处跑所有检查：BUILD 阶段跑类型、lint、密钥和底线，只查改动文件，预算 5 秒内；VERIFY 阶段跑相关测试和改动行覆盖率，预算 90 秒内；REVIEW 阶段跑全部加守卫检查；SHIP 阶段在 CI 跑方向性检查与无回归。两条规则：按 diff 限定范围（查本次改动触及的行，改动行覆盖率是代理能推动的数字，项目覆盖率是继承来的）；按成本决定位置（超过几秒的移出编辑循环）。
9. 在评审时用 git diff 守住门槛本身，盯五种代理走捷径的动作：阈值被下调（预算降低、严重级别下降、检查从快速阶段移除，对比 CONSTRAINTS.md 与分支点状态）；测试被放宽（加 .skip、删测试文件、从保留的测试中抽掉断言）；检查器被消音（新增 @ts-ignore 或 eslint-disable，特别关注 istanbul ignore、Stryker disable、nosemgrep、gitleaks:allow 这四种会关掉所依赖检查的抑制）；工作未完成（抛异常的桩、把失败变成沉默的空 catch、该有实现处的 TODO）；出现未经讨论的新例外行。收紧门槛应无声，放松门槛应大声。
10. 底线检查没有事实标准工具，代理常从零写检查器导致两次运行不一致，应改用技能自带的 references/floor-guard.md 参考实现（按 diff 限定、退出码 0/1/2、模式可按生态调整）而不是重新发明。
11. 按「代理能否靠写不工作的代码让它通过」给检查排序：外部检查（axe-core 编码 WCAG、osv-scanner 读漏洞库、Lighthouse 测真实浏览器）代理无法争辩；项目检查（你的 lint 规则、分层边界）由人拥有文件；套件检查（自己的测试）最有用但唯一真正循环。确保至少有一条外部约束。
12. 没有数字时用棘轮：把当前值记入 Measured, not yet enforced 表格并标注方向，每次检查对比记录值而非理想值，数字改善就更新、下降就是发现。这同时回应训练偏差——模型因通过测试而受奖励，架构腐化数月才显现且进不了权重，棘轮就是写进构建可见处的缺失惩罚。
13. 无意见时使用合理默认值：改动行覆盖率 ≥ 80%；项目覆盖率取当前值且不得下降；变异分数（若使用）起步 ≥ 60%；依赖漏洞不得有 high 及以上；LCP ≤ 2500ms；CLS ≤ 0.1；可访问性零 critical 或 serious 的 axe 违规；例外有效期 90 天；棘轮容差 0.5%。数字与理由一起写，没有理由的阈值会被下一个撞上它的人删掉。
14. 按三级牙齿递进，从第一级开始：1) 仅书面——CONSTRAINTS.md 存在且代理阅读，零成本、能抓诚实错误、依赖代理遵守；2) 脚本化——npm run check（或 make check）跑快速检查并接入代理的编辑后钩子和 CI，确定性、无新依赖；3) 工具支撑——专用运行器处理 diff 限定、预算、棘轮和守卫检查，当配置超出 shell 脚本时使用。多数项目停在第二级，维护超过约三十行检查 shell 时再升级。首次运行可只做底线：底线守卫仅按 diff 且无需安装，可第一天就强制，再随工具安装逐个添加维度；机器级安装的安全工具（gitleaks、osv-scanner）也可只在 CI 跑，在 Runs at 列声明每个维度的运行位置。

适用边界 · 注意事项

• 项目已有 CONSTRAINTS.md 且用户不打算改动——应阅读并遵循它
• 一次性脚本、技术验证、抛弃型原型
• 用户当下想要的是代码评审（用 code-review-and-quality）或搭建 CI 流水线（用 ci-cd-and-automation）
• 非交互场景（CI、/loop、自主运行）不要跑访谈，应套用底线、注明已套用，并把其余部分标记给人工处理