在外部安全审计前1-2周准备代码库：设定审计目标…

当你需要让自己的代码库通过他人（外部安全审计团队）审查时，按Trail of Bits清单在审计前1-2周完成代码库准备工作。

适用场景

解决思路

1. 设定审查目标：明确你希望从审查中获得什么，回答关键问题——你追求的整体安全级别是什么？哪些区域最让你担心（以往审计问题、复杂组件、脆弱部分）？项目的最坏情况是什么？将目标记录下来并与评估团队共享。
2. 运行静态分析：Solidity 用 `slither . --exclude-dependencies`；Rust 用 `dylint --all`；Go 用 `golangci-lint run`；Go/Rust/C++ 用 CodeQL 和 Semgrep 检查。然后对所有发现进行分诊，修复容易的问题，记录已接受的风险。
3. 提升测试覆盖率：分析当前覆盖率，识别未测试的代码，建议新增测试，并运行完整测试套件。
4. 移除死代码：查找未使用的函数/变量，识别未使用的库，定位过时的功能，并建议清理。
5. 提供详细文件清单：列出所有在范围内的文件，标记范围外文件，解释文件夹结构，记录依赖项。
6. 创建构建说明：编写分步设置指南，在全新环境中测试，记录依赖项和版本，验证构建成功。
7. 冻结稳定版本：确定用于审查的 commit hash，创建专用分支，打发布版本标签，锁定依赖项。
8. 识别样板代码：标记复制/分叉的代码，突出你的修改，记录第三方代码，把审查重点放在你的代码上。
9. 生成流程图和时序图：映射主要工作流，展示组件关系，可视化数据流，识别关键路径。
10. 编写用户故事：定义用户角色，记录用例，解释交互，澄清期望。
11. 记录链上/链下假设：数据验证流程、预言机信息、桥接假设、信任边界。
12. 列出参与者和权限：列出所有参与者，记录角色，定义权限，映射访问控制。
13. 维护外部开发者文档：将文档链接到代码，保持同步，解释架构，记录 API。
14. 编写函数文档：记录系统和函数不变量、参数范围（最小/最大值）、算术公式和精度损失、复杂逻辑说明，Solidity 使用 NatSpec。
15. 创建术语表：定义领域术语，解释缩写词，保持术语一致，说明业务逻辑概念。
16. 可选制作视频讲解：覆盖复杂工作流、关注区域和架构概览。
17. 按时间线推进：审计前2周设定审查目标、运行静态分析、开始修复问题；审计前1周提升测试覆盖率、移除死代码、冻结稳定版本、开始编写文档；审计前几天完成文档、验证构建说明、创建最终清单、把准备包发送给审计人员。
18. 用审计准备清单跟踪进度：审查目标已记录、静态分析干净/已分诊、测试覆盖率>80%、死代码已移除、构建说明已验证、稳定版本已冻结、流程图已创建、用户故事已记录、假设已记录、参与者/权限已列出、函数文档已完成、术语表已创建。
19. 避免常见借口：不要因 README 已覆盖设置就跳过详细构建说明（需在全新环境测试并记录每个依赖版本）；不要因已运行过静态分析就不再运行（代码已变更，需生成新报告）；不要凭感觉认为覆盖率不错（需运行覆盖率工具并定位具体未测试路径）；不要忽视死代码（需用自动化工具检测）；不要认为架构简单就不画图（需生成实际流程图和时序图）；不要拖到审计前才冻结版本（现在就确定 commit hash 并创建专用分支）；不要认为术语自明（需创建完整术语表）；不要跳过步骤（4个步骤需顺序完成并用清单跟踪）。

适用边界 · 注意事项

• 当你需要理解即将审计的不熟悉代码时，应改用 audit-context-building 技能，而不是本技能。
• 本技能用于准备自己的代码库供他人审计，不适用于审计他人代码的场景。