工作流程
4 个步骤，每一步做什么、依据什么，都写在这里。
变更验证层
工作流程
- 1理解改动读取需求、Git Diff 和仓库上下文，明确这次改动要做什么、允许改哪里。
- 2独立检查按风险调用缺陷检测、代码评审、影响分析和浏览器执行，不依赖 Agent 的自述。
- 3留下证据保留发现、命令输出、截图和日志，写明查了什么、没查什么。
- 4给出结论通过、不通过或需要人工复核；不通过时把位置、期望和实际交回 Agent 修复，改完再验。
什么是 变更验证层
AI 代码变更验证层位于 Coding Agent 和代码仓库之间。Agent 负责写代码，验证层负责回答这次改动能不能合并：它不采信 Agent 的自述，而是对照需求和代码独立检查，把缺陷、影响范围、测试结果和没覆盖到的风险写进一份证据记录。结论只有三种：通过、不通过、需要人工复核。
大量使用 Coding Agent、评审跟不上提交速度的研发团队要为 AI 改动建立统一合并门禁的平台工程团队需要说明测试是否有效的 QA 团队需要审计 AI 代码风险的安全与工程负责人
核心能力
- 01
对照需求找缺陷
规则扫描和 AI 语义检测两路检查改动，每条发现附文件、行号、期望与实际；判定不报的也写明理由。公开盲测中 7 个缺陷全部找到，4 个干扰项 0 误报。
- 02
证据化代码评审
每条评审意见都指向具体代码和依据，不给没有出处的结论。
- 03
查波及与覆盖
找出改动影响到的接口和页面，核对已有用例是否覆盖，没覆盖的点逐条列出。
- 04
证据记录与合并结论
整次验证汇总成一份证据记录，结论是 PASS、FAIL 或 REVIEW，Agent 和人都能直接读取。
工作流程
4 个步骤，每一步做什么、依据什么，都写在这里。
可以获得什么
目标是让团队少花时间重复确认，把注意力留给证据不足和风险更高的变更。
常见问题
CodexQA 和 CI/CD、测试平台或安全扫描器有什么区别？
CI/CD 负责跑流程，测试和安全工具各自产生信号。CodexQA 面向一次具体改动，决定该查什么，判断现有证据够不够支持合并，并把依据和剩余风险写进同一份证据记录。它调用这些工具，不替代它们。
为什么 Coding Agent 不能自己验证自己的改动？
写代码和验证共用同一套上下文和假设时，容易犯同源错误，也可能通过弱化测试拿到绿色结果。CodexQA 把验证和写代码的角色分开，结论只看证据。
证据记录包含什么？
包括这次改动、需求意图、风险、做了哪些验证、直接证据、剩余风险和结论（PASS、FAIL 或 REVIEW）。格式公开在 CodexQA Skills 开源仓库的 evidence schema 中，Agent 可以直接读取。
CodexQA 会自动批准所有改动吗？
不会。证据不足或风险高的改动会要求人工复核或直接不通过，缺什么证据会写明。
CodexQA 只适用于 Web 应用吗？
不是。验证对象是代码改动，可以是应用代码、API、配置或依赖。浏览器、接口和真机只是按风险调用的执行环境。