AI 编程工具与 Agent 化

• 四类工具的定位差异（IDE 集成、CLI Agent、补全、开源）
• 隐私与代码托管方式（本地/云端）
• 团队协作与成本因素

四者定位不同：GitHub Copilot 以 IDE 行内补全与 Chat 见长，深度集成 GitHub（PR/代码扫描），订阅制、代码片段默认传云端；Cursor 是 VS Code fork，把 AI 融入编辑器（Tab 补全、Composer 多文件编辑 Agent、.cursorrules），体验流畅但闭源、数据走其服务；Claude Code 是 CLI Agent，通过终端自主读写文件、执行命令、调工具（Task sub-agent、CLAUDE.md、Hooks），适合自动化与脚本化、可进 CI，但学习曲线陡；Continue.dev 是开源 IDE 扩展，可接任意模型（本地 Ollama 或云厂商），自由度高但需要自行配置与优化。取舍维度：补全 vs Agent——日常补全 Copilot/Continue 够用，多文件重构与自动化任务用 Cursor Composer 或 Claude Code；数据合规——敏感代码优先本地模型（Continue+Ollama、Aider 接本地）或企业版；成本——订阅 vs 按 token；生态绑定——GitHub 生态选 Copilot、需要可审计自动化选 CLI Agent。工程上常"组合使用"：IDE 内补全 + CLI Agent 跑自动化，规则文件（AGENTS.md）统一约束。

按定位、数据流、成本、生态四个维度对比四工具，落到"按任务组合使用 + 规则统一"的取舍结论，避免单一工具崇拜。

• Task tool 的 sub-agent 并行/委派模型
• CLAUDE.md 的项目级上下文注入
• Hooks/Skills/Slash Commands 的可扩展性

Claude Code 是 Anthropic 官方 CLI Agent，核心机制：Task tool——主 Agent 可委派子任务给 sub-agent（独立上下文、并行执行），适合大仓库分工（一个改代码一个跑测试），结果回传主 Agent 汇总；CLAUDE.md——项目级指令文件，启动时注入上下文（架构约定、构建命令、代码规范），是"项目记忆"的载体，团队共享；Slash Commands——可自定义的斜杠命令（如 /review 触发固定提示模板），沉淀团队流程；Hooks——在工具执行前后（PreToolUse/PostToolUse）触发脚本，可做权限控制、格式校验、审计记录；Skills——可复用技能包（任务模板 + 上下文），跨项目共享。工程价值：把"人的工程规范"编码为机器可读上下文（CLAUDE.md/AGENTS.md），让 AI 在团队约定内工作；Hooks 提供安全护栏（拦截危险命令）；Task tool 让大规模任务可分解。落地要点：CLAUDE.md 分层（仓库级/目录级）与版本化、Hooks 白名单化（禁止任意代码执行）、审计日志。

逐机制答出功能与价值，重点落在"规范编码化、护栏化、任务分解"三点工程价值与治理要点。

• Composer 的多文件 Agent 编辑模型与 diff 审查
• .cursorrules 的作用域与维护
• 内置 MCP 的接入与权限

Cursor 的 Composer 是"多文件编辑 Agent"：一次任务可跨多文件规划修改，生成逐文件 diff，用户在 UI 中逐条接受/拒绝，配合 Checkpoints 可回滚；工程实践：把大型重构拆成"计划 → 分步执行 → 审查"的流程，利用 diff 审查防止 AI 静默改动无关代码。.cursorrules 是项目级提示文件：给 AI 注入编码规范（框架约定、命名、禁止项），支持全局/项目/文件夹作用域，工程要点：规则要具体可执行（"使用 zod 校验所有 API 输入"优于"代码要规范"）、版本管理（入仓评审）、避免规则冲突（与 CLAUDE.md/AGENTS.md 的优先级需明确）。内置 MCP：Cursor 支持配置 MCP 服务器（如 Playwright、Filesystem），让 Agent 获得浏览器测试、文件操作等能力；工程实践：按最小权限配置工具白名单、生产凭据不进 MCP 配置（用环境变量/受限 scope）、MCP 调用记录审计；接入前评估"Agent 需要什么能力"而非"有什么工具都接上"。

答出 Composer 的 diff 审查与回滚实践、.cursorrules 的规范编码化与作用域管理、MCP 的最小权限接入，体现 Cursor 的企业级使用。

• MCP 的架构（客户端/服务器、工具发现与调用）
• 工具注册与上下文注入的机制
• 权限边界（工具白名单、凭据隔离、审计）

MCP 是 AI 应用与外部工具/数据源之间的开放协议：MCP 服务器声明可用工具（工具注册，含名称、schema、描述），MCP 客户端（IDE、CLI Agent）把工具列表注入模型上下文，模型按需发起调用，结果回传。架构：可本地（stdio）或远程（SSE/streamable HTTP）连接。权限边界是接入重点：工具白名单——只暴露任务需要的工具（不接"全能力"服务器）；凭据隔离——MCP 服务器使用的 API 密钥与用户环境隔离（环境变量、受限 scope），生产凭据不进模型上下文（模型只看到工具描述，不看到密钥）；调用审计——所有工具调用记录（参数、时间、发起者）落日志，异常调用（如文件写入、命令执行）告警；参数校验——在 MCP 服务器侧对模型传入的参数做 schema 与白名单校验（模型输出不可信）；提示注入防御——工具描述可能被外部内容诱导，按"工具描述可信、外部内容不可信"分层。工程上把 MCP 接入做成"登记制"：新工具需评审（能力、风险、凭据）后启用。

答出 MCP 的注册/注入/调用机制，重点展开权限边界四要素（白名单、凭据隔离、审计、参数校验），体现"开放协议 + 严格治理"。

• 各工具的定位（IDE 扩展/CLI/编辑器内 Agent）
• 模型接入自由度（本地/云端/多模型）
• 自动化程度、成本与社区生态

选型矩阵维度：形态——IDE 扩展（Continue、Cline/Roo Code）适合编辑器内协作，CLI（Aider、Goose）适合脚本化与 CI 自动化，Windsurf 是独立编辑器（Cascade 是其 Agent 面板）；模型自由度——Continue、Aider、Cline 支持任意模型（含 Ollama 本地），Windsurf/Copilot 绑定自家服务；Agent 能力——多文件编辑、工具调用、自主执行与人工确认粒度（Roo Code 的模式化、Aider 的 git 驱动）；自动化与安全——CLI 工具可进 CI（Aider 的 watch 模式、Goose 的自动化任务），但要配权限沙箱与审计；成本——订阅 vs 自带密钥按 token 计费 vs 本地免费（算力成本）；生态——社区插件、规则文件兼容（AGENTS.md/CLAUDE.md）、团队普及度。选型建议：编辑器内高频协作选 Continue（开源可配本地）；需要强 Agent 与模式控制选 Roo Code；自动化脚本与 CI 选 Aider/Goose；追求开箱体验选 Windsurf。工程上以"统一规则文件 + 可切换后端"为标准，避免被单一工具锁定。

按形态、模型自由度、Agent 能力、成本、生态五个维度构建矩阵，给出按场景选型建议与防锁定的工程策略。

• Codex CLI 的定位（OpenAI 官方 CLI Agent）
• parallel tool call 与 MCP 接入
• AGENTS.md 的上下文规范与团队治理

Codex CLI 是 OpenAI 官方 CLI Agent：在终端中自主完成"读代码 → 规划 → 改代码 → 跑测试"的循环，支持 AGENTS.md（项目级指令，与 CLAUDE.md 同类的规范文件，Codex 优先读取）注入仓库约定；支持 parallel tool call——同一轮中并行调用多个工具（如同时读取多个文件、并行跑多个命令），显著减少多步任务的串行延迟；支持 MCP 服务器接入（工具扩展）。工程价值：AGENTS.md 让团队规范（构建命令、目录结构、禁止事项）统一作用于所有 AI 工具，避免"每个工具一套规则"；parallel tool call 提升大型重构效率；MCP 扩展使 Agent 能触达测试、文档、部署等外部系统。落地要点：AGENTS.md 分层与评审入仓、MCP 工具白名单与凭据隔离、命令执行权限限制（Hooks 类护栏）、审计日志；与 GitHub 集成（code review、issue）形成从需求到代码的闭环。

答出 Codex CLI 的 Agent 工作流、parallel tool call 与 MCP 扩展、AGENTS.md 规范治理，突出"开放规范 + 效率 + 护栏"。

• 脚本化执行（非交互模式、CI 集成）
• 批量任务（重构、迁移、测试修复）
• 自动化的安全边界（权限、沙箱、审计）

终端自动化应用场景：批量重构——跨文件重命名、API 迁移、依赖升级，用非交互模式（-p 参数）在 CI 中执行"任务描述 + 输出检查"；测试修复——跑测试收集失败，委派 sub-agent 修复再回归，循环到绿；文档与代码同步——注释、README 与接口变更联动；DevOps 编排——用 Hooks 在工具调用前后做校验（格式、lint），把 AI 嵌入既有流水线（pre-commit、PR 检查）。工程要点：非交互模式要明确"成功标准"（如"重构后所有测试通过"）让 Agent 自检；权限边界——限制可执行命令白名单（禁 rm -rf 等）、文件写入范围（允许目录）、敏感环境变量隔离；审计——会话日志与工具调用记录留存，异常（执行危险命令）告警；失败回滚——依赖 git 提交点，失败时 checkout 回退；成本控制——批量任务预算 token 上限。价值：把"人肉跑批"变成"可复现、可审计的自动化任务"。

答出批量重构/测试修复/文档同步三类应用与"非交互成功标准、权限沙箱、git 回滚、审计"的自动化边界。

• Workspace 的"需求 → 计划 → 实现 → 验证"流程
• 与 GitHub 生态（issue/PR/CI）的集成
• 多任务并行与团队协作边界

Copilot Workspace 以 GitHub 为枢纽提供"issue 驱动"的 Agent 流程：从 issue 出发生成实现计划（spec 式任务分解），分步实现并提交 PR，CI 验证后供人审查合并。工程价值：任务可追溯——每个 AI 变更关联 issue 与计划，评审者可对照计划审查实现；多任务协作——多个 AI 生成的任务并行推进（各自独立分支/PR），互不干扰，由既有 review 流程把关；团队协作——计划、实现、反馈都在 GitHub 上流转，符合已有工作流，学习成本低；验证闭环——CI（测试/lint）作为自动门禁，AI 实现必须先过机器验证。边界：AI 生成的 PR 仍需人工审查（尤其架构与安全）；并行任务在共享文件上的冲突要由 git/评审协调；计划质量决定实现质量——issue 描述不清晰时需先补充 spec。工程价值落点：把 AI 生成纳入"标准仓库工作流"，提升吞吐而不降低质量门禁。

答出"issue→计划→实现→PR→CI"的流程价值、多任务并行与团队协作、以及人工审查与 spec 质量的边界。

• 三者的定位（自托管补全、Sourcegraph 生态、IDE 扩展）
• 本地模型与数据合规的价值
• 自托管的维护成本与能力边界

开源工具的价值核心是"数据自主 + 模型自由"：Tabby 是自托管代码补全服务器（接本地模型或云模型，代码不出公司网络），适合数据合规严格的团队；Cody 是 Sourcegraph 的 AI 助手（深度利用代码图谱做上下文，支持自托管模型）；Continue 是开源 IDE 扩展（任意模型后端，含 Ollama 本地），配置灵活、社区插件丰富。现代应用：数据敏感团队（金融、军工）用本地模型栈（Continue/Tabby + Ollama）实现"代码不出口"；预算敏感团队用自带密钥（BYOK）控制成本；需要代码库级语义理解时用 Cody 的索引能力。边界：自托管要维护模型服务（GPU、升级、稳定性），补全质量依赖所选模型（开源模型与旗舰闭源有差距）；配置与调优成本高（提示、上下文裁剪）；功能演进靠社区，企业级支持需评估。选型建议：合规优先选自托管栈，质量优先混用（本地补全 + 云端 Agent 任务分级），并保留切换后端的能力。

答出"数据自主与模型自由"的核心价值、三类工具定位、以及自托管维护成本与质量边界的取舍。

• AI 审查的定位（辅助而非替代）
• 审查维度（bug、安全、风格、过度设计）
• 审查质量评估（误报率、采纳率）与流程集成

AI 代码审查的实践：定位——AI 先审（发现明显问题：bug 模式、安全漏洞、lint 违规、重复代码），人再审（架构、权衡、业务语义），AI 输出按"严重级别"排序的建议列表而非"批准/拒绝"结论。审查维度配置：安全（注入、密钥泄漏、危险 API）、正确性（边界、并发、资源泄漏）、质量（复杂度、命名、测试缺失）分开关闭，避免噪音。质量评估：对 AI 审查结果抽样标注（真阳性/误报），统计分规则误报率与采纳率，反馈调优提示词与规则（低误报优先于高召回）；PR 内建议要可"一键采纳/忽略"，忽略原因回传作为反馈数据。流程集成：审查在 PR 创建时触发（CI），结果作为 review bot 评论，与既有 review 流程（assignee、approval 规则）兼容；敏感信息（密钥）由 secret scanning 先行。边界：AI 不替代审批人，高风险变更（数据、安全、支付）强制人工，AI 审查记录留档供追溯。

答出"AI 辅助定位、分级维度、误报率评估调优、流程集成与人工审批兜底"的完整实践。

• 生成策略（单元/集成/属性测试、覆盖目标）
• 价值（补齐覆盖、回归基线、文档化行为）
• 边界（幻觉断言、脆性测试、维护成本）

测试自动生成的价值：快速补齐分支覆盖（AI 从代码/规格推断用例）、为重构建立回归基线（存量代码无测试时先补"行为快照"测试）、生成边界/异常路径用例、生成文档化意图的测试名。生成策略：单元测试为主（输入输出推导 + 边界值），可结合属性测试（property-based，随机输入验证不变量）；对关键模块可生成集成级 smoke 测试。边界与风险：幻觉断言——AI 生成的期望值可能"照着实现写"（错实现对测试也通过），需人工核对关键断言；脆性测试——过度耦合实现细节导致重构即碎，需鼓励行为断言而非实现断言；覆盖≠质量——生成大量低价值测试增加维护负担，应设覆盖目标与"有用性"评估（变异测试得分）；执行验证——生成的测试必须真实运行通过才合入，CI 是强制门禁。工程上把生成作为"初稿 + 人工审查 + 运行验证"，并统计生成测试的缺陷率持续调优。

答出补齐覆盖与回归基线价值、幻觉断言与脆性测试两大边界、以及"生成-审查-运行验证"的流程控制。

• 规则文件的作用域与优先级（全局/项目/文件夹）
• 规则内容的编写规范（具体、可执行、可验证）
• 规则生命周期（评审、版本化、效果度量）

Cursor Rules 的现代实践：作用域管理——按层级放置（用户全局 → 项目 .cursor/rules → 目录级），同名覆盖规则明确（更具体的作用域优先），避免规则打架；编写规范——用"当…时 → 必须…"的 if-then 句式（可执行）、给出正反例（"使用 zod 校验，不要用 any 断言"）、引用现有代码约定文件（不复制而是指向）、保持规则数量克制（过多规则稀释注意力）；内容分类——架构约束（目录结构、技术选型）、编码风格（命名、错误处理）、流程约定（构建命令、测试要求）、禁止项（危险 API、硬编码密钥）。生命周期：规则入仓评审（像代码一样 review）、版本化（变更记录）、定期清理失效规则；效果度量——观察 AI 输出对规则的遵守率（审查中标注"违反规则 N"）反哺规则优化。规则是"给 AI 看的文档"，要具体到可执行，避免口号式描述。

答出作用域优先级、if-then 可执行编写、分类与生命周期治理，落脚"规则是可执行文档"的核心认知。

• 两类文件的定位（项目记忆/代理指令）
• 团队规范编码化的内容与分层
• 冲突消解、评审与自动检查

CLAUDE.md（Claude 系）/AGENTS.md（Codex 系等）是把团队工程规范"编码给 AI"的载体：内容含项目架构、构建/测试命令、代码约定、目录职责、禁止事项与安全边界（敏感目录、危险命令）。工程应用：分层组织——仓库根级（通用规范）+ 目录级（模块约定，如 packages/*/AGENTS.md），AI 按作用域加载；统一口径——团队约定"一套规范文件"作为单一事实源，各工具（Claude Code、Cursor、Codex）都读取，避免每工具一套；冲突消解——多文件并存时定义优先级（目录级 > 根级、特定工具文件 > 通用文件），并在 CI 中用自动检查（如格式校验、关键词检查）保证 AI 不违反包所有权与敏感目录约束；评审——规则变更走 PR review（规则影响所有 AI 产出）；审计——AI 实际行为与规则的偏差反馈优化规则。价值：让 AI 从"通用模型"变成"懂这个仓库的协作者"。

答出规则文件的内容与分层、统一单一事实源与冲突优先级、评审与 CI 自动检查的治理闭环。

• 上下文工程的本质（给模型喂什么、怎么组织）
• 上下文获取（检索、图谱、自动摘要）与裁剪
• 上下文质量对输出质量的杠杆作用

上下文工程指"精心组织模型可见的信息以提升输出质量"，是 AI 编程中比提示词更关键的杠杆：模型输出质量取决于上下文中的相关信息（相关代码、架构约束、既有约定）与信噪比。实践：自动上下文——工具用代码索引/图谱检索相关文件（Cody 的 Sourcegraph 索引、Cursor 的代码库检索），按任务语义拉取而非整仓塞入；裁剪与排序——按相关性裁剪上下文（过大的上下文稀释注意力并超窗口），关键文件（入口、类型定义）优先、重排序（recent/relevant）；结构化——把 repo map（目录结构、符号索引）、错误输出、测试结果整理成紧凑格式喂给模型；迭代补全——Agent 在探索中按需追加读取（"读入口 → 读类型 → 读调用方"），形成动态上下文而非一次性全量。度量——对比不同上下文策略的任务成功率（黄金集评测）持续优化；工程上把"上下文获取策略"做成可配置、可观测的模块。

答出上下文工程的本质（信噪比与相关性）、自动检索与裁剪排序、动态迭代补全与评测优化，体现"喂什么决定答什么"。

• 凭据泄漏面（密钥进上下文、日志、训练）
• 代码上传的隐私边界（云服务、第三方）
• 防护措施（扫描、隔离、本地模型、企业策略）

风险面：凭据泄漏——仓库中的 .env、硬编码密钥可能被 AI 读取并进入上下文、日志或上传到云端服务（甚至训练语料），构成泄漏；代码上传——云端工具会传输代码片段（含商业机密、未发布特性），第三方补全服务尤甚。取舍与措施：凭据侧——接入前用 secret scanning（gitleaks/TruffleHog）扫描仓库基线，把密钥文件加入工具忽略清单（ignore 规则），配置"敏感文件不索引"（Cursor 的 exclude、AGENTS.md 声明禁止读取），环境变量隔离（AI 只见变量名不见值），对工具服务商审查其数据处理条款（训练开关、保留策略）；代码侧——按保密等级分流：核心/机密代码用本地模型栈（Continue+Ollama、Tabby 自托管）或企业版私有部署，普通代码才走云端；传输加密、最小化上传（只上传相关文件而非全仓）；员工教育与企业 DLP 策略（允许列表工具）。取舍原则：把"数据敏感度 × 工具信任度"做矩阵决策，敏感优先本地，普遍启用 secret scanning 与日志审计。

答出凭据与代码两大风险面、扫描/忽略/隔离/本地模型四类措施、以及按敏感度分流的决策矩阵。

• 架构（IDE 扩展 + 本地模型服务）
• 价值（隐私、成本、离线）
• 边界（模型能力、硬件、配置）

架构：Continue.dev（IDE 扩展）通过配置指向 Ollama（本地模型运行时，管理模型下载与推理），对话/补全都走本机 GPU/CPU。工程价值：隐私——代码与对话完全不出设备，适合保密项目与合规场景；成本——无 API 按量计费（电费与硬件成本），团队规模化边际成本低；离线——无网环境可用，适合隔离网络开发；可控——模型换用、微调自由。边界：模型能力——本地开源模型（Qwen、Llama 系 7B-32B）在复杂推理、多文件 Agent 任务上与旗舰闭源有差距（补全可用、大型重构吃力）；硬件——推理速度依赖 GPU（显存决定模型规模，量化与 KV Cache 需调优），无 GPU 机器体验差；配置——提示模板、上下文长度、检索集成需自行调优，团队需要"模型运维"能力。价值落点：作为"隐私敏感 + 补全为主"场景的可靠底座，复杂任务可混用云端模型（本地/云端按任务路由）。

答出架构与隐私/成本/离线价值，落到模型能力与硬件边界，并给出"本地补全 + 云端复杂任务"的分流建议。

• 行内补全的交互模型（Tab 接受、Esc 拒绝）
• 补全质量与上下文利用
• 与大型 Agent 工具的定位差异

行内补全（inline suggestion）的价值是"低打扰、高频率"：光标处即时建议，Tab 接受、Esc 拒绝，不打断编码流，覆盖日常 70%+ 的代码输入（样板、调用、小函数）；Codeium Tab 等把上下文（当前文件、相关文件、最近编辑）压缩进补全请求，实现多行/跨文件建议；Mintlify（docstring 生成等）把文档化成本降为零。工程价值：显著提升小步编码效率（感知"不卡手"）、降低上下文切换（不用切窗口提问）、适合"边想边写"的思维流；对团队是"全员默认启用"的低门槛工具。定位差异：行内补全解决"怎么写下一行"，Agent 工具解决"帮我完成整个任务"——两者互补：日常补全 + 按需 Agent；工程要点：补全质量评估（接受率/留存率）驱动调优，敏感项目用本地补全（Codeium 有私有部署），补全内容同样需 review（幻觉 API）。

答出低打扰交互与高频价值、上下文利用与质量评估、以及与 Agent 工具的互补定位，体现对工具谱系的理解。

• 混合路由（任务类型 × 模型能力）
• 各工具的本地/云端接入能力
• 成本与隐私的动态平衡

三工具都支持"本地 + 云端"双模型接入，价值在于按任务路由：简单补全/重命名/小改动走本地模型（隐私、零边际成本），复杂重构、跨文件理解、疑难 bug 走云端旗舰（质量）；Continue 配置多 provider 可设规则路由（按文件类型、按请求类型），Aider 可在会话中切换模型（-m 参数，支持 arch 模式分层：主模型 + 编辑模型分工），Cody 支持自托管与云端混合。工程价值：成本——把 token 消耗集中在真正需要高质量的场景，预算可控；隐私——敏感模块始终本地，普通模块云端，动态平衡合规与效率；韧性——云端不可用时降级本地，保证开发不中断。落地：统一抽象（各工具自身支持多后端）、按目录/任务配置路由规则（如 src/secure/** 强制本地）、用量与成本监控（统计各模型消耗）优化路由策略。边界：本地模型质量不足时路由要能"升级"（任务失败自动切云端）。

答出"按任务混合路由"的核心价值、三工具的接入差异、以及成本/隐私/韧性的动态平衡与监控调优。

• 三者集成形态（扩展/fork/CLI）
• 编辑体验与 Agent 能力的分工
• 团队内共存的集成策略

集成形态：Copilot 是 IDE 扩展（补全 + Chat 面板 + 内联指令），保留原生编辑器体验；Cursor 是 VS Code fork（深度改造：Tab 补全、Composer、.cursorrules、内置检索），编辑器即 AI 工作台；Claude Code 是终端 CLI，通过"终端 + 编辑器"协同（如 VS Code 集成插件在编辑器内显示 diff 与交互面板）。现代应用差异：Copilot 适合"不想换编辑器、要 GitHub 闭环"的团队；Cursor 适合"想要编辑器内强 Agent 体验"；Claude Code 适合"自动化、脚本化、CI 集成"（同一套任务可在终端复现）。共存策略：规则文件统一（CLAUDE.md/AGENTS.md 同时被 Cursor 与 Claude Code 读取）、按任务选工具（日常补全 Copilot、多文件改造 Cursor、批量任务 Claude Code）、共享审计（所有 AI 变更走同一 PR 流程）；避免"多工具各自为政"导致规则与上下文碎片化。工程落点：建立"工具矩阵 + 统一规范 + 统一门禁"的集成体系。

答出三种集成形态与适用团队、以及"统一规则文件、按任务分工、统一 PR 门禁"的共存策略。

• 补全的触发与接受交互（Tab/Esc/部分接受）
• 上下文构造（前缀、后缀、相关文件、语言）
• 补全质量评估（接受率）与幻觉控制

Inline Suggestion 工作流：编辑器在光标处（输入停顿或显式触发）请求补全，服务端构造上下文（当前文件前缀 + 后缀 + 语言 + 相关文件片段 + 最近编辑，压缩进窗口）生成候选，前端展示幽灵文本：Tab 接受、Esc 拒绝、Ctrl+→ 逐词接受，部分接受机制减少"整段拒绝"；多候选时 Alt+] 切换。工程要点：上下文质量决定补全质量（相关文件检索比全量塞入有效）；低延迟（<200ms 感知即时）决定可用性——用小模型/缓存/预计算；安全过滤——补全内容不过滤可能导致把密钥补出来（上下文含密钥时抑制补全）；幻觉控制——不存在的 API 补全需靠高质量上下文与模型约束，接受率（Acceptance Rate）作为核心指标评估与调优；隐私——补全请求即代码上传，敏感项目用本地模型。工程价值：补全是"高频低打扰"入口，优化它即优化日常开发效率。

答出触发-上下文-接受交互的链路、低延迟与质量评估、幻觉与隐私控制，突出"上下文质量与接受率"两个抓手。

• Chat 面板的上下文绑定（选区、文件、错误）
• 命令面板的快速指令（斜杠命令、会话模式）
• 两者的分工与快捷键效率

Chat 面板的价值：上下文绑定——选中代码/文件/报错后提问，AI 在绑定上下文中回答（"解释这段""这个报错怎么修"），比裸提问质量高一个量级；多轮会话维持上下文（讨论方案 → 落地代码）；回答可"应用到编辑器"（插入/替换/生成 diff）。命令面板的价值：低摩擦触发——通过快捷键唤起，输入斜杠命令（/fix、/test、/explain）或会话模式（Agent/Ask/Edit 模式切换），把"想做什么"变成可复用指令；命令可自定义（团队模板），沉淀高频操作。两者分工：Chat 适合开放式讨论与探索，命令面板适合确定性操作（修复、补测试、审查）；工程价值：减少上下文切换（不用切浏览器）、把 AI 交互标准化（命令模板 = 团队最佳实践）、键盘流效率（不打断编码节奏）。落地要点：Chat 默认绑定当前选区/文件、命令模板入仓共享（团队一致）、快捷键文档化。

答出 Chat 的上下文绑定与面板操作闭环、命令面板的低摩擦标准化、以及两者"探索 vs 确定性操作"的分工。

• 插件形态（扩展点、语言服务集成）
• 跨 IDE 的一致体验与差异
• 插件开发的性能与安全注意

插件形态：VS Code 扩展（LSP/语言服务、装饰器渲染幽灵文本、CodeLens、Webview 面板），JetBrains 插件（基于其 PSI/语言 API，深度集成补全、意图动作、inspections）。工程价值：在开发者原生的环境里提供 AI 能力（无需切换工具）、利用 IDE 的上下文（符号表、诊断、运行配置）提升回答质量、通过快捷键/内联操作融入既有工作流。实现要点：性能——补全/诊断在主线程外（Worker/LSP 异步），避免卡顿编辑器；安全——插件权限最小化（请求 hosts 白名单、不读无关文件）、更新机制与供应链审查（第三方插件注入风险）；一致性——跨 IDE（VS Code + JetBrains）行为对齐（快捷键、配置、规则文件读取），企业内统一下发策略。工程价值落点：插件是"AI 能力 × IDE 上下文"的接口层，做得好则体验无感、效率倍增；团队选型要评估插件对 IDE 性能的影响与数据出口（本地/云端）。

答出两类 IDE 的集成方式、性能与安全实现要点、跨 IDE 一致性与数据出口评估，体现"插件即接口层"的认知。

• 工作流的阶段划分（规划-执行-验证-提交）
• 人工确认点（checkpoint）的设置
• 失败处理与可恢复性（幂等、回滚）

Agentic Workflow 设计：阶段化——规划（读代码、产出任务清单）→ 执行（逐任务改代码）→ 验证（编译/测试/lint）→ 提交（小批次 commit/PR），每阶段有明确输入输出与完成标准，Agent 自检后进入下一阶段；人工确认点——在关键节点暂停（执行前确认计划、提交前审查 diff、危险操作前授权），粒度可配置（全自动/关键确认/全程确认）；失败处理——任务失败先自我修复（读错误重试，限次），仍失败则回滚该步（git 级回滚）并报告，不带着半成品继续；幂等——工作流可重放（相同输入 → 相同结果，或标记已完成步骤跳过）；可观测——每一步记录（计划、改动、验证结果）供追溯。边界：Agent 无法自行决策的事项（架构选择、API 设计、跨团队影响）必须上升人工；验证通过 ≠ 需求正确（测试覆盖盲区），需人工验收；工作流应限定在授权范围（允许路径、允许命令），超界即停。价值：把"AI 干活"变成"可管理、可审计、可回滚的工程过程"。

答出"规划-执行-验证-提交"阶段化、人工确认点与授权边界、失败自愈与回滚的可靠性设计，体现工作流工程化。

• 成本的构成（补全/对话/Agent 任务的 token 消耗）
• 预算治理（额度、路由、监控、审批）
• 成本与效率的平衡（哪些任务值得用贵模型）

成本构成：行内补全（高频小额）、Chat 对话（中额，上下文累积）、Agent 任务（大额，多文件多轮 + 工具调用 + 重试，单任务可能消耗百万级 token）。预算管理边界：额度——按人/团队设月预算，超限降级（自动切小模型/禁用 Agent）；路由——按任务价值分配模型（日常补全用小模型、关键重构用旗舰），Agent 任务设单任务 token 上限（防止失控循环）；监控——用量面板（按人/项目/工具统计）、告警（异常消耗，如某 Agent 任务 runaway）；审批——大额操作（批量生成、长任务）需确认；优化——上下文裁剪（Agent 读文件要克制）、缓存（重复上下文命中缓存）、复用结果（补全缓存）。现代边界：成本治理不能损害质量——关键任务（安全、架构）不因省 token 降级；把"token 预算"当作工程资源（像内存一样优化 Agent 的上下文使用）；团队层面统一"模型准入 + 预算 + 审计"制度，平衡效率与账单。

答出成本构成与三类治理手段（额度路由、监控告警、优化复用），落脚"预算治理不牺牲关键任务质量"的边界。

• affected graph（依赖图）的生成与排序
• 契约先行的小批次提交顺序（契约→实现→调用方→测试）
• 失败检测与安全回滚（git 分段、验证门禁）

跨包重构的正确顺序：先生成 affected graph——用仓库工具（Nx/Turborepo、依赖分析脚本）计算"被改 API 影响哪些包"，得到拓扑排序的受影响集合（直接/间接依赖链），重构任务按图推进而非文件顺序。提交顺序（契约先行）：1）改 API 契约（类型/接口/schema 定义包），2）改契约包内部实现，3）改直接调用方（按 affected 图逐层向外），4）最后补/改测试；每步都是独立小批次（一个包一个 commit/PR），保持任何时刻仓库"部分迁移中"也可编译（可选：契约兼容期双写）。失败处理：每批次以"该包编译 + 测试 + lint 通过"为门禁，任一包失败——停止推进（不带着错误继续改下游），修复（AI 自愈限次）或回滚该批次（git revert 单包提交，不影响已成功批次），回滚后重新评估受影响集。工程要点：AI 的任务描述要带 affected graph 输入；安全回滚依赖"小批次 + 单包门禁 + git 分段"，而不是一个大 diff 整体回退；CI 中加"半迁移状态"校验（允许的接口兼容检查）。

答出"图驱动排序、契约→实现→调用方→测试的小批次顺序、单包门禁与失败停步回滚"三个核心，体现跨包重构的工程纪律。

• 比较维度（正确性、可审查性、回滚能力、成本）
• 受控实验设计（同一任务、同一仓库、独立分支）
• 结果度量与工具选型结论

比较设计：固定变量——同一仓库（打上版本快照）、同一任务描述（包含 affected graph 输入）、独立分支各跑一次，避免并行跑改同一文件的干扰。比较维度：正确性——重构后全量编译/测试/lint 通过率、是否需要人工修复及修复量（diff 中 AI 之外的人工改动占比）；契约顺序遵守——是否按"契约→实现→调用方→测试"推进、批次大小（commit 粒度）是否符合工程要求；可审查性——diff 是否聚焦（有无无关改动）、命名与注释质量、是否附带计划文档；失败处理——遇到失败包时是否停步自愈/回滚还是带病继续；成本——token 消耗、耗时、重试次数；可复现性——同一任务跑多次的结果稳定性。度量方式：收集各分支的通过率、人工修复 diff 行数、commit 数/粒度、审阅耗时，形成对比表；同任务多跑几次取中位数（LLM 有随机性）。结论用于选型：某工具在某类任务上"正确性 + 可审查性 + 成本"综合最优，而不是"谁先跑完"。

答出受控实验（同仓库同任务独立分支）与多维度量（正确性、批次纪律、可审查性、失败处理、成本），落脚于综合选型而非速度对比。

• 按任务的工具/路径/环境权限最小化
• 生产凭据与沙箱环境的隔离
• 调用日志审计与提示注入的应对

三项 MCP 服务器的权限最小化：工具级——按任务白名单选择 MCP 能力（如仅测试任务启用 Playwright，且只允许 localhost/测试域名，禁止生产域名导航；Filesystem 只挂载工作目录，禁止读 ~/.ssh 等敏感路径；Sentry 只允许创建 issue 不允许改配置），用 MCP 配置或代理层过滤工具清单。环境级——运行环境用沙箱：文件系统用临时工作区（容器/受限目录）、网络用代理白名单（测试环境 DNS/出网限制）、环境变量注入最小集（把生产密钥替换为测试凭证或 dummy 值）。凭据隔离——生产凭据不进 Agent 上下文：MCP 服务器配置用环境变量注入运行时而非写进配置仓库，模型只见变量名；敏感数据访问走"代理/门卫"工具（AI 请求 → 门卫校验权限 → 代取数据），而不是直连。审计与注入防御——所有 MCP 调用记录（工具、参数、时间、会话）落审计日志，异常（访问敏感路径、生产域名）告警；仓库内容不可信（可能含提示注入），工具参数在 MCP 服务器侧做 schema 与白名单校验，注入指令（如"删除全部文件"）被白名单拦截；把"MCP 接入评审"作为登记制流程。

答出"工具/路径/环境三级最小化、凭据隔离（门卫模式）、调用审计与注入拦截"的完整安全模型，体现 MCP 接入的治理规范。