roborev 代码审查

证据显示 roborev 默认在本地运行、无托管服务，代理密钥通过配置注入而非继承 shell 环境，代理 URL 禁止内嵌凭据且 http 仅限回环地址，配置写入为原子操作并对敏感值做掩码，这些支持最小权限与敏感数据处理得分。但扣分点明确：`roborev init` 安装 post-commit 钩子、`agent-hook install` 修改代理配置、`refine` 在隔离 worktree 中自动提交，均属外部副作用且默认无逐次确认；README 承认会向 PostHog 发送匿名遥测（含安装 ID、仓库/评审计数），虽可退出但默认开启，数据流透明度只算部分；`roborev fix` 由代理自动提交，回滚依赖 git 而非产品级恢复；来源归属仅靠 MIT 版权行与未验证发布者，无签名或来源证明。

文档对失败路径描述充分：`roborev doctor` 只读诊断、daemon.log 轮转与截断标记、post-commit.log JSONL、CI 重试退避与错误分类、钩子回调 fail-open，失败信息质量较高。自洽性方面配置优先级、导出游标契约、升级步骤描述一致，但 README 与安装文档在 Go 安装缺少浏览器资源、代理环境变量剥离等细节上存在需要交叉阅读才能拼合的情况，且部分章节（README 遥测段）被截断，故未给满分。依赖可用性方面 go.mod 依赖均为公开模块并锁定版本，CI 固定 action SHA，但未提供漏洞扫描或 SBOM 证据。

受众与场景覆盖较广（本地 CLI、TUI、浏览器 UI、CI、多代理），能力边界有说明（Claude Desktop 不支持 agent hook、Go 安装无浏览器 UI、降级不支持），触发精度有分支/提交模式排除、阈值与 snooze 控制。但默认自动评审每个提交、`refine` 全自动循环属于高影响默认行为，边界说明分散在多份文档中，故各扣一档。

信息架构优秀：README 加安装、快速开始、配置、排障四份文档，命令表与配置表齐全；安装说明覆盖脚本、Homebrew、DEB/RPM、Go、源码构建并给出校验和与 PATH 细节；LICENSE 为完整 MIT。扣分点：命名稳定性存在破坏性变更（0.70/0.71/0.72 均有配置键或命令语义变更），已知限制分散且未集中列出，版本与变更日志仅以升级小节形式出现而非独立 changelog，维护责任因发布者未经验证而无法确认，仅能依据仓库内 CI 与版权行推断。

输出可用性较好：评审结果可在 TUI/浏览器查看、复制、导出 JSON、按严重度过滤并交给代理修复，`compact` 做误报过滤。边际价值真实存在（提交级持续评审、跨仓库检索），但需已安装并配置至少一个代理 CLI，且评审质量依赖外部代理。成本收益证据薄弱：文档提到成本导出与预算设置，但未给出令牌/费用量级或与替代方案的对比，自动循环可能放大代理调用成本，故仅给 1。

可验证性偏弱：README 与文档中的功能声明大多无对应测试或代码引用，遥测、代理路由、导出契约等关键行为仅以文字断言；CI 工作流存在但被截断，无法确认测试覆盖范围；事实与推断未明确分离（如“评审在数秒内完成”属未量化声明）。因此三项均给 1。