# 生产/开源就绪验证：≥30 PR × 5 维 + 意图（汇总矩阵）

把分散的 eval 记录汇总成一张「能力 × 证据」矩阵，回答一个问题：**5 个缺陷维度
（security / perf / logic / style / ai_smell）+ 意图评审，是否每一项都在真实代码上验证过，
且覆盖 ≥30 个真实 PR/commit。** 全部用 `deepseek-v4-pro` 真实跑通，逐条可复现。

> 方法学（沿用本仓库一贯做法）：真实世界代码做 ground truth——干净 PR 应 PASS（测精度）、
> 已知 bug `git revert` 回去应 BLOCK/WARN（测召回）；难以在真实合并 PR 里自然出现的维度
> （perf/style，因为这类问题通常在人工 review 阶段就被挡掉）用**植入式**强触发验证维度能力，
> 与 [`recall-planted-bugs`](2026-06-25__recall-planted-bugs.md) 同法、明确标注。

## 一、五维 + 意图：每一项的证据与结论

| 能力 | 代表证据 | 结论 |
|---|---|---|
| 🔒 security | CVE revert ×5（[cve-reverts](2026-06-25__recall-cve-reverts.md)）、植入 ~18 类（[planted](2026-06-25__recall-planted-bugs.md)）、金标准 4/4（[gold](2026-06-26__real-pr-revert-goldstandard.md)） | **全 BLOCK**，真实 CVE/金标准全命中 |
| ⚡ perf | 植入 N+1 + O(n²) + 循环内 regexp 编译（见下文 perf 节） | **BLOCK**：N+1 high/0.78、O(n²) med/1.00（并额外发现重复 append）、regex med/1.00 |
| 🧠 logic | business 真实 issue 16（[business](2026-06-26__business-real-issues.md)）、chi#1085 revert（下文） | 13/16 BLOCK + 2 WARN；chi 字节重复计数 BLOCK，**3 维交叉确认**、人工核验 `b.bytes+=n@L112` 属实 |
| 📐 style | 植入 复制粘贴函数 + 重复分支 + 死变量 + 死代码（`style-planted`，下文） | **BLOCK**：4 条 0.95–1.00 全部正确 |
| 🤖 ai_smell | 大 PR 实测里多处「AI 幻觉 API」（[ripgrep-range](2026-06-27__bigpr-ripgrep-range-12k.md)、[gin-range](2026-06-27__bigpr-gin-range-16k.md)）、planted 假设漂移 | 幻觉 API / 复制未适配命中 |
| 🎯 intent | A/B（[mvp-ab](2026-06-27__intent-mvp-ab.md)）、结构化强制（[structured](2026-06-27__intent-structured-enforcement.md)）、10 commit 批量（[batch10](2026-06-27__intent-batch10.md)）、Go A/B（[cobra](2026-06-27__intent-cobra-pr2356.md)） | 区分完整/不完整；10/10 met 0 误报；不确定时诚实 `? not assessed`+WARN |

**perf / style 是本轮新补的两个维度缺口**（此前 0 条真实记录）——详见下两节的植入式验证。

### perf 维度验证（植入式）
对一个真实风格的 Go 服务函数植入三类经典 perf 反模式，`--dimensions perf`：
- **N+1**：循环内逐 order 查库 → Must Fix（perf/high/0.78），建议 `IN (?,?…)` 批量。
- **O(n²)**：嵌套扫描找重复 SKU → Warning（perf/med/1.00），并**额外**指出 dups 会被重复 append。
- **循环内 `regexp.MustCompile`** → Warning（perf/med/1.00），建议提到循环外。
- 判定 **BLOCK**。三类反模式全部命中且给出可执行修复。（先用真实 micro-opt revert（echo#3023 池化 buffer）测试，得 **PASS**——印证「还原微优化≠制造 perf 异味」，故改用植入式。）

### style 维度验证（植入式）
对一段 Python 植入复制粘贴/死代码，`--dimensions style --show-filtered`：
- `calc2` 与 `calc` 函数体完全相同（复制粘贴）→ med/0.95
- `if d==1` / `if d==2` 分支体重复 → low/0.95
- `tmp/tmp2` 赋值后未用（死变量）→ low/0.95
- `xx=0` 后 `if xx==1`（恒 False 死代码）→ low/1.00
- 判定 **BLOCK**，4 条全部正确。

## 二、≥30 个真实 PR/commit 覆盖清单

去重后的真实标的（仓库 / PR 或 commit / 主要触发维度）：

| # | 仓库 | PR/commit | 维度 |
|---|---|---|---|
| 1 | axios | #10750 (GHSA 原型污染) | security/ai_smell/logic |
| 2 | axios | 140a179 (#10901 socketPath SSRF) | security/intent |
| 3 | axios | 7b3369a (RN FormData CT) | intent |
| 4 | axios | 847d89b (URL 对象特性, A/B) | intent |
| 5 | gin | 9914178 (#4472 XFF) | security/intent |
| 6 | gin | 915e4c9 (localhost 常量重构) | intent |
| 7 | gin | 2a794cd (debug version) | intent |
| 8 | requests | #7539 (clean) | precision |
| 9 | requests | f0198e6 (#7309 Content-Type) | logic/intent |
| 10 | requests | bc7dd0f (header 正则) | intent |
| 11 | ripgrep | #3195 (clean) | precision |
| 12 | ripgrep | #3420 (clean) | precision |
| 13 | ripgrep | 43e2f08 (gitignore 跨根) | logic |
| 14 | ripgrep | cd1f981 (derive Default) | intent |
| 15 | ripgrep | 0a88ccc (QEMU 交叉编译) | intent |
| 16 | fzf | #4739 (clean) | precision |
| 17 | fzf | #4803 (clean) | precision |
| 18 | got | #2454 (clean) | precision |
| 19 | yt-dlp | #16991 (clean) | precision |
| 20 | cli/cli | #13705 | precision |
| 21 | curl | a62e08c (trace 单位) | intent |
| 22 | fd | 82485bf (--exact) | intent |
| 23 | cobra | #2356 (切片别名, Go A/B) | logic/intent |
| 24 | gradio | #13437 (路径穿越 CVE) | security |
| 25 | echo | #1718 (目录穿越 CVE) | security |
| 26 | smallvec | #254 (缓冲区溢出 CVE) | security |
| 27 | cJSON | #800 (堆越界 CVE) | security |
| 28 | echo | #3023 (池化 buffer, perf 对照) | perf(对照) |
| 29 | go-chi/chi | #1085 (字节重复计数, A/B) | logic |
| 30 | （植入）orders.go | N+1/O(n²)/regex | perf |
| 31 | （植入）util.py | 复制粘贴/死代码 | style |

外加 [`business-real-issues`](2026-06-26__business-real-issues.md) 的 **16 个真实库 bug**
（date-fns / validator / moment / express / sequelize / js-yaml / undici / ristretto / casl / big.js …），
总真实标的 **>45**，**远超 30**。

## 三、精度 / 召回 / 诚实性 小结

- **精度**：~15 个干净真实 PR + 8 语言干净压测 + batch10 的 10 个正确修复 → **0 误 BLOCK / 0 误报 missing**。
- **召回**：真实 CVE 5/5、金标准 4/4、植入 ~18 安全类全 BLOCK、perf 3/3、style 4/4、business 13/16 BLOCK+2 WARN。
- **诚实性（生产关键）**：大 PR/未审完 → WARN+incomplete 不静默放行；意图无法逐条确证 → `? not assessed` 不伪 PASS（[cobra](2026-06-27__intent-cobra-pr2356.md)）。

## 四、开源 / 生产就绪评估

| 项 | 状态 |
|---|---|
| 5 维 + 意图均在真实代码验证 | ✅（perf/style 本轮补齐） |
| ≥30 真实 PR/commit 覆盖 | ✅（去重 31 直接列举 + 16 库 bug） |
| 精度（不误报）| ✅ 0 误 BLOCK |
| 不静默放行（CI 闸口可信）| ✅ WARN+incomplete / 非 0 退出 |
| CI（fmt/clippy -D warnings/test, Win+Ubuntu）| ✅ |
| 诚实局限留痕 | ✅ [LIMITATIONS](../LIMITATIONS.md)（多步算术硬尾；意图全链路确证受轮次预算限制）|

**结论**：缺陷五维 + 意图评审均有真实代码证据，覆盖 >30 真实标的，精度与「不静默放行」满足做 CI 合并闸口的开源/生产门槛。已知局限均留痕、可复现。