Claude Code 实战：从终端到 CI/CD 的全链路 Agent 编程

# 安装 Claude Code
npm install -g @anthropic-ai/claude-code

# 在项目根目录启动
cd your-project
claude

// Claude Code 自动生成的 JWT 中间件示例
import jwt from 'jsonwebtoken';
import { Request, Response, NextFunction } from 'express';

interface AuthRequest extends Request {
  userId?: string;
}

export const authMiddleware = (req: AuthRequest, res: Response, next: NextFunction) => {
  const token = req.headers.authorization?.split(' ')[1];
  if (!token) {
    return res.status(401).json({ error: 'No token provided' });
  }
  try {
    const decoded = jwt.verify(token, process.env.JWT_SECRET!) as { userId: string };
    req.userId = decoded.userId;
    next();
  } catch {
    return res.status(401).json({ error: 'Invalid token' });
  }
};

# 在 Claude Code 交互会话中
> 把我最近的改动拆分成合理的原子 commit

# Claude Code 会：
# 1. 分析 git diff 的所有变更
# 2. 按功能语义分组
# 3. 依次创建 commit，每个都附带清晰的 message

> 为 src/utils/validator.ts 生成单元测试，覆盖边界情况

# Claude Code 输出：
# ✓ 创建 src/utils/__tests__/validator.test.ts
# ✓ 添加了 12 个测试用例，包含：
#   - 正常输入验证 (4 cases)
#   - 边界值测试 (3 cases)
#   - 异常输入处理 (3 cases)
#   - 类型校验 (2 cases)
# ✓ 运行 npm test -- --testPathPattern=validator
# ✓ 12/12 测试通过

# 启动 Claude Code
$ claude

# 场景1：代码重构
> 将 src/api/ 下所有 callback 风格的异步函数重构为 async/await

# 场景2：Bug 修复
> 用户报告 /api/orders 在分页参数为 0 时返回 500，帮我定位并修复

# 场景3：代码审查
> review 上次 commit 的改动，关注安全问题和性能隐患

# 基本用法
claude -p "分析这个项目的依赖安全性"

# 指定模型和工具权限
claude -p "Fix all ESLint errors in src/" \
  --model opus \
  --allowedTools "Bash,Read,Write" \
  --permission-mode acceptEdits

# 管道化输入
echo "Explain the authentication flow" | claude -p

# JSON 结构化输出
claude -p "List all API endpoints" --output-format json

# TypeScript SDK
npm install @anthropic-ai/claude-agent-sdk

# Python SDK
pip install claude-agent-sdk

import { ClaudeAgent } from '@anthropic-ai/claude-agent-sdk';

const agent = new ClaudeAgent({
  model: 'opus',
  workingDirectory: './my-project',
  allowedTools: ['Read', 'Write', 'Bash'],
  permissionMode: 'acceptEdits',
});

// 单次执行
const result = await agent.run('Refactor the database layer to use connection pooling');
console.log(result.output);

// 流式输出
const stream = agent.stream('Generate a comprehensive test suite');
for await (const event of stream) {
  if (event.type === 'text') {
    process.stdout.write(event.content);
  }
}

<!-- .claude/agents/security-reviewer.md -->
# Security Reviewer Agent

你是一个安全审查专家。你的职责是：
1. 检查代码中的安全漏洞（SQL注入、XSS、CSRF等）
2. 验证认证和授权逻辑的正确性
3. 检查敏感数据处理是否合规

## 允许的工具
- Read（只读，不修改代码）
- Bash（仅限 grep、find 等查找命令）

// 在主 Agent 中调用子 Agent
const result = await agent.run(
  'Use the security-reviewer agent to audit the authentication module'
);

# .github/workflows/claude.yml
name: Claude Code Assistant

on:
  issue_comment:
    types: [created]
  pull_request_review_comment:
    types: [created]
  issues:
    types: [opened, labeled]
  pull_request:
    types: [opened, synchronize]

jobs:
  claude:
    runs-on: ubuntu-latest
    permissions:
      contents: write
      pull-requests: write
      issues: write
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - uses: anthropics/claude-code-action@v1
        with:
          anthropic_api_key: ${{ secrets.ANTHROPIC_API_KEY }}
          model: "opus"

- uses: anthropics/claude-code-action@v1
  with:
    mode: "tag"
    anthropic_api_key: ${{ secrets.ANTHROPIC_API_KEY }}

@claude 这个 PR 有潜在的 N+1 查询问题，请帮我优化 UserService 中的数据库访问
@claude 为这个新增的 API 端点生成 OpenAPI 文档

- uses: anthropics/claude-code-action@v1
  with:
    mode: "auto"
    direct_prompt: "Review this PR for security issues and performance problems"
    anthropic_api_key: ${{ secrets.ANTHROPIC_API_KEY }}

# 安装 VS Code 扩展
code --install-extension anthropic.claude-code

# 或在 VS Code 扩展市场搜索 "Claude Code"

$ claude
> 将 src/services/paymentService.js 从 callback 风格重构为 async/await，
> 保持所有现有测试通过，确保错误处理语义不变

# Claude Code 的执行过程：
# 1. 读取 paymentService.js（312行）
# 2. 读取对应的测试文件 paymentService.test.js（198行）
# 3. 分析所有回调链和错误处理模式
# 4. 逐函数重构为 async/await
# 5. 更新测试文件中的断言方式
# 6. 运行 npm test -- paymentService
# 7. 修复 2 个因 Promise 时序差异导致的测试失败
# 8. 再次运行测试，全部通过

# 最终变更：
# - paymentService.js: 312行 → 247行（减少21%）
# - paymentService.test.js: 更新 8 个测试用例
# - 0 个测试失败

> 为 src/utils/ 下所有缺少测试的模块生成单元测试，目标覆盖率 80%

# Claude Code 会：
# 1. 扫描 src/utils/ 下所有文件
# 2. 对比 __tests__/ 目录，找到缺少测试的模块
# 3. 为每个模块生成测试文件
# 4. 运行测试并检查覆盖率
# 5. 补充遗漏的分支测试直到达标

> review src/api/ 目录下所有端点的安全性，关注：
> 1. SQL注入风险
> 2. 未校验的用户输入
> 3. 敏感信息泄露
> 4. 缺失的认证检查

# Claude Code 输出结构化审查报告：
# 🔴 HIGH: src/api/users.js:45 - 直接拼接 SQL 字符串
#    建议：使用参数化查询 db.query('SELECT * FROM users WHERE id = $1', [id])
# 🟡 MEDIUM: src/api/orders.js:89 - 错误响应中包含堆栈信息
#    建议：生产环境仅返回错误码，不暴露内部堆栈
# 🟡 MEDIUM: src/api/upload.js:23 - 文件上传缺少类型和大小校验
#    建议：添加 MIME 类型白名单和文件大小上限

SWE-bench 解决率对比：
├── Claude Opus 4:    ████████████████████████████████████ 72.5%
├── GPT-4.1:          ██████████████████████████████ 54.6%
├── Claude Sonnet 4:  █████████████████████████████ 53.4%
└── Gemini 2.5 Pro:   ████████████████████████████ 51.8%

# CLAUDE.md

## 项目概述
这是一个基于 Next.js 14 + TypeScript 的 SaaS 平台，使用 Prisma ORM 连接 PostgreSQL。

## 常用命令
- 开发服务器：`npm run dev`
- 运行测试：`npm test`
- 类型检查：`npx tsc --noEmit`
- 代码检查：`npm run lint`
- 数据库迁移：`npx prisma migrate dev`

## 代码规范
- 使用函数式组件 + Hooks，禁止 class 组件
- 所有 API 路由必须包含输入验证（使用 Zod）
- 错误处理使用自定义 AppError 类
- 所有用户可见文本使用 i18n（next-intl）

## 架构约定
- src/app/ - Next.js App Router 页面
- src/lib/ - 业务逻辑和工具函数
- src/components/ - React 组件（使用 shadcn/ui）
- prisma/schema.prisma - 数据库模型定义

## 禁止事项
- 不要修改 prisma/migrations/ 下的已有迁移文件
- 不要在客户端组件中直接访问数据库
- 不要使用 any 类型

$ claude
> /init

# Claude 会分析你的项目结构，自动生成包含：
# - 检测到的技术栈和框架
# - 常用的 build/test/lint 命令
# - 项目目录结构概览

# 会话中的纠正会被自动记录
> 不要使用 console.log 调试，用 debug 库
> 数据库查询一律使用 prepared statements

# Claude 自动更新 MEMORY.md：
# - Prefer debug library over console.log
# - Always use prepared statements for database queries

# ❌ 模糊指令
> 修一下登录

# ✅ 明确的三段式指令
> 修复登录接口的 Bug：用户使用 Google OAuth 登录时偶尔返回 500。
> 约束：不要修改数据库 schema，保持向后兼容。
> 验证：修复后运行 npm test -- auth，所有测试必须通过。