做需求与审代码:项目经理 + 审查员的双打

交付一:一句话 → mini PRD

任务原话:"把这句话拆成 mini PRD:『做一个帮健身教练自动生成学员周报的小工具』。"

「高级项目经理」的交付(原样节选):

核心用户与场景:私教/健身工作室教练,每周需向 10-30 名学员反馈训练情况,手写周报耗时且易拖延。工具把每人 15 分钟压缩到 1 分钟。

三个核心功能:P0 周报自动生成(一键图文周报)/ P1 模板与语气定制(鼓励型/严格型)/ P2 学员趋势对比。(P0/P1/P2 是优先级行话:P0 最要紧、必须先做。)

MVP(最小可用版本)范围:做——手动录入、单一模板、文本周报、导出图片发微信。不做——学员端 App、穿戴设备同步、自动群发、付费体系、多教练协作。

验收标准:1) 录入数据后 10 秒内生成完整周报;2) 周报含训练次数、指标变化、下周建议三板块,缺数据有兜底文案;3) 3 名真实教练试用一周,每人每周至少发出 5 份且愿意继续用。

三个专业细节:功能带 P0/P1/P2 优先级;MVP 明确写了不做什么(防蔓延,主课 m.1 的拆需求纪律);验收标准落到真实用户行为,不是"功能做完了"。

交付二:一段"能跑"的代码 → 拒绝合并

给「代码审查员」一段周报功能的程序代码(功能正常、能跑)。审查报告里的"合并"是开发行话,意思是"把这段代码正式收进项目"——拒绝合并 = 这代码不许上车。他的审查报告(原样):

总评:不可合并,存在多个阻断级问题。

🔴 阻断

1. SQL 注入:用户输入直接拼接 SQL,可被 1; DROP TABLE-- 攻击。改用参数化查询。
2. 密钥硬编码:sk-live 生产密钥写死在代码里,会进入 Git 历史。改从环境变量读取。
3. 缺少鉴权:任何人可传任意 coachId 查他人数据(越权)。

🟡 建议 4. 无错误处理(任一环节 reject 请求就挂起) 5. 同步写固定路径(并发互相覆盖) 6. XSS 风险(LLM 输出未消毒直接当 HTML 返回) 7. 无输入校验

结论:拒绝合并。修复 1-3 后可再审。

注意:这段代码功能是正常的——每一个问题都是"能跑但会出事"级别的。SQL 注入、硬编码密钥、越权,正是主课 P4 陷阱清单里的常客(#5/#6),被审查员按职业清单一次性抓齐。

🔧 动手做:把你的点子和代码各过一遍(10 分钟)

1. 拆需求:「角色组队」页勾选「高级项目经理」,发一句你惦记很久的点子:"拆成 mini PRD:核心用户/三个功能带优先级/MVP 做与不做/3 条可检验的验收标准。"
2. 看它的"不做什么"清单——有没有把你本来想塞进 V1 的东西划出去了?划得对吗?
3. 审代码(没有代码的同学可跳过这步,不影响后面):换勾「代码审查员」,贴一段你(或 AI)最近写的代码:"按阻断/建议分级审查,给能否合并的结论。"
4. 数一数阻断级问题——尤其看有没有硬编码密钥和没校验的输入。

你会看到:PM 大概率把你想做的一半功能踢出了 MVP(而且理由成立);审查员大概率在"能跑"的代码里挖出你没想过的雷。

为什么:这两个岗位的价值都是“用清单对抗侥幸”——PM 的清单防需求蔓延,审查员的清单防带病上线。你在主课 P4 亲手练过这些坑;现在,有专家替你把清单执行成日常。

第一步,让「高级项目经理」把【你的点子】拆成 mini PRD(用户/功能带优先级/MVP 做与不做/3 条验收标准)。第二步,等我按 PRD 让 AI 写完核心代码后,让「代码审查员」按阻断/建议分级审查并给合并结论。