Legacy-Teams brauchen Reviews, die Betriebsrisiken senken, nicht nur Stilfragen diskutieren. Diese Checkliste ist als belastbare Basis fuer PR-Reviews, Codebase-Audits und AI-Triage gedacht.
1. Security und Datenschutz
- Ist Authentifizierung ueber alle Entry Points konsistent?
- Werden Berechtigungen serverseitig fuer jede sensible Aktion geprueft?
- Wird externe Eingabe an Grenzen validiert und bereinigt?
- Werden Secrets ausserhalb von Source Control verwaltet?
- Sind sensible Logs redigiert (Token, PII, Credentials)?
- Werden Dependency-Vulnerabilities regelmaessig triagiert?
2. Reliability und Fehlverhalten
- Haben Netzwerk- und DB-Calls Timeouts plus Error-Handling?
- Sind Retries begrenzt und idempotent?
- Fallen Background Jobs kontrolliert aus?
- Kann ein Subsystem-Fehler eine Kaskade ausloesen?
- Sind kritische Pfade in Logs/Metriken nachvollziehbar?
3. Architektur und Wartbarkeit
- Gibt es duplizierte Business-Logik?
- Sind Modulgrenzen klar oder steigt Coupling?
- Sind Benennungen und Muster konsistent?
- Wird toter Code nur aus Unsicherheit mitgeschleppt?
- Sind Konfigurationsregeln zentral dokumentiert?
4. Performance und Skalierungsrisiken
- Gibt es N+1-Abfragen oder wiederholte teure Berechnungen?
- Sind Pagination und Limits auf grossen Endpunkten aktiv?
- Werden teure Operationen sinnvoll gecacht oder gebatcht?
- Sind speicherlastige Pfade unter Last begrenzt?
5. Delivery- und Rollback-Sicherheit
- Ist ein Rollback sicher moeglich?
- Sind Migrationen vorwaerts/rueckwaerts kompatibel?
- Sind Feature Flags temporär und mit Owner versehen?
- Pruefen Tests auch Failure-Modes statt nur Happy Paths?
Meeting-faehige Ergebnisstruktur
- Severity-Verteilung: kritisch, hoch, mittel, niedrig.
- Top-10 Risiken: jeweils mit klarem Business-Impact.
- Aktionsplan: Owner, Aufwand, Zieltermin.
- Deferred-Liste: was bewusst spaeter kommt und warum.
Kombination mit AI-Review
Statische Analyse bleibt stark fuer deterministische Policy-Checks. AI-Review ergaenzt bei semantischen und dateiuebergreifenden Problemen.
- Statische Checks in jede PR.
- Full-Codebase AI-Review auf Regeltermin oder vor Releases.
- Menschliche Triage vor jeder Fix-Umsetzung.
- Exportierte Reports in Engineering- und Leadership-Meetings.
Wo VibeRails passt
VibeRails ist fuer den Full-Codebase-Teil gebaut: strukturierte Triage und exportierbare Ergebnisse. Gerade fuer Legacy-Organisationen mit vorsichtigem AI-Rollout ist das ein kontrollierbarer Einstieg.
Limits and tradeoffs
- It can miss context. Treat findings as prompts for investigation, not verdicts.
- False positives happen. Plan a quick triage pass before you schedule work.
- Privacy depends on your model setup. If you use a cloud model, relevant code is sent to that provider; local models can keep inference on your own hardware.