Legacy-teams hebben reviews nodig die operationeel risico verlagen, niet alleen stijl-discussies. Gebruik deze checklist als basis voor PR review, periodieke audits en AI-triage.
1. Security en databescherming
- Is authenticatie consistent over alle entry points?
- Wordt autorisatie server-side afgedwongen op gevoelige acties?
- Wordt externe input gevalideerd en gesanitized aan de randen?
- Staan secrets buiten source control en lokale artefacten?
- Zijn gevoelige logs geredigeerd (tokens, PII, credentials)?
- Worden dependency-kwetsbaarheden periodiek getriageerd?
2. Betrouwbaarheid en foutgedrag
- Hebben netwerk- en DB-calls timeouts plus foutafhandeling?
- Zijn retries begrensd en idempotent waar nodig?
- Falen background jobs gecontroleerd met herstelpad?
- Kan een lokale storing escaleren naar brede outage?
- Zijn kritieke paden observeerbaar in logs/metrics/traces?
3. Architectuur en onderhoudbaarheid
- Is businesslogica gedupliceerd over meerdere modules?
- Zijn modulegrenzen helder of groeit coupling?
- Zijn naamgeving en patronen consistent?
- Wordt dode code meegesleept door onduidelijke ownership?
- Zijn configuratieregels centraal vastgelegd?
4. Performance en schaalrisico
- Zijn er N+1-patronen of herhaalde dure berekeningen?
- Zijn paginatie en limieten afgedwongen op grote endpoints?
- Zijn zware operaties gecachet of gebatcht waar logisch?
- Zijn geheugenintensieve paden onder load begrensd?
5. Deploy- en rollback-veiligheid
- Is veilige rollback mogelijk?
- Zijn migraties voorwaarts en achterwaarts compatibel?
- Zijn feature flags tijdelijk en met duidelijke owner?
- Testen tests ook failure-modes naast happy path?
Meeting-klare output
- Severity-verdeling: kritisch, hoog, midden, laag.
- Top 10 risico's: met business-impact in gewone taal.
- Actieplan: owner, inspanning en targetdatum.
- Deferred lijst: wat later komt en waarom.
Gebruik samen met AI review
Statische analyse is sterk voor deterministische policy checks. AI review vult aan op semantische en cross-file issues.
- Static checks in elke PR.
- Full-codebase AI review op vaste cadans.
- Menselijke triage voor fix-uitvoering.
- Exporteerbare samenvattingen voor engineering en leiderschap.
Waar VibeRails past
VibeRails is gebouwd voor de full-codebase laag: gestructureerde triage en duidelijke exports. Voor legacy-organisaties met voorzichtige AI-adoptie maakt dit rollout beter bestuurbaar.
Limits and tradeoffs
- It can miss context. Treat findings as prompts for investigation, not verdicts.
- False positives happen. Plan a quick triage pass before you schedule work.
- Privacy depends on your model setup. If you use a cloud model, relevant code is sent to that provider; local models can keep inference on your own hardware.