Codex: Codex 提示词最佳实践

# 差的 Prompt
"帮我写个函数"

# 好的 Prompt
"在 src/utils/date.ts 中创建 formatDate 函数，
输入 Date 对象和 locale 字符串，
输出本地化日期字符串，
参考同文件中 formatNumber 的风格，
包含空值处理和单元测试。"

[目标]：要完成什么
[范围]：修改哪些文件/目录
[参考]：参考哪些已有代码
[约束]：需要遵循什么规则
[验证]：如何验证完成

[目标] 添加用户密码重置功能
[范围] src/auth/reset.ts, src/api/reset.ts
[参考] src/auth/login.ts 的代码风格
[约束] 使用 bcrypt 哈希，令牌有效期 1 小时
[验证] npm test -- --grep "reset" 全部通过

第一步：创建 PasswordReset 模型，包含 token、expires_at、user_id 字段
完成后告诉我，我会确认再继续。

第二步：实现 POST /api/auth/reset-request 端点
第三步：实现 POST /api/auth/reset-confirm 端点
第四步：为所有端点写集成测试

# 好的做法：引用具体文件
> 参考 src/models/user.ts 的 User 类型定义，添加 Profile 类型

# 差的做法：笼统描述
> 参考已有的模型，添加新的

# 在 App 中附加图片
> 参照截图中的 UI 布局，实现这个页面

# 引用错误日志
> cat error.log 的输出如下：
> TypeError: Cannot read property 'id' of undefined
> 修复这个错误

> 项目使用 Next.js 14 + App Router + TypeScript
> 数据库用 Prisma ORM + PostgreSQL
> 测试框架是 Vitest
> 为新页面添加 CRUD 功能

# 要求运行测试
> 确保 npm test 通过
> 运行 pytest，修复所有失败用例
> 测试覆盖率不低于 80%

> 确保 tsc --noEmit 无错误
> 添加完整的 TypeScript 类型注解

> 确保 eslint 无错误
> 修复所有 lint 警告

为 orders API 添加分页功能：
1. 修改 GET /api/orders 端点
2. 支持 page 和 pageSize 查询参数
3. 返回分页元数据
4. 确保 tsc --noEmit 无错误
5. 确保 eslint 无错误
6. npm test 全部通过
7. 新增测试覆盖分页逻辑

修复 <文件> 中的 <Bug描述>。
错误信息：<粘贴错误日志>
期望行为：<正确行为>
确保 <验证命令> 通过。

在 <模块> 添加 <功能>。
参考 <已有文件> 的代码风格。
包含输入验证和错误处理。
编写单元测试，确保 <验证命令> 通过。

将 <旧实现> 重构为 <新实现>。
保持对外接口不变。
确保所有现有测试通过。
添加新测试覆盖新实现。

审查 <文件/PR>，关注：
1. 安全漏洞（SQL注入、XSS等）
2. 性能问题（N+1查询、内存泄漏等）
3. 代码风格一致性
4. 错误处理完整性
5. 测试覆盖率

为 <模块/API> 生成文档：
- API 接口文档（Markdown 格式）
- 使用示例（包含 curl 命令）
- 参数说明表格
- 错误码列表

你是一个资深安全工程师，专注于 Web 安全。
审查以下代码中的安全漏洞，按 OWASP Top 10 分类。

按以下格式输出：
1. 每个问题一行
2. 格式：[严重程度] 文件:行号 - 问题描述
3. 严重程度：🔴严重 🟡中等 🟢低
4. 最后给出修复优先级排序

只使用项目已有的依赖，不要安装新包。
不要修改 .env 文件。
不要删除现有测试。
所有新函数必须有 TypeScript 类型注解。