上线前检查：4 个测试 subagent

上线前，让 Opus 5.5 派 4 个专门搞破坏的 subagent，分头拿这 16 个问题把你的 App 往坏里试一遍：

安全
- 打包后的前端 JS 和 git 历史里，有没有 sk_、service_role 这种私密 key
- 不走页面，直接调接口：不登录、换成别人的 ID，服务端拦不拦
- 把请求里的价格、数量、权限改一下再发，服务端认不认
- 同一个接口连发 100 次，有没有按用户和 IP 限流
- 在 Markdown、富文本、上传的 SVG 里塞一段会弹窗的代码，换个账号打开会不会执行

数据
- 塞进 10,000 条数据，页面还打不打得开
- 名字写 200 个字、带 emoji，页面被撑爆没有
- 邮箱大小写不同，是不是注册出了两个账号
- 什么都不填直接提交，数据库里多没多一条空记录

操作
- 同一笔订单并发下两次、同一个付款回调重放两次，有没有出两笔订单
- 做到一半刷新、按返回，填好的东西还在不在
- 断网时点保存：显示成功了，数据却没存上
- 上传一张 50MB 的图，卡不卡死

环境
- 手机小屏、页面放大到 200%，按钮还点不点得到
- 换成 Safari 内核，页面乱没乱
- 用户在别的时区，日期、截止时间、打卡会不会差一天

4 个 subagent 的 effort 都设 high；安全那组管着付款和登录，一出错就出大事，可以调到 xhigh 甚至 max。Anthropic 的 Thariq 说过，调高 effort 换来的主要就是更多验证和边界测试。

把这整条发给 Claude Code，最后加一句 👇
「在 ~/.claude/agents 建 4 个测试 subagent，上面每组各建一个：security-breaker、data-breaker、flow-breaker、env-breaker。model 都用 opus，effort 设 high，security-breaker 设 xhigh；只给读文件、跑命令和浏览器（Playwright）的权限，不改代码和配置，没有 Playwright 就先装上。
每次上线前，在本地或测试环境把 App 跑起来，让它们分头按自己那组逐条试。需要登录的，先问我要两个测试账号；付款只用测试模式；AI 接口先 mock，或用有花费上限的测试 key；测试数据只写测试库，测完清掉。发现用的是正式环境的 key 或线上域名，立刻停下来问我。
每个问题写清复现步骤、截图和修法，汇总后按严重程度排好，交给主会话修；做不到的项标「未测」并写原因。先把要新建的文件给我看，我确认后再写。」