feat(GOV-002): 增加 PRD 与开发审查门禁

docs/governance/code-development-standards.md

@@ -113,3 +113,16 @@ count += 1;
 - AI 密钥、数据源凭证和支付凭证仅存在服务端密钥管理中。
 - SQL必须参数化；外部输入必须在边界处校验。
 - 日志和异常报告必须脱敏。
+
+## 12. 代码 Review 要求
+
+开发者完成自测不等于 Review 完成。审查者必须从功能 PRD、设计和 Git diff 出发，检查：
+
+- 业务行为是否真正满足验收标准，是否存在遗漏分支。
+- 类型、数据口径、缓存、消息、事务和异常恢复是否正确。
+- 是否引入安全、性能、并发、幂等或数据一致性风险。
+- 测试是否能捕获真实回归，而非只验证 Mock 或实现细节。
+- 中文注释是否解释关键原因、口径和限制，是否存在失真注释。
+- 文件拆分是否便于常规阅读，是否出现过度抽象或巨型多职责文件。
+
+Critical 和 Important 问题必须修复并复审。Minor 问题可以延期，但必须写明理由和后续功能编号。