代码里的问题（接口缺少登录检查、越权、付费接口没保护）可以点「生成修复 PR」。AI 只做最小的修改，并且必须精确引用原代码；对不上的修改会被拒绝。我们在沙箱里检查修改：文件能正确解析，规则检查没有新增问题。通过后才在 hachi/fix-* 分支开 PR。请运行你的测试、审阅改动后再合并。合并并部署后，下一次检查会确认问题是否消失。