前言 · 先看最终效果

$ cd ~/my-express-app && ling

  ╭──────────────────────────────────────╮
  │  Ling v0.1.0                         │
  │  项目: my-express-app (Express.js)   │
  │  文件: 47 个  依赖: 12 个            │
  │  分支: feat/user-auth (3 commits)    │
  ╰──────────────────────────────────────╯

> 这个项目在做什么？

  我扫描了项目结构，这是一个 Express.js 后端服务，主要功能：

  1. 用户认证（src/auth/）—— 基于 JWT，刚加了 3 个 commit
  2. RESTful API（src/routes/）—— 用户和文章两组 CRUD
  3. PostgreSQL 数据存储（src/models/）—— 用 Prisma ORM

  目前 feat/user-auth 分支有 3 个未合并的 commit，都是
  在做密码重置功能。src/auth/reset.ts 写了一半，还没有
  对应的测试文件。

$ ling --provider doubao
  Using: Doubao-pro-256k (Volcano Engine)

> /model claude

  Switched to: claude-sonnet-4-20250514 (Anthropic)

> /model openai

  Switched to: gpt-4o (OpenAI)

$ ling

> 用户注册接口返回 500，帮我查一下

  ● grep "register" src/routes/*.ts
    Found 3 matches

  ● read_file src/routes/user.ts:42-68
    Reading lines 42-68...

  找到了。src/routes/user.ts 第 55 行，bcrypt.hash() 的
  第二个参数 saltRounds 写成了字符串 "10"，应该是数字 10。

  ● edit_file src/routes/user.ts
    L55: - const hash = await bcrypt.hash(password, "10")
    L55: + const hash = await bcrypt.hash(password, 10)

  ⚠ 修改 src/routes/user.ts？(Y/n) y

  ✔ 已保存

  ● bash npm test -- --grep "register"
    PASS src/routes/__tests__/user.test.ts
    ✓ POST /register returns 201 (45ms)

  测试通过了。问题就是 saltRounds 的类型错误，bcrypt
  期望 number 但拿到了 string，内部抛了异常。

> 帮我清理一下临时文件

  ● bash rm -rf /tmp/my-app-cache/
    ⚠ 命令匹配规则 [deny]: rm -rf *
    ✖ 已拦截。该命令被安全策略禁止。

  换个安全的方式。

  ● bash find /tmp/my-app-cache -name "*.tmp" -delete
    ⚠ 需要确认：删除 /tmp/my-app-cache 下的 .tmp 文件？(Y/n) y
    Deleted 23 files.

  清理完毕，删除了 23 个 .tmp 文件。没有动其他文件。

> 把项目从 Express 迁移到 Hono

  分析完毕，拆分为 3 个子任务并行执行：

  ┌─────────────────────────────────────────────┐
  │ Agent-1 [routes]    迁移 src/routes/ 下的   │
  │                     5 个路由文件             │
  │ Agent-2 [middleware] 迁移 3 个中间件         │
  │ Agent-3 [config]    替换依赖 + 改入口文件   │
  └─────────────────────────────────────────────┘

  ● Agent-1 [routes]     ✔ 完成 (12s) — 5 files changed
  ● Agent-3 [config]     ✔ 完成 (8s)  — 3 files changed
  ● Agent-2 [middleware]  ✔ 完成 (15s) — 3 files changed

  所有子任务完成。汇总变更：

  - 替换依赖：express → hono (+@hono/node-server)
  - 迁移路由文件 5 个，中间件 3 个
  - 入口 app.ts 重写
  - 修改点：Express 的 req.body 改为 c.req.json()，
    res.json() 改为 c.json()，中间件签名全部适配

  ● bash npm test
    PASS (47 tests, 0 failures)

$ cat .ling/mcp.json
{
  "servers": {
    "sqlite": {
      "command": "npx",
      "args": ["-y", "@modelcontextprotocol/server-sqlite",
               "--db-path", "./data/app.db"]
    }
  }
}

$ ling

> 用户表里有多少条记录？最近注册的 5 个人是谁？

  ● mcp:sqlite query
    SELECT COUNT(*) as total FROM users;
    → total: 1,247

  ● mcp:sqlite query
    SELECT name, email, created_at FROM users
    ORDER BY created_at DESC LIMIT 5;

  用户表共 1,247 条记录。最近注册的 5 人：

  | 姓名     | 邮箱                | 注册时间        |
  |----------|---------------------|-----------------|
  | 张三     | [email protected]  | 2026-04-08 14:22|
  | 李四     | [email protected]     | 2026-04-08 11:05|
  | 王五     | [email protected]       | 2026-04-07 22:18|
  | 赵六     | [email protected]     | 2026-04-07 19:33|
  | 陈七     | [email protected]       | 2026-04-07 16:47|

# .github/workflows/pr-review.yml
- name: AI Code Review
  run: |
    cat diff.patch | ling -p "Review this diff" \
      --provider doubao \
      --format json \
      --schema '{"issues": [{"file":"string","line":"number",
                "severity":"string","message":"string"}]}'

{
  "issues": [
    {
      "file": "src/auth/reset.ts",
      "line": 23,
      "severity": "error",
      "message": "resetToken 没有设置过期时间，安全风险"
    },
    {
      "file": "src/auth/reset.ts",
      "line": 41,
      "severity": "warning",
      "message": "catch 块吞掉了异常，建议至少打个日志"
    }
  ]
}

$ ling --continue

  ╭───────────────────────────────────────────╮
  │  恢复会话: "debug auth module" (30 min ago)│
  │  消息: 24 条  工具调用: 11 次              │
  ╰───────────────────────────────────────────╯

  [恢复上下文...]

> 刚才分析到哪了？

  上次我们在排查 JWT 刷新逻辑的竞态条件。已经定位到
  src/auth/token.ts 的 refreshToken() 函数——两个并发
  请求可能同时通过旧 token 的校验，导致签发两个新 token。

  我提了一个方案但还没确认：用 Redis SET NX 做一个简单的
  分布式锁。要继续看这个方案吗？