用 3 个子代理并行做代码评审，最后由你汇总成一份结论，不要直接改代码：

1. 安全子代理：只看鉴权、注入、敏感信息泄露。
2. 质量子代理：只看可读性、重复代码、边界条件。
3. 测试子代理：只看现有测试是否覆盖了本次改动，缺什么用例。

要求：每个子代理的结果先分开列出，再给一份合并结论；
只列有证据的项（文件名+行号/函数名），猜测的标明是猜测；
汇总时去掉重复项，按严重程度排序。