怎样让 AI 做代码审查：先找 Bug、回归和缺测试

+ app.post('/refunds', authenticate, async (req,res) => {
+   const result = await refundService.create(req.body.orderId);
+   res.json(result);
+ });

已知：authenticate允许所有已登录角色；create不接收调用者。
需求：仅finance角色可退款。
触发：role=member提交一项可见订单ID。
预期：拒绝且create调用次数为0。
当前片段：会继续调用create；仅在隔离测试中验证，不操作真实订单。

请只审查我这次提供的代码 diff，优先找会导致错误行为、数据损坏、安全边界破坏或兼容回归的问题。

任务目标/不允许改变的行为【】；完整 diff【】；必要调用方与相关测试【】；已运行命令及原始输出【】。

每个发现都要给严重度、文件和行、具体触发条件、实际影响及最小修复方向。没有可复现证据的担忧放入“待核查”，不要包装成缺陷。最后单列漏测风险。不要评论纯风格偏好，不扩展到 diff 之外的重构。