📌 项目地址：alibaba/open-code-review | ⭐ 11,302 颗星 | 🔧 Go | 📜 未标注
当通用Agent做代码审查，哪里不对劲？
如果你尝试过用Claude Code等通用AI Agent来自动审查代码，大概率遇到过这些问题：
- 审查不完整：改动量稍大时，Agent会“偷工减料”，只审部分文件，其余跳过。
- 位置漂移：挑出的问题行号对不上，文件引用偏离实际代码位置。
- 质量不稳定：依赖自然语言驱动的Skill，微小提示词变化就导致审查结果忽高忽低。
根源在于纯语言架构缺乏对审查过程的硬约束。而阿里巴巴内部跑了两年的AI代码审查工具，正是为这个痛点而生。
什么是 Open Code Review？
Open Code Review 是一个AI驱动的代码审查CLI工具，前身是阿里巴巴集团内部官方AI代码审查助手，服务过上万开发者，识别了数百万代码缺陷，经过大规模验证后开源。它的工作原理是：读取Git diff，将变更文件发送给可配置的LLM Agent（具备工具调用能力），生成带有行级精度的结构化审查评论。Agent可以读取完整文件内容、搜索代码库、查看其他变更文件获取上下文，而非仅基于diff的表面反馈。此外，ocr scan命令还能审查整个文件或目录，用于审计不熟悉的代码库。
它兼容OpenAI和Anthropic的API接口，内置了NPE（空指针）、线程安全、XSS、SQL注入等精细化规则集。
基准测试：比通用Agent好在哪里？
官方用50个热门开源仓库、200个真实Pull Request、10种编程语言构建了基准测试，由80+资深工程师交叉验证，标注了1505个真实问题。结果如下：
| 指标 | Open Code Review vs Claude Code |
|---|---|
| 精确率 (Precision) | 显著更高（报告的多数是真缺陷） |
| F1值 | 显著更高 |
| 耗时 | 更快 |
| Token消耗 | 仅约1/9 |
| 召回率 (Recall) | 略低（有意取舍：宁可少报也不误报） |
也就是说，用同样的底层模型，它用更少的Token、更快的速度，给出了更精准、更少噪音的审查意见。
实际用法
从README描述看，它是一个CLI工具。配置好模型端点即可开始使用：
# 假设安装后，执行代码审查
ocr review # 审查当前Git diff
ocr scan <path> # 审查整个目录（适合审计旧代码库）
具体安装方式和服务端配置（比如需要自己部署模型还是调用已有API）README未给出详细命令，请参考官方文档。
它内置的规则集针对常见高危漏洞（NPE、线程安全、XSS、SQL注入）做了专门优化，不需要在提示词里额外强调。
与同类工具的区别
- 对比通用Agent（如Claude Code + Skills）：Open Code Review 采用“确定性管道 + LLM Agent”混合架构，硬约束了审查流程，避免了Agent“跳过”文件或位置漂移。
- 对比SonarQube等静态分析工具：它能理解语义和上下文，发现传统规则引擎难以捕捉的逻辑缺陷（比如竞态条件、跨方法调用中的空指针）。
- 对比单一Prompt的代码审查CLI：它内置了阿里巴巴多年积累的审查规则集，并且支持行级评论，反馈直接附着在代码行上，而非笼统的评价。
需要注意的事项
- LLM依赖：你需要一个可调用的模型端点（OpenAI、Anthropic兼容），并且API密钥和token消耗会带来成本。推荐选择经过验证的模型以获得稳定效果。
- 召回率有取舍：官方明确表示降低了召回率以换取高精确率，这意味着可能会漏掉一部分缺陷，但减少了人工筛选假阳性的负担。如果你的场景要求零漏报，可能需要配合其他工具。
- 开源许可证：项目采用何种许可证？README未明确列出，使用前需确认社区约定或查看仓库License文件。
- 目前仅支持Git仓库：
ocr review依赖Git diff，若使用其他版本控制系统需自行转换。
适合谁用
- 维护大型代码库的团队，希望在CI流水线中集成自动化代码审查，减少代码评审的人力开销。
- 使用AI Agent但受困于审查不完整、位置漂移的开发者，可以尝试更确定性的架构。
- 需要审计遗留系统或陌生代码库的工程师，
ocr scan命令能直接对整个目录发起全面审查。
对于个人小项目，如果觉得配置模型端点太麻烦，也可以直接使用现成的AI聊天工具做辅助审查；但如果你追求低成本、高精准的批量审查，Open Code Review 是一个经过阿里内部验证的可靠选择。