转写说明

本文基于已校验的公开原文进行结构化转写与事实梳理，非原文转载。 转写保留可核验的技术事实，并将工程建议与来源观点明确分开。

核心结论

open-code-review 是阿里巴巴开源的本地命令行代码评审工具，提供 ocr 命令行接口。工具采用规则引导加 LLM 协作的混合架构，将文件筛选、规则匹配等确定性工作交由传统代码逻辑完成，模型只负责理解改动和判断问题是否值得提出。这种设计使得评审结果更可预测，避免了通用 AI 聊天框直接审 diff 时常见的行号错位、关注点分散和低价值废话等问题。工具预置了 DeepSeek 模型支持，国内用户可零门槛接入，同时兼容 OpenAI 和 Anthropic 风格的自定义端点。

能力机制

工具的评审流程分为三个阶段：规则引导的任务分发、带上下文约束的文件评审、独立的反思过滤。在评审过程中，文件筛选、规则匹配和评论定位由确定性代码逻辑完成，LLM 子代理只处理改动理解和问题价值判断，且其可使用的工具集受约束，而非 unrestricted shell。

工具提供了多个子命令。review 是核心命令，默认以 workspace 模式运行，覆盖暂存、未暂存和未跟踪的变更，适合提交前自查。scan 支持脱离 diff 直接进行全文件审查。输出格式支持 JSON 和 SARIF，可对接质量门禁。评审会话会自动落盘，中断后可恢复。团队规则可写入项目目录下的 .opencodereview/rule.json 随仓库分发。CI 集成方面提供 GitHub Actions 和 GitLab CI 的模板。工具还支持 delegation mode，在 Claude Code 或 Cursor 等宿主 agent 中运行时，ocr 仅负责确定性文件筛选和规则匹配，推理任务由宿主 agent 的模型完成，无需单独配置 API key。

快速开始

安装前提：需要 Node.js 环境，Git 版本不低于 2.41（低于此版本运行时会出现警告，但不影响功能）。

安装命令如下。

使用 npm 全局安装：

npm install -g @alibaba-group/open-code-review

验证安装：

ocr version

配置 DeepSeek 模型：

ocr config set providers.deepseek.api_key $DEEPSEEK_API_KEY
ocr llm test

使用 workspace 模式进行评审：

ocr review --preview
ocr review

其中 $DEEPSEEK_API_KEY 为环境变量占位符，实际使用时请替换为有效的 DeepSeek API 密钥。若使用其他模型，可通过 OpenAI 兼容或 Anthropic 兼容的自定义端点进行配置。

适用边界

该工具在提交前自查和 CI 自动拦截两个场景下表现良好。测试中，工具能够识别 SQL 注入、硬编码密钥、分页逻辑错误、空值下标取值和文件句柄管理缺失等问题，每条评论均附带行级定位和修复 diff，且对未主动埋入的问题也有额外发现。工具对正常代码的评审克制，不存在讨好型审查倾向，安全问题标记为 critical，边界瑕疵停留在 low 级别。

当前版本的局限包括：输出全部为英文，暂无本地化选项。工具宣称的大 PR 分组并发能力尚未在复杂场景下验证。评审效果依赖底层模型能力，在单文件小 diff 场景下表现稳定，跨文件复杂推断的能力有待更大规模项目验证。工具目前专注于机械性问题，对业务逻辑合理性的判断不属于其职责范围。

核验清单

验证工具是否正常安装：执行 ocr version，确认返回版本号及构建信息。验证模型连通性：执行 ocr llm test，确认 Connection test successful。确认评审输出是否包含行级定位：评审结果中每条问题应包含具体文件和行号信息。确认问题分级是否合理：安全问题应为 critical 或 high 级别，边界瑕疵应为 low 或 medium 级别。确认是否提供修复建议：每条评审意见应包含具体的修复方向或 diff 示例。确认输出格式是否可对接 CI：若需接入质量门禁，可通过 ocr review --format sarif 或 ocr review --format json 输出结构化结果。确认会话恢复功能：评审中断后可通过工具恢复会话继续评审。

来源与核验

  • 原始文章
  • 页面事实以原始来源及其引用的官方资料为准；版本、星标和模型能力会随时间变化。
  • AI Stack 不公开抓取到的全文快照，只发布独立转写与来源入口。

站内链接

相关文章