它是什么
Open Code Review 是阿里巴巴开源的一款 AI 代码审查命令行工具。它原本是阿里内部使用的官方 AI 代码评审助手，过去两年间服务了数万名开发者，累计发现数百万个代码缺陷；在大规模验证成熟之后，团队把它整理成开源项目发布给社区。
和「把 diff 丢给大模型，让它随便点评两句」的做法不同，它采用混合架构：先用一套确定性的分析流水线做静态规则检查，再交给具备工具调用能力的 LLM Agent 进行语义层面的深度审查。它读取的是 Git diff，但 Agent 可以顺着线索去读完整文件内容、检索代码库、查看同一提交中的其他改动，从而给出带上下文的判断，而不是只看几行孤立的变更。输出结果是结构化的、精确到行的评审评论。你只需要配置一个模型端点即可开始使用。
核心功能
- 混合审查架构：确定性流水线负责可复现的规则命中，LLM Agent 负责逻辑、可读性与设计层面的判断，两者互补，降低纯模型的随机性。
- 行级精准定位：评论直接挂在具体代码行上，可以直接对照修改，而不是笼统的一段总结。
- 内置多语言规则集：开箱覆盖空指针解引用、线程安全、XSS、SQL 注入等常见高危问题，适合多语言混合的仓库。
- 上下文感知：Agent 能主动读取完整文件、搜索代码库、比对同一批变更中的其他文件，减少「断章取义」式误报。
- 模型端点可配置：兼容 OpenAI 与 Anthropic 两类接口协议，可以接官方 API，也可以指向自建或第三方兼容服务。
- 跨平台与 Agent 生态集成：支持 Windows、macOS、Linux，并可与 Claude Code、Codex、Cursor、Kimi Code 等编码 Agent 配合使用；通过 npm 包一键安装。
适用场景
- 个人开发者自查：提交前跑一遍，把明显的空指针、注入风险、并发问题挡在 PR 之前。
- 团队 PR 流水线：接入 CI，在合并请求阶段自动产出评审意见，减轻资深工程师的重复劳动。
- 接手陌生或遗留代码库：借助代码库检索与全文件读取能力，快速定位高风险模块。
- 安全基线检查：用内置规则集做一致性扫描，作为安全团队人工审计之前的第一道筛子。
上手建议
先在单个仓库试跑，观察输出质量再决定是否接入 CI。模型选择和提示词会明显影响结果——推理能力更强的模型在复杂逻辑判断上表现更好，但 token 消耗也更高，建议对大 diff 做文件过滤或分片。内置规则集建议按团队技术栈裁剪，把不适用的语言规则关掉，减少噪音。初期把 AI 评论当作「建议」而非「门禁」，先用两三周积累误报样本，调整阈值后再设为阻断条件。另外记得关注密钥管理，模型端点的 API Key 不要硬编码进仓库配置文件。
