AI 编程时代代码审查工具的调研笔记，聚焦审查 Agent 的技术原理、核心特性、性能与选型，并附主流审查工具全景。
配套阅读：为 AI 编码代理提供上下文的知识图谱/语义搜索类工具，见 AI 代码知识图谱与上下文工具。审查 Agent（如 open-code-review）可通过 MCP 调用这些图谱/搜索工具获取精准上下文，二者是"消费端 × 供给端"的互补关系。
随着 Claude Code、Cursor、Codex 等 AI 编码代理的普及，代码生成速度大幅提升，但同时也带来了新的挑战：
为应对这些挑战，一批专注于代码审查的 AI Agent应运而生：以"确定性工程 × AI"混合架构提升审查精准度，同时借助知识图谱等上下文引擎降低 Token 消耗。
ocr scan 全文件扫描双模式、四级优先级审查规则链（CLI --rule > 项目配置 > 全局配置 > 系统默认）、文本和 JSON 双输出格式、问题按 8 个分类 + 4 个严重级别标注、可嵌入 AI 编码代理（Skill / Claude Code / Codex / Cursor 插件，斜杠命令调用）、支持 MCP Server（审查时调用外部工具如 CodeGraph）、可断点续审（session）与 WebUI 会话查看器（ocr viewer）。核心特点：该确定的交给工程逻辑，该灵活的交给LLM
安装：
npm install -g @alibaba-group/open-code-review
配置（推荐 Provider 系统）：
ocr config provider # 交互选择内置/自定义 Provider
ocr config model # 为当前 Provider 选择模型
ocr llm test # 测试连通性
内置 Provider：anthropic / openai / dashscope / deepseek / z-ai，也支持自定义 Provider（私有网关或兼容端点，需 url + protocol + api_key）。旧的 ocr config set llm.url/auth_token/model 写法仍兼容（见下）。
ocr review 使用示例：
# 审查工作区的未提交变更
ocr review
# 审查两个分支之间的差异
ocr review --from main --to feature-branch
# 审查单个commit
ocr review --commit abc123
# 输出机器可读的JSON格式（用于CI/CD）
ocr review --format json
全文件扫描（ocr scan）：
ocr scan 不依赖 diff，直接审查整文件/目录，适合审计陌生代码库或无意义 diff 的目录。
ocr scan # 扫描整个仓库
ocr scan --path internal/agent # 扫描指定目录/文件
ocr scan --preview # 只预览将被扫描的文件（不调 LLM）
ocr scan --max-tokens-budget 500000 # 限制总 token 预算
ocr scan --rule /path/to/my-rules.json # 使用自定义规则
ocr review 针对变更（diff）进行评审，而 ocr scan 针对完整文件进行评审——它不依赖 diff，而是直接读取并审查整份源码。适用于以下场景：
ocr scan 同样适用于非 Git 目录：当目标目录不是 Git 仓库时，会自动回退到文件系统遍历，并遵守 .gitignore 的排除规则。
断点续审与规则预览：
ocr session list # 列出已保存的审查会话
ocr session show <id> # 查看某会话的逐文件检查点
ocr review --from main --to feature-branch --resume <id> # 中断后续审
ocr rules check src/main/java/com/example/Foo.java # 预览某文件适用的审查规则
WebUI 会话查看器： ocr viewer 在 localhost:5483 启动浏览器查看会话历史（含 LLM 请求/响应）。
嵌入编码代理（斜杠命令 / 插件）： OCR 可作为 Skill 或插件嵌入 Agent，在代理工作流内直接发起审查（需先装好 ocr CLI 并配置 LLM）：
# 方式一：安装为 Skill（npx，自动注入调用与问题分级/修复指引）
npx skills add alibaba/open-code-review --skill open-code-review
# 方式二：Claude Code 插件（注册 /open-code-review:review 斜杠命令）
# 在 Claude Code 中执行：
/plugin marketplace add alibaba/open-code-review
/plugin install open-code-review@open-code-review
# 方式三：Codex 插件
codex plugin marketplace add alibaba/open-code-review
# 方式四：Cursor 插件
cursor-plugin marketplace add alibaba/open-code-review
# 方式五：直接复制命令文件（项目级，可随 git 共享）
mkdir -p .claude/commands
curl -o .claude/commands/open-code-review.md \
https://raw.githubusercontent.com/alibaba/open-code-review/main/plugins/open-code-review/claude-code/commands/review.md
调用示例：@Open Code Review review my current changes、review and fix high-confidence issues；代理场景下可加 --audience agent 只输出摘要。
MCP Server 支持： OCR 可连接外部 MCP Server，让审查 Agent 在评审时调用外部工具（如接 CodeGraph 做代码结构分析，更多上下文引擎见 AI 代码知识图谱与上下文工具）：
ocr config set mcp_servers.codegraph.command codegraph
ocr config set mcp_servers.codegraph.args '["serve","--mcp"]'
ocr config set mcp_servers.codegraph.tools '["codegraph_explore"]'
ocr config set mcp_servers.codegraph.setup 'codegraph init && codegraph index'
CI/CD 集成： --format json 输出结构化问题列表（含 category 8 类：bug/security/performance/maintainability/test/style/documentation/other，与 severity 4 级：critical/high/medium/low，可据此排序、分组、门禁），可直接接入 CI 流水线；亦支持官方 GitHub 复合 Action（alibaba/open-code-review@main，自动 checkout/安装/审查/贴评论）、GitLab CI、GitFlic CI 示例及 Hook / 定时任务方式在合并前自动审查。
# GitHub Actions 示例：仅审查当前 PR 的差异（增量模式）
ocr review --from origin/main --to HEAD --format json > review.json
# 结合 jq 做失败门禁（如存在 High 级别问题则非零退出）
test "$(jq '[.[] | select(.severity=="high")] | length' review.json)" = "0"
场景一：需要直接审查 PR / 代码变更
→ 选择 open-code-review。它是专注审查本身的 Agent，支持 diff/commit/全文件扫描多种模式，输出分级问题列表，可接入 CI/CD 门禁。阿里内部千锤百炼，F1 与精确率优于通用 Agent。
场景二：审查时需要精准的跨文件上下文
→ 让审查 Agent 通过 MCP 调用知识图谱/上下文引擎（如 CodeGraph、codebase-memory-mcp）。这类工具的对比与选型详见 AI 代码知识图谱与上下文工具。
场景三：PR 风险评分与合并门控
→ 结合 code-review-graph 的爆炸半径分析 + GitHub Action 集成，自动计算变更风险评分并门控合并（详见 AI 代码知识图谱与上下文工具）。
组合推荐：
open-code-review（审查）+codebase-memory-mcp或CodeGraph（上下文）+semble（搜索）形成完整的代码质量保障链路。上下文/搜索工具详见 AI 代码知识图谱与上下文工具。
Qodo Extended 商业工具，评测排名第一Augment 深度跨文件上下文CodeAnt AI
开源平台内置能力
GitHub CopilotGitLab DuoCodeRabbitGreptileGraphiteCoding Agent 自带 Review 能力
Claude Code ReviewerCursor Bugbot（集成在 IDE 中）Codex┌─────────────────────────────────────────────────────┐
│ AI 编码代理 │
│ (Claude Code / Cursor / Codex) │
├──────────────┬──────────────┬───────────────────────┤
│ 代码审查 │ 上下文查询 │ 代码搜索 │
│ ↓ │ ↓ │ ↓ │
│ open-code- │ codebase- │ semble │
│ review │ memory-mcp │ (MCP search) │
│ (Agent) │ (MCP) │ │
├──────────────┴──────────────┴───────────────────────┤
│ MCP 协议（统一接口层） │
├─────────────────────────────────────────────────────┤
│ 代码知识图谱（预构建 + 增量更新） │
│ Tree-sitter AST → 节点/边 → SQLite/LadybugDB │
├─────────────────────────────────────────────────────┤
│ 代码仓库 │
└─────────────────────────────────────────────────────┘
图中"上下文查询"与"代码搜索"层的工具详见 AI 代码知识图谱与上下文工具。
CI/CD 门禁集成：将 ocr review --format json 接入 CI 流水线，按 severity 分级门禁（如 critical/high 问题阻断合并），实现"代码质量问题消灭在 PR 阶段"。
多工具协同：通过 MCP 协议，审查 Agent 可在评审时调用知识图谱工具（如 open-code-review 调用 CodeGraph），实现"审查时按需获取精准上下文"。
安全审查融合：结合 open-code-review 的 security 分类与 Semgrep/CodeQL 等专业 SAST 工具，形成"AI 语义审查 + 规则引擎"的双重安全防线。
预构建图谱，按需更新：在项目初始化时一次性构建完整知识图谱，后续通过文件监听或 git hook 增量同步，避免每次审查重复索引（图谱工具详见 AI 代码知识图谱与上下文工具）。
"确定性工程 × AI"混合架构成为主流：open-code-review 的设计哲学——"该确定的交给工程逻辑，该灵活的交给 LLM"——正在被更多工具采纳，以平衡精准度与灵活性。
Skills/MCP 协议是标配：几乎所有新工具都内置 MCP Server 支持，审查 Agent 可组合、可替换地接入外部上下文工具。
安全审查与代码审查融合：AI 审查工具逐步内置安全分类（如 open-code-review 的 security 类别），未来将与专业 SAST 工具深度整合，形成统一的代码质量门禁。
知识图谱成为审查刚需：随着代码库规模与 AI 代理使用频率增长，预构建知识图谱已成为降低 Token 成本、提升审查精准度的必要基础设施。
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。