阿里开源 OpenCodeReview：让 AI 审代码时「该确定的用规则，该智能的才用模型」

一句话结论：9 月 20 日，阿里开源了 OpenCodeReview，一个 Apache-2.0 协议的 AI 辅助代码审查 CLI。它的核心思路是「确定性优先」——文件选择、规则匹配、评论校验这些能靠规则搞定的环节用确定性流水线处理，只有动态代码分析才交给 LLM。这套工具已在阿里内部被数万开发者用了两年，现在用 Go 写成开源，支持 Claude Code、Codex、Cursor 等编码 Agent。

AI 摘要

• 项目是什么：OpenCodeReview，阿里开源的 AI 代码审查 CLI，Apache-2.0，Go 语言。
• 核心思路：确定性组件（文件选择、规则匹配、评论校验）与 LLM Agent（动态代码分析）混合，避免用 AI 做能靠规则确定的事。
• 内置检查：空指针、线程安全、XSS、SQL 注入等。
• 适用边界：已内部验证两年，但开源后的社区适配和第三方评测还在早期。

它和普通 AI 代码审查差在哪

先讲一个 AI 代码审查里常见的问题：很多人一上来就让 LLM「把整个 diff 看一遍，找出所有问题」。

这种做法有两个隐患。第一是「杀鸡用牛刀」——文件选择、规则匹配这些活儿，用规则就能确定地做，交给 LLM 反而贵、慢、还可能不稳定。第二是「不可复现」——LLM 对同一个 diff 的评论，两次跑可能不一样，这会让审查结果失去可信度。

OpenCodeReview 的思路是把审查拆成多个阶段，每个阶段用不同的确定性级别。文件选择、代码打包、规则匹配、评论校验这些环节，全部用确定性组件处理；只有真正需要理解代码语义的动态分析，才交给 LLM Agent。

这个「该确定的用规则，该智能的才用模型」的分工，是它和普通 AI 代码审查最本质的区别。

内置了哪些检查

OpenCodeReview 内置了一批常见的代码问题检查，包括空指针异常、线程安全、XSS（跨站脚本）、SQL 注入等。

这些检查的价值在于「开箱即用」——你不需要自己写规则，clone 下来就能跑。对于刚接入 AI 代码审查的团队来说，这批内置规则是一个不错的起点。

它支持 OpenAI 和 Anthropic 兼容的模型，可以审查 Git diff、分支，或者整个文件。能跑在本地，也能集成到 GitHub、GitLab、Gerrit、VS Code，以及 MCP 和 Claude Code、Codex、Cursor 这些编码 Agent 里。

为什么「内部用了两年」是个重要信号

OpenCodeReview 有一个容易被忽略的背景：据 InfoQ 报道，它在阿里内部已经被数万开发者用了两年。

这个信号很重要，因为很多开源工具是「先开源、后验证」，而 OpenCodeReview 是「先内部打磨、再开源」。两年的内部使用意味着它已经过了「demo 阶段」，踩过真实代码库的坑，稳定性有了一定的背书。

这也符合国内大厂开源的常见路径：先把工具在内部跑成熟，再放出来。和 腾讯开源的 teamai-cli 是同一类思路——内部验证过的工程工具，开源出来给社区用。

对开发者意味着什么

如果你是团队里要引入 AI 代码审查的人，OpenCodeReview 值得关注，因为它给了一个「确定性 + 智能」混合的参考架构。这个架构本身比工具更重要——它提醒你：不是所有环节都该交给 LLM，能确定的先用规则确定下来，剩下的再交给 AI。

如果你是个人开发者，它可以直接接入 Claude Code、Codex、Cursor 这些你已经在用的工具，作为一个额外的代码审查层。Apache-2.0 协议意味着可以商用、可以改。

不过要管理预期：这是刚开源的版本，社区适配和第三方评测还在早期。它内部表现好，不等于在你特定的代码库上也好用。接入前最好用你自己的仓库跑一遍看看。

一句话：这是一个「架构思路 + 工程工具」双重价值的项目，看的是「确定性优先」的代码审查范式，不是开箱即用的银弹。

智盒判断

短期看，OpenCodeReview 最大的价值是「纠正一个误区」：AI 代码审查不是「把 diff 全扔给 LLM」，而是「该确定的用规则，该智能的才用模型」。这个认知如果被社区接受，会改变很多人搭代码审查流水线的方式。

中期看，「确定性优先」可能成为 AI 工程化的一条通用原则。不只是代码审查——文件选择、规则匹配、结果校验，这些「能确定就别用 AI」的环节，在很多 Agent 工作流里都存在。OpenCodeReview 是把这条原则在代码审查这个具体场景里跑通了的例子。

长期看，这背后是国产大厂开源的一个趋势：从「开源模型」走向「开源工程工具」。模型开源已经卷得差不多了，真正稀缺的是「经过大规模内部验证的工程工具」。OpenCodeReview、腾讯 teamai-cli 都是这个趋势的代表。

FAQ

OpenCodeReview 是纯 LLM 审查吗？

不是。它刻意把「确定性环节」（文件选择、规则匹配、评论校验）和「智能环节」（LLM 动态代码分析）分开，确定性环节用规则处理，不消耗 LLM 调用。这是它和普通 AI 代码审查的核心区别。

它支持哪些模型和工具？

支持 OpenAI 和 Anthropic 兼容的模型，可集成 GitHub、GitLab、Gerrit、VS Code、MCP，以及 Claude Code、Codex、Cursor 等编码 Agent。Apache-2.0 协议，可商用。

现在能用吗？

可以。代码已在 GitHub 开源（Go 语言 CLI），内置空指针、线程安全、XSS、SQL 注入等检查。但社区适配和第三方评测还在早期，接入前建议用自己的仓库验证。