Open Code Review

Open Code Review 是一个从 Alibaba Group 内部代码审查助手孵化而来的开源 AI 代码审查 CLI。它可以读取 Git 差异或完整文件，通过智能体工具探索仓库上下文，并将结构化评论定位到相关代码行。工具将文件选择、任务拆分、规则路由、调度和评论定位等确定性工程流程，与由大模型完成的风险和缺陷语义分析分离。用户可以配置 LLM 服务商或端点，包括兼容 OpenAI 和 Anthropic 的 API，并在本地、编程智能体工作流或 CI/CD 中运行审查。软件本身免费且采用 Apache-2.0 许可证；使用托管模型仍可能产生独立的 API 费用和数据治理责任。

✨ 主要功能

• AI 审查 CLI：安装 @alibaba-group/open-code-review 包，通过终端中的 ocr 命令运行审查。
• 差异、分支、提交和完整文件审查：审查工作区改动、分支范围、单个提交，或在不依赖 Git 历史的情况下扫描文件。
• 仓库级上下文：让智能体读取完整文件、搜索代码库、检查相关改动文件，超越可见差异进行推理。
• 行级评论定位：通过独立的定位模块，将评论附加到准确代码行。
• 确定性流程 + 智能体混合架构：让文件过滤、任务拆分、规则路由、调度等工程步骤保持确定性，用大模型完成语义风险分析。
• 反思与幻觉检查：使用官方产品页说明的独立反思阶段，拦截缺乏依据的发现和知识漂移。
• 可配置审查深度：选择低、中或高强度，在速度和 Token 使用量与更深入风险探索之间权衡。
• 内置多语言规则：官方资料列出覆盖 40 多种语言和文件类型的规则，包括空指针、线程安全、XSS 和 SQL 注入等检查。
• 自定义审查规则：通过文档化的规则流程按路径筛选并指定审查目标。
• 多种 LLM 协议：支持 Anthropic Messages、OpenAI Chat Completions 和 OpenAI Responses API，以及自定义模型端点。
• 预设与私有服务商：可配置 Anthropic、OpenAI、DashScope、DeepSeek 和 Z.AI，也可连接私有端点。
• MCP 与编程智能体集成：通过 MCP 及文档化集成扩展 Claude Code、Codex、Cursor 和 OpenCode 工作流。
• CI/CD 集成：使用文档化集成接入 GitHub Actions、GitLab CI、GitFlic CI 和 Gerrit。
• 审查会话与断点续审：列出会话、恢复中断的分支或提交审查，并通过会话查看器检查发现。
• Delegation Mode 委托模式：让编程智能体使用自己的模型执行审查，由 OCR 负责文件选择和规则解析，无需 OCR 管理的模型 API Key。
• 遥测：使用文档化的 OpenTelemetry 集成观察审查流程。
• 开源分发：源代码公开，并采用 Apache-2.0 许可证。

💳 价格与方案

• Open Code Review 软件：免费开源，采用 Apache-2.0；官方仓库和官网没有列出 CLI 的付费 SaaS 订阅。
• LLM 服务商用量：在默认 OCR 管理模式下，用户需要自行配置模型服务商，并承担该服务商的 API 费用、额度、速率限制和条款责任。
• 私有或本地端点：私有或本地模型端点可以改变成本和数据路径，但基础设施和模型托管成本仍由用户承担。
• Delegation Mode 委托模式：文档说明该模式可以使用编程智能体自己的模型，无需 OCR API Key；编程智能体或模型服务商费用另计。

这里不能承诺统一的“免费 AI 审查额度”：免费的是 CLI，模型推理可能产生费用。发送私有代码前，应确认所选服务商的价格、数据保留、训练使用、地区和安全条款。官网展示的基准数据和内部用户数量属于产品宣传，不代表缺陷发现质量保证。

⚖️ 同类产品对比

🎯 应用场景

• 本地提交前审查：在创建 Pull Request 前检查工作区改动。
• 分支和提交审查：结合仓库上下文审查功能分支或指定提交。
• 全仓库扫描：需要完整文件审查时，扫描超出 Git 差异范围的文件。
• 安全导向审查：使用内置规则检查 XSS、SQL 注入、空指针和线程安全等风险，再人工确认结果。
• 大模型服务商实验：更换模型服务商或私有端点，同时保持一致的审查流程。
• 编程智能体工作流：接入 Claude Code、Codex、Cursor 或 OpenCode 的开发流程。
• CI/CD 质量门禁：在 GitHub Actions、GitLab CI、GitFlic CI 或 Gerrit 流程中运行审查。
• 内部平台集成：将 CLI、MCP 服务端、API 或会话流程接入组织内部开发平台。
• 机器学习与强化学习评估：按官网说明，将结构化审查结果作为代码质量信号或奖励输入。
• 隐私敏感开发：在完整审查数据路径和服务商配置后，将代码路由至自托管或私有模型端点。

AI 代码审查是辅助控制，不能替代人工审查、测试、静态分析、依赖扫描或安全评估。私有端点也不会自动让流程安全：应检查日志、遥测、提示词内容、模型保留策略、网络出口、密钥和访问控制。仓库上下文或配置不完整时，评论可能出现误报，也可能遗漏缺陷。