阿里把内部 AI 代码评审开源了：OpenCodeReview 上手要点

GitHub 仓库

alibaba/open-code-review

总 Stars

★ 47,384

主要语言

Go

查看 GitHub 项目

是什么

OpenCodeReview 是阿里巴巴把内部 AI 代码评审助手开源出来的版本。截至 2026 年 10 月 16 日核验，仓库 4.7 万 star，主语言 Go，Apache-2.0 许可，当天仍在提交。按项目方说法，这套工具在阿里内部跑了两年，服务了数万名开发者，发现了数百万个代码缺陷——经过大规模验证后才开源。

能干嘛

它是一个 CLI 工具，配好模型 endpoint 就能用。架构是“确定性流水线 + LLM agent”混合：先跑规则，再让模型做判断，给出行级精准评论。内置多语言规则集（空指针、线程安全、XSS、SQL 注入等），支持 Claude Code、Codex、Cursor、Kimi Code 等多种 agent，Windows/macOS/Linux 全平台可用，README 还有简体中文版。

适合谁

适合想在 CI 或本地加一道 AI 评审的开发团队，尤其对数据合规敏感、不想把代码送给 SaaS 评审服务的中文团队。

值得注意

• 要自备模型：它本身不带模型，需要你配置 OpenAI/Anthropic 兼容的 endpoint，调用有成本，大仓库全量扫之前先估算 token 花费。
• 别让它直接拦合并：AI 评审再强也有误报，建议先当“第二双眼睛”用，跑一段时间看准了再决定是否进门禁。
• 密钥别进仓库：模型 endpoint 的 key 写进配置文件后，记得检查 .gitignore，别一顺手提交上去。

站长点评

AI 评审工具现在很多，但“在阿里内部跑了两年、扫出数百万缺陷”这种经过大规模实战验证的不多，这是我选它的核心理由。对比那些纯 SaaS 的评审机器人，它的形态是 CLI + 自备模型——代码不出内网，对合规敏感的团队友好得多，而且 Go 写的单体 CLI 部署简单。OpenSSF 最佳实践金牌也是个加分项，说明工程规范在线。不过实在话：内部验证数据是阿里口径，换到你的代码库上效果如何，还得自己跑两周看误报率；另外规则集偏通用，业务特有的坏味道还得自己写规则补。