用最小 JavaScript Demo 跑通 Alibaba Open Code Review 的完整流程

2026-09-20 12:54 0 阅读

安装与配置基础环境

要跑通 Alibaba 的 Open Code Review（简称 OCR），第一步是安装 CLI 工具。通过 npm 全局安装即可：

文章配图

npm install -g @alibaba-group/open-code-review

安装完成后运行 ocr version 验证是否成功。接着需要配置大模型访问凭证，这是 OCR 执行代码分析的核心依赖。

使用 ocr config provider 和 ocr config model 分别设置 LLM 提供商（如阿里云百炼、OpenRouter 等）和具体模型（如 Qwen-Max）。配置完毕后，执行 ocr llm test 测试连接是否正常。只有这一步通过，后续的代码审查才能真正调用大模型进行推理。

创建最小可运行的 JavaScript Demo

为了验证 OCR 的能力，我们手动创建一个极简项目。初始化 Git 仓库后，在 src/user.js 中写入一段包含多个典型问题的代码：

getUserName 未检查 user 是否为空
login 函数硬编码密码 "123456"
buildUserQuery 使用字符串拼接 SQL，存在注入风险
fetchUser 缺少异常处理且直接访问 response.data.name

提交这个初始版本作为基线。此时 Git 仓库干净，后续的变更将被 OCR 视为待审查的 diff。

制造一次待审查的代码变更

在不提交新 commit 的前提下，向 user.js 新增一个 deleteUser 函数：

function deleteUser(db, userId) {
  db.query("DELETE FROM users WHERE id = " + userId);
  return true;
}

同时将其加入 module.exports。这段新增代码故意保留了多个问题：

SQL 字符串拼接，存在注入风险
未做权限校验
db.query 未 await，可能未等待操作完成
无错误处理
无论删除是否成功都返回 true

执行 git diff 可看到实际变更内容：新增函数体 + 修改导出列表。OCR 将基于这个未提交的 diff 进行审查。

预览审查范围

正式审查前，先用 ocr review --preview 查看 OCR 识别到的变更文件：

Preview: 1 file(s) changed  |  +7  -1
Will review (1):
  [M]  src/user.js          +7    -1

输出表明 OCR 正确识别了 src/user.js 的 7 行新增和 1 行删除（因导出项末尾加逗号导致的行替换）。这一步能避免误审无关文件（如 node_modules 或构建产物），节省 token 并提高准确性。

执行首次代码审查

运行 ocr review 后，终端日志显示 OCR 跳过了 plan phase（因变更小于 50 行阈值），直接进入工具调用阶段。整个过程调用了多个内置工具：

file_read：读取 user.js 全文及指定行范围，获取上下文
file_find：根据文件名查找相关文件
code_search：搜索 db.query 相关代码，判断项目中是否有统一数据库封装
code_comment：生成最终审查意见

审查结果共两条：

SQL 注入风险：指出 userId 直接拼接进 SQL 字符串，建议改用参数化查询
返回值失真：函数始终返回 true，掩盖了数据库操作的真实结果

这两条反馈准确命中了代码中的关键缺陷，尤其是 SQL 注入属于高危安全问题。但 OCR 未提及“缺少权限校验”，可能因 Demo 缺乏用户身份或权限系统上下文。

保存结构化审查结果

通过 ocr review --format json > ocr-review-result.json 可将结果导出为 JSON。该格式包含三部分核心信息：

summary：审查文件数、评论数、token 消耗、耗时等统计
tool_calls：各类工具的调用次数（如 file_read 3 次、code_search 2 次）
comments：每条评论的文件路径、行号范围及具体内容

JSON 输出便于后续工程化集成，例如在 CI/CD 中自动解析严重问题、生成 PR 评论或纳入质量报告。

配置自定义审查规则

默认规则偏通用，而项目往往有特定关注点。在 .opencodereview/rule.json 中添加自定义规则：

{
  "rules": [
    {
      "path": "**/*.js",
      "rule": "重点检查 SQL 注入、硬编码密钥、空值异常、异步错误处理、权限校验缺失和删除类危险操作。",
      "merge_system_rule": true
    }
  ],
  "exclude": ["**/node_modules/**", "**/dist/**"]
}