开源 AI 代码评审实测：阿里 Open Code Review 对 OpenQodex，同测一段埋了 4 个 bug 的改动，11 月 8 日实测版

AI Parabellum 11 月 8 日的实测：在 Claude Code v2.1.318（macOS）里装了两个免费开源的代码评审工具——阿里的 Open Code Review v1.13.6（4.9 万星）和 OpenQodex 0.16.0（约 1000 星），两个都是 Apache-2.0 协议，然后让它们评审同一段故意埋了 4 个 bug 的改动：一处字符串拼接的 SQL（注入漏洞）、两处写死的 AWS 示例密钥、一个把折扣除以 10 而不是 100 的公式、一个打开了没关的数据库连接。

Open Code Review 的 delegate 模式不用额外配模型 key：ocr 工具先挑文件、列出评审规则，再由 Claude Code 自己评审，第二遍跑出了全部 4 个问题并直接修好了。OpenQodex 走另一条路：先跑 Semgrep、Gitleaks、OSV-Scanner、Ruff、Bandit 五个真实扫描器，再由评审员给出一份按严重度排序的回执和一个 report.html 报告页；它还自带一个 git push 钩子，不过默认只警告、不拦截。

怎么选：想要最快上手、不用配 key 的评审修 bug 循环，选 Open Code Review 的 delegate 模式；想要真实扫描器背书、可分享的报告和推代码前的检查，选 OpenQodex。两个提醒：扫描器只认已知模式，折扣算错这种逻辑 bug 全靠模型才找出来；而且模型评审两次结果可能不一样，重要改动可以跑两遍。两个工具都不跑测试、也替代不了人审，先在一次性测试仓库里试，装进正式环境前先读一遍它的钩子和命令。站内之前测过 Anthropic 官方代码评审插件，那篇讲的是官方插件的路子，这篇是两个开源平替的横向实测；想自己写评审子代理可以看 Claude Code 子代理就是一个 Markdown 文件。

来源：AI Parabellum，原文：https://aiparabellum.com/open-source-ai-code-review-in-claude-code/；仓库：alibaba/open-code-review、openqodex/openqodex