AI 代码审查实战：用 GitHub Actions 建立可控的自动 Review 流程

# AI 代码审查实战：用 GitHub Actions 建立可控的自动 Review 流程 ## 文章摘要 AI Code Review 不能只是在 Pull Request 下生成一段总结。真正可用的流程需要控制触发条件、读取范围、权限、成本、重复评论、敏感信息和误报，并把静态检查、测试结果与模型审查结合起来。本文给出一套可落地的 GitHub Actions 自动审查流程。 --- ## 一、这项工作的真正目标 在不授予模型写入仓库权限的前提下，对 Pull Request 的变更范围进行结构化审查，并把高置信问题以可追踪方式反馈给开发者。 很多项目失败，不是因为模型完全不能用，而是没有把输入、执行、校验、人工责任和结果回流设计成闭环。以下方案强调可追踪、可回滚和可持续优化。 ## 二、总体架构 1. **PR 事件触发与路径过滤**：明确输入、输出、负责人和失败处理方式。 2. **代码 Checkout 与最小历史深度**：明确输入、输出、负责人和失败处理方式。 3. **静态检查、单元测试和依赖扫描**：明确输入、输出、负责人和失败处理方式。 4. **提取 Diff、变更文件与上下文**：明确输入、输出、负责人和失败处理方式。 5. **脱敏后调用评审模型**：明确输入、输出、负责人和失败处理方式。 6. **按严重级别去重和生成结构化结果**：明确输入、输出、负责人和失败处理方式。 7. **通过受限 Token 发布评论**：明确输入、输出、负责人和失败处理方式。 8. **保存审查版本、提示词和成本指标**：明确输入、输出、负责人和失败处理方式。 ## 三、落地步骤 ### 第 1 步：仅在 opened、synchronize 和 reopened 事件触发 该步骤需要保存执行记录和关键参数。正式上线前，应准备正常、异常、边界和权限不足四类测试，避免只验证最顺利的路径。 ### 第 2 步：排除锁文件、生成文件和超大二进制文件 该步骤需要保存执行记录和关键参数。正式上线前，应准备正常、异常、边界和权限不足四类测试，避免只验证最顺利的路径。 ### 第 3 步：先执行确定性的 lint、test、SAST 和依赖扫描 该步骤需要保存执行记录和关键参数。正式上线前，应准备正常、异常、边界和权限不足四类测试，避免只验证最顺利的路径。 ### 第 4 步：将 Diff 按文件和函数切分，补充必要上下文 该步骤需要保存执行记录和关键参数。正式上线前，应准备正常、异常、边界和权限不足四类测试，避免只验证最顺利的路径。 ### 第 5 步：要求模型只输出 JSON Schema 中定义的问题 该步骤需要保存执行记录和关键参数。正式上线前，应准备正常、异常、边界和权限不足四类测试，避免只验证最顺利的路径。 ### 第 6 步：对低置信建议不自动评论，只写入报告 该步骤需要保存执行记录和关键参数。正式上线前，应准备正常、异常、边界和权限不足四类测试，避免只验证最顺利的路径。 ### 第 7 步：用指纹避免同一问题重复出现 该步骤需要保存执行记录和关键参数。正式上线前，应准备正常、异常、边界和权限不足四类测试，避免只验证最顺利的路径。 ### 第 8 步：由人工决定是否修复，模型不直接合并代码 该步骤需要保存执行记录和关键参数。正式上线前，应准备正常、异常、边界和权限不足四类测试，避免只验证最顺利的路径。 ## 四、质量与运营指标 - **高严重级问题召回率**：建立当前基线、目标值和告警阈值。 - **误报率与开发者忽略率**：建立当前基线、目标值和告警阈值。 - **重复评论率**：建立当前基线、目标值和告警阈值。 - **单个 PR 模型成本**：建立当前基线、目标值和告警阈值。 - **从提交到反馈的 P95 时间**：建立当前基线、目标值和告警阈值。 - **被采纳建议比例**：建立当前基线、目标值和告警阈值。 - **模型审查与静态工具重叠率**：建立当前基线、目标值和告警阈值。 ## 五、常见失败方式 - 把整个仓库和全部历史发送给模型。 - 使用高权限 PAT 并允许写入主分支。 - 让模型重复静态工具已经发现的问题。 - 把风格偏好与真实缺陷混为同一级别。 - 不记录模型、提示词和规则版本。 ## 六、实施建议 - 第一阶段只生成报告，不自动发表评论。 - 稳定后只对高置信、高影响问题做行级评论。 - 任何自动修复都通过独立分支和人工 Review。 ## 七、上线检查清单 - 是否明确了输入数据、权限和保存周期？ - 是否记录模型、提示词、工具和规则版本？ - 是否有确定性校验和人工复核点？ - 是否可以重试、回滚并避免重复执行？ - 是否能够统计质量、成本、延迟和业务结果？ - 是否有异常告警、停用和应急处理流程？ ## 总结 AI 代码审查实战的正确做法不是追求一次性最强效果，而是建立适合真实场景的评价标准、权限边界和持续优化机制。先用小范围真实任务验证，再根据质量、成本、风险和团队维护能力逐步扩大。 想继续了解 AI 工具评测、企业落地和生产级工程实践，可以访问 **智元选**：https://www.zyentorpicks.com/。这里会持续把快速变化的 AI 产品与技术整理成可执行的选型和实施建议。