阿里開源 AI 程式碼審查工具
OpenCodeReview 是阿里巴巴把內部 AI code review 系統開源後推出的 CLI 工具。它不是單純把整份 diff 丟給模型，而是以 deterministic pipeline 負責選檔、分組、套用規則及定位，再讓 LLM Agent 搜尋程式庫、讀取完整檔案與跨檔案推理。實際可審查工作區、branch、commit 或完整目錄，找出 NPE、thread-safety、XSS、SQL injection 等問題，並產生精確到行的意見。
現實應用
最直接的用法，是在送 PR 前先跑一次 ocr review，把明顯 bug 與安全問題擋在人工 reviewer 之前；團隊也能接進 GitHub Actions、GitLab CI、GitFlic CI 或 Gerrit。它支援自訂規則與檔案路徑，適合已有 coding convention 的中大型團隊，也能整合 Claude Code、Codex、Cursor、OpenCode，讓 AI 寫完程式後換一套受約束的流程複查。接手陌生專案時，ocr scan 也能直接掃描整個目錄，不需要先有 Git diff。
期望評估
- **低標期望：**我認為它至少能當成進階版 lint 與第二雙眼睛，降低漏看異常處理、併發與常見漏洞的機率，但結果仍要由工程師確認。
- **高標期望：**我猜若團隊願意整理專屬規則並放進 CI，它有機會把例行審查自動化，讓人力集中在架構、需求與商業邏輯。官方 benchmark 使用 50 個專案、200 個真實 PR 與 1,505 個標註問題；官方稱相同模型下，其 Precision、F1 與 token 效率優於通用 Agent，但也坦白 Recall 較低，代表它偏向少報誤報，並不保證抓完所有缺陷。
商業策略分析
我認為真正有意思的不是「又一個 AI reviewer」，而是阿里把兩年內部經驗做成 Apache-2.0 的可自架工具，企業能自選 OpenAI、Anthropic 相容端點或讓既有 coding agent 代跑，不必綁定單一 SaaS。這會壓縮商用 AI code review 服務靠每席訂閱建立的優勢；但模型費用、維運、規則品質與程式碼外送風險仍由使用方承擔。值得 DevOps 或平台團隊做小規模 PoC，暫時不適合直接取代人工核准。
實作細節
前置需求是 Git 2.41 以上，建議透過 npm install -g @alibaba-group/open-code-review 安裝。接著執行 ocr config provider、ocr config model 設定模型，再到專案目錄跑 ocr review；也可用 --from main --to feature-branch 或 --commit 指定範圍。v1.8.0 已加入 Bicep、HCL／Terraform 與 remote MCP server 支援。已知限制是官方刻意用較低 Recall 換取較少雜訊；預設模式會把變更內容送往設定的模型端點，機密專案要先處理資料治理與供應商條款。