
## code review 发展代系总览

| 阶段 | 时期 | 审查形式 | 审查对象 | 人的角色 | 核心工具 |
| --- | --- | --- | --- | --- | --- |
| 一、形式化审查 | 1976—1990s | 正式会议、角色分工 | 全量代码 | 专职审查者 | 检查清单、纸质打印 |
| 二、工具化异步审查 | 1990s末—2008 | 异步在线、工具介导 | diff（变更差异） | 兼职审查者 | Review Board、Crucible、Gerrit |
| 三、轻量日常审查 | 2008—2010s末 | 轻量、持续、对话式 | diff + CI 自动检查 | 全员审查 | GitHub PR、GitLab MR |
| 四、自动化+AI辅助 | 2010s末—2025 | 三层过滤（工具+AI+人） | diff + 全量上下文 | 裁判（复核 AI 初筛） | SonarQube、CodeQL、Copilot Review |
| 五、智能体自主审查 | 2025—至今 | 多 Agent 并行、对话式 | diff + 全库 + 历史模式 | 决策者（审 AI 的审查结果） | Claude Code Review、AutoDev |



## 阶段四：自动化 + AI 辅助审查时代（2010s 后期 — 2025）

驱动力：两条线汇合——静态分析工具成熟 + 大语言模型（LLM）出现。

| 维度 | 特征 |
|------|------|
| 审查形式 | 三层过滤——自动化工具预过滤 → 度量信号定位 → 人工语义深审 |
| 审查对象 | diff + 全量上下文（AI 可以读取整个代码库做跨文件一致性检查） |
| 核心目标 | 在 AI 生成代码产量爆炸的背景下，用 AI 对抗 AI 产出的代码质量风险 |
| 审查者角色 | 人变成"裁判"而非"扫描器"——AI 做初筛，人做语义判断和合并决策 |
| 代表工具 | 静态分析：SonarQube、CodeQL、Semgrep；AI 审查：GitHub Copilot Review、CodeRabbit |

两条平行线的汇合：
```
线 A：自动化静态分析（1979 lint → 2000s SAST → 2008 SonarQube → 2010s CodeQL/Semgrep）
                 ↓
 度量 + 告警，但无法理解语义

线 B：AI 辅助审查（2020 LLM 兴起 → 2023 Copilot Review → 2024 CodeRabbit）
                 ↓
 能理解语义，但置信度不确定、会幻觉
```
汇合 → 三层过滤模型：工具扫描（确定性强）+ AI 初筛（覆盖面广）+ 人工深审（语义判断）

**关键转变：**
从人工全审到 AI 预筛——AI 先标记候选问题，人工只复核分诊后的清单
从 diff 到全量上下文——AI 可以读取整个代码库，检查跨文件一致性、重复实现、依赖断裂
从"找问题"到"分诊问题"——核心挑战从"能不能发现问题"变成"哪些告警是真问题"（误报率成为关键指标）
度量从独立工具变成审查路由器——圈复杂度/重复度/变更量不再是独立报表，而是决定"哪些区域需要人工深审"的信号灯


## SonarQube

| 工具 | 产生年份 | 作者 | 个人 or 公司提供服务 | 功能定位 |
|---|---|---|---|---|
| **SonarQube** | 2007 年 | SonarSource 团队（核心人物如 Olivier Gaudin 等） | 公司驱动开源：SonarSource 提供社区版/商业版及云服务 | 代码质量管理平台：聚合静态分析、Bug/漏洞/异味、技术债务、覆盖率、趋势看板、质量门禁 |
| **Checkstyle** | 2001 年 | Oliver Burn | 个人发起的开源项目，社区维护，无商业公司绑定 | 编码规范/代码风格检查：缩进、命名、导入、Javadoc、格式约定等 |
| **PMD** | 2002 年 | Tom Copeland 等 | 个人/社区开源项目，无专属商业公司（可被 SonarQube 等集成） | 源代码静态分析：潜在 Bug、坏实践、未用变量、空 catch、重复代码、复杂度/性能问题 |

2018年调查报告：
> ![2026-09-20 13_17_02.jpg](https://developer.qcloudimg.com/http-save/yehe-11563618/352f23eff69db8bba9188237b7e597e2.jpg)

集成到CI：
>![2026-09-20 14_48_31.jpg](https://developer.qcloudimg.com/http-save/yehe-11563618/7ee55c9ab529914f2f4b1ae3a9b02dce.jpg)

## Copilot Review vs SonarQube（集成到 CI）

| 维度 | GitHub Copilot Review | SonarQube（CI 集成） |
|---|---|---|
| 引擎 | LLM / agent，概率性 | 确定性静态分析 + 规则引擎（+商业版 dataflow/taint） |
| 主要输出 | PR 评论、解释、修复建议、批准评估 | 问题列表、质量门禁、技术债务、覆盖率、趋势 |
| 分析单位 | PR diff + 仓库上下文 | 整个项目 / 增量代码 / 新代码 |
| 速度 | 通常几十秒~几分钟出首轮评论 | CI 里扫描+服务端计算，通常分钟级 |
| 稳定性 | 同段代码换 prompt/model 可能不同 | 同代码同规则结果可复现 |
| 质量门禁 | 本身不直接 block merge（需 GitHub Code Quality/rulesets 配合） | **核心能力**：Quality Gate 可硬拦 PR/merge |
| 安全深度 | 能发现常见注入/鉴权/异常处理问题，但是“提示级” | 商业版 SAST 能做跨函数污点；社区版偏规则 |
| 代码质量 | 偏“人话建议”：命名、抽象、重复、可读性 | 偏“指标治理”：smell、复杂度、重复率、债务、覆盖率 |
| 自定义 | coding guidelines / instructions / skills | 规则集、quality profile、exclusions、门禁阈值 |
| 误报特征 | 可能漏安全、偶尔胡说；但“像人话” | 规则明确但可能有噪音；调好后信号稳定 |
| 合规审计 | 弱，不适合当合规证据 | 强，可出 OWASP/CWE/PCI/STIG 类报告 |
| 适合场景 | 加速人审、补上下文、审 AI 代码、给改法 | 企业级质量底线、门禁、技术债务、长期治理 |



## Copilot Review = LLM 评审员 + CodeQL/ESLint/PMD 的“翻译官” + 你们团队规范的执行者

**1. LLM 评审员（概率层）**
- 读 PR diff + 全文 + PR 描述 + commit + issue + 文档（MCP）
- 抓：逻辑错误、边界条件、并发陷阱、AI 反模式（假异步/假事务/静默异常）
- 输出：人话解释 + 修复建议 + 一键开 stacked PR
- **不执行代码、不构建、不可完全复现**——这是它的天花板，不是卖点

**2. 静态分析"翻译官"（确定层）**
- 底层跑 **CodeQL / ESLint / PMD**，结果喂给 LLM
- CodeQL 说"S1234: SQL injection from source to sink" → Copilot 翻译成"第 42 行 userInput 直接拼进 JDBC，建议用 PreparedStatement"
- 开发愿意点开看，因为不再是 `squid:S2259` 这种天书编号
- **这是 Copilot Review 和纯聊天 AI 的本质区别**：它有确定性引擎兜底

**3. 团队规范执行者（自定义层）**
- 读仓库里的 `copilot-instructions.md` / `AGENTS.md` / `SKILL.md`
- 你写"禁止用 MD5 做密码 hash""所有 API 必须带 timeout""异常不能吞" → 它逐条执行
- 不写 = 用 GitHub 通用模型语气审 = 价值打折

**4. 总结**

Copilot Review 本身不产规则，它把 CodeQL/ESLint/PMD 的硬结果和你们仓库里的软规范，用 LLM 翻译成人能秒懂的 PR 评论。

Copilot Review 是"软建议层"，不是"硬底线层"。它和 SonarQube / Semgrep / CodeQL 是互补关系——前者加速人审，后者守住合并门。

它的价值边界：
- ✅ AI 写代码 → AI 抓 AI 病（静默异常/eval/假幂等/secrets）
- ✅ 人不想看的 PR 先过一遍，过滤 60% 低级问题
- ✅ 规则引擎结果被"翻译"成人话，开发真会修
- ❌ 不能当安全门禁（结果不可复现）
- ❌ 不能替代 SonarQube Quality Gate（没有硬拦能力）
- ❌ 不开静态分析、不写团队规范 = 花冤枉钱


汇合 → 三层过滤模型：工具扫描（确定性强）+ AI 初筛（覆盖面广）+ 人工深审（语义判断）

【CR05】第四代代码审查技术、SonarQube与Copilot Review

借助 CI 和 AI，Code Review 进入自动化时代。

开发工具

人工智能

编程语言

代码审查历经五阶段演进：从1976年形式化会议审查、工具化异步审查、轻量日常PR审查，到自动化+AI辅助三层过滤，再到多Agent智能体自主审查。当前阶段AI预筛结合人工深审，CopilotReview通过LLM翻译静态分析结果，实现人话评审。

代码解释

路由器

智能体

路由

GitHub

Agent

腾讯云BI特惠9.9元起！


文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

【CR05】第四代代码审查技术、SonarQube与Copilot Review-腾讯云开发者社区-腾讯云

【CR05】第四代代码审查技术、SonarQube与Copilot Review

【CR05】第四代代码审查技术、SonarQube与Copilot Review

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐