vscode中ai代码审查需主动引导：copilot chat可分析pr diff识别风险，sonarlint联动可生成重构方案，gitlens结合blame能解释历史逻辑，但须注意配额、diff大小、问题具体性、类型配置及人工核验。
VSCode 里用 AI 做 Code Review 不是“打开插件就自动变好”，关键在于把 AI 当成一个能理解上下文、会看 diff、还能解释风险的资深同事——它不会替你拍板，但能帮你快速聚焦真正该审的地方。
GitHub Copilot Chat 直接分析 PR diff
你在 GitHub Pull Requests 插件里打开一个 PR 后，Copilot Chat 可以直接读取当前 diff 内容，不需要手动复制粘贴。右键某段变更 → “Ask Copilot about this change”，它就能基于上下文判断是否引入了未处理的 Promise 拒绝、是否绕过了权限校验、甚至指出 res.send() 和 next() 是否可能同时调用。
- 必须确保插件已登录且有足够配额，免费版有时会限流，遇到
"Rate limit exceeded"就得等或切到企业账户 - diff 太大时（比如 >200 行），Copilot 可能只看开头部分，建议先用
git diff --cached筛出核心文件再提问 - 别问“这段代码对不对”，要问具体问题，比如：“这个
useEffect依赖数组漏了onSubmit，会导致什么行为？”
SonarLint + Copilot 联动定位“语义级坏味道”
SonarLint 标出 Function has a cognitive complexity of 18，但不告诉你怎么拆。这时候把光标停在函数开头，按 Ctrl+Enter 唤出 Copilot，输入注释：// This function is too complex. Extract validation logic into separate function，它会立刻生成带命名、参数和调用位置的提取方案。
- 注意 SonarLint 的规则需启用“Security Hotspots”和“Bug Detection”，默认可能只开基础检查
- Copilot 生成的提取逻辑未必覆盖所有分支，尤其涉及
try/catch或异步状态时，得人工核对return路径是否完整 - 如果项目用 TypeScript，务必开启
"sonarlint.typescript.tsconfigPath"配置，否则类型推导不准，AI 建议容易出错
用 git blame + GitLens 让 AI 解释“为什么这么写”
看到一段难懂的条件判断，别急着改。用 GitLens 右键 → “Blame Annotated Line”，找到原始 commit，再把 commit message 和那段代码一起丢给 Copilot Chat：“这个 commit 说 ‘fix race condition in auth flow’，但这段 if (token && !isRefreshing) 是如何防止竞态的？” 它会结合常见模式（如 double-check locking）给出合理推测。
- GitLens 的 blame 数据依赖本地 git log，如果同事用了
--amend或 force-push，历史可能不全，AI 的解释就缺乏依据 - 避免让 AI “猜业务逻辑”，它擅长解释技术意图，但不懂你们内部的“用户等级=3 即 VIP”这类隐含规则
- 对第三方 SDK 调用（如
Stripe.createToken()），Copilot 可能混淆旧版/新版 API，得对照官方文档交叉验证
最常被忽略的一点：AI 给出的重构建议默认不考虑运行时兼容性。比如它推荐把 for (var i = 0; i 改成 <code>arr.forEach()，但如果你的项目还要支持 IE11，就得手动加回 /* @ts-ignore */ 或换用 Babel 插件处理——AI 不会主动提醒你目标环境。
