code-reviewer - AI 代码审查助手 🔍

专为重视代码质量的 AI Agent 开发者打造。

一款智能代码审查助手，可分析您的代码库，并就以下方面提供详尽、可操作的反馈：

• 🛡️ 安全漏洞
• ⚡ 性能瓶颈
• 🧹 代码异味与反模式
• ✨ 最佳实践遵循情况
• 📚 文档质量

🎯 为何选择 code-reviewer？

在使用 OpenClaw 构建 AI Agent 时，代码质量比以往任何时候都更加关键：

• Agent 常以高权限运行
• 恶意提示语（malicious prompts）可能利用安全漏洞
• 当 Agent 出现循环调用时，性能问题会被显著放大
• 可维护性对持续演进的 Agent 行为至关重要

code-reviewer 深刻理解这些独特挑战，并提供针对性建议。

🚀 快速开始

审查单个文件

向您的 Agent 发出指令：

“审查 src/agent.js 的代码质量”

审查整个目录

“分析 ./skills/my-skill/ 下所有 Python 文件”

生成详细报告

“为当前项目生成完整的代码审查报告”

📋 审查内容概览

安全性 🛡️

• 注入类漏洞 — 命令注入、路径遍历、eval 使用等
• 敏感数据泄露 — 硬编码密钥、代码中明文 API Key
• 不安全依赖项 — package.json/requirements.txt 中存在已知 CVE 的包
• 权限问题 — 文件访问权限过宽、授予了不必要的特权

性能 ⚡

• 低效算法 — 存在 O(n) 解法却使用 O(n²)，或存在冗余循环
• 内存泄漏 — 资源未释放、闭包陷阱（closure traps）
• 阻塞式操作 — 在异步上下文中执行同步文件 I/O
• 重复计算 — 多次重复执行相同计算、不必要的内存分配

代码质量 🧹

• 代码异味 — 函数过长、嵌套过深、代码重复
• 命名规范 — 变量命名不一致或含义模糊
• 无效代码 — 未使用的导入语句、不可达代码段
• 魔法数字 — 缺乏说明的硬编码数值

最佳实践 ✨

• 错误处理 — Promise 未被处理、异常被静默吞没
• 测试覆盖 — 缺少测试、覆盖率低的区域
• 文档注释 — 缺失 docstring、注释含义不清
• 类型安全 — 缺少类型标注（TypeScript / Python）

🎨 输出格式

终端摘要

🔍 代码审查摘要
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

📁 已分析文件数：12  
⚠️  发现问题数：8  

严重程度分布：
  🔴 致命：1  
  🟠 高危：2  
  🟡 中危：3  
  🟢 低危：2  

高频问题：
  1. [CRITICAL] query.js:45 处存在 SQL 注入漏洞  
  2. [HIGH] config.js:12 处硬编码 API Key  
  3. [HIGH] worker.js:78 处存在内存泄漏  

💡 运行时添加 --detailed 参数可查看完整报告

详细 Markdown 报告

保存至 code-review-report.md：

# 代码审查报告

**生成时间**：2026-03-24 20:30 PDT  
**项目名称**：my-agent-project  
**已审查文件数**：12  
**总问题数**：8  

## 🔴 致命问题（1）

### 1. SQL 注入漏洞  
**文件**：`src/query.js:45`  
**严重程度**：CRITICAL  

**问题描述**：  
用户输入未经清洗即直接拼接到 SQL 查询语句中。

**相关代码**：
```javascript
const query = `SELECT * FROM users WHERE id = ${userId}`;
```

**影响**：  
允许任意 SQL 执行，攻击者可读取或篡改数据库。

**修复建议**：  
使用参数化查询：
```javascript
const query = 'SELECT * FROM users WHERE id = ?';
db.query(query, [userId]);
```

---

## 🟠 高危问题（2）

### 2. 硬编码 API Key  
**文件**：`config.js:12`  
...

⚙️ 配置方式

在项目根目录创建 .codereview.json 文件，自定义审查规则：

{
  "severity": {
    "min": "medium",
    "failOnCritical": true
  },
  "ignore": {
    "files": ["*.test.js", "dist/*"],
    "rules": ["magic-numbers"]
  },
  "languages": ["javascript", "python"],
  "output": {
    "format": "markdown",
    "path": "./reports/code-review.md"
  }
}

🧠 工作原理

1. 解析（Parse） — 使用 OpenClaw 的 read 工具读取代码文件
2. 分析（Analyze） — 利用 AI 理解代码结构与业务意图
3. 检测（Detect） — 应用安全、性能与质量规则进行识别
4. 报告（Report） — 生成具备可操作性的发现结果，并附带修复建议
5. 学习（Learn） — 随时间推移适配您代码库的特定模式

🌟 核心特性

多语言支持

• ✅ JavaScript / TypeScript
• ✅ Python
• ✅ Go
• ✅ Rust
• ✅ Shell 脚本
• 🔄 更多语言即将支持

智能上下文感知

自动识别您的项目类型：

• OpenClaw Skill 与插件
• Express / Fastify API 服务
• React / Vue 前端应用
• CLI 工具
• Lambda 函数

增量式审查

仅审查 Git 中已变更的文件：

“审查我最近的修改”

团队协作集成

将审查报告共享给团队成员：

• 导出为 GitHub PR 评论
• 发送 Slack / Discord 通知
• 邮件摘要推送

💡 使用示例

示例 1：提交前审查

Agent: 提交前请审查所有暂存文件

输出：

✅ 全部通过！未发现致命问题。  
💡 3 条轻微建议：  
  - 建议在 auth.js:23 处补充错误处理逻辑  
  - utils.js:56 中变量 'temp' 可考虑更明确的命名  
  - 建议为 api.js:12 中的 processData() 函数添加 JSDoc 注释

示例 2：安全审计

Agent: 对 ./src/ 目录执行一次安全审计

输出：

🛡️ 安全审计结果
━━━━━━━━━━━━━━━━━━━━━━━

🔴 发现 1 个致命漏洞  
🟠 检测到 2 个高风险问题  

详情：  
1. [CRITICAL] exec.js 中存在命令注入漏洞  
2. [HIGH] 日志中记录了敏感数据  
3. [HIGH] 缺少输入校验  

📄 完整报告：security-audit-2026-03-24.md

示例 3：性能检查

Agent: 查找 worker.js 中的性能瓶颈

输出：

⚡ 性能分析
━━━━━━━━━━━━━━━━━━━━━

发现 3 处可优化点：

1. 第 45 行：O(n²) 循环 — 建议改用 Map 实现 O(n)  
2. 第 67 行：同步文件读取阻塞事件循环  
3. 第 89 行：正则表达式在热路径中重复编译  

预估性能提升：85%

🔒 隐私与安全

• ✅ 本地运行 — 您的代码永不离开本地设备
• ✅ 零遥测 — 不收集任何数据
• ✅ 开源可审计 — 您可自行审查全部源码
• ✅ 安全分析 — 绝不执行您的任何代码

📦 安装方式

通过 ClawHub 安装（推荐）

clawhub install code-reviewer

手动安装

git clone https://github.com/your-username/code-reviewer
cd code-reviewer
clawhub publish .

🤝 贡献指南

发现 Bug？有新功能想法？

• 🐛 提交问题：GitHub Issues
• 💡 提出功能建议：Discussions
• 🔧 提交 Pull Request：Contributing Guide

📜 许可协议

MIT 协议 — 详见 LICENSE 文件。

🙏 致谢

由 翠花 ❤️ 为 OpenClaw 社区倾力打造。

特别感谢：

• OpenClaw 团队提供了卓越的框架支持
• ClawHub 让 Skill 分发变得轻而易举
• 早期用户提供的宝贵反馈与 Bug 报告

📞 支持渠道

• 📖 文档中心：完整技术文档
• 💬 Discord：加入 #code-reviewer 频道
• 📧 邮箱支持：support@your-domain.com

🌸 由 翠花 倾情打造 | ClawHub Pioneer