摘要团队代码审查耗时太长漏掉硬编码密钥导致安全事故本文分享一款基于LangChain LangGraph的自动化 CodeReview Agent支持6 种大模型含国产能精准识别高风险代码并给出修复建议。内含架构设计与核心实现项目已开源欢迎 Star项目地址https://github.com/wanghenan/codereview-agent 痛点为什么我们需要自动化 CodeReview在日常开发中你是否也遇到过这样的场景人工 Review 太慢一个复杂的 PR资深开发要花 30 分钟逐行看成为合并瓶颈。低级错误频出明明有 SQL 注入风险、硬编码的 API Key却因为疲劳被肉眼忽略。标准不统一不同人对代码规范的把握不一导致代码风格割裂。大模型幻觉直接用 ChatBot 审查它经常胡说八道或者只给泛泛而谈的建议无法集成到 CI/CD 流程中。为了解决这些问题我利用周末时间基于LangChain和LangGraph框架开发了一款AI-powered CodeReview Agent。它不是简单的“调用 API”而是一个有状态、可决策的智能体。它能自动判断哪些代码是安全的直接通过哪些存在高风险阻断并报警并给出置信度评分。 先上效果## CodeReview Agent **结论**: ⚠️ 需要人工审核 (置信度: 95%) | 文件 | 风险 | 问题数 | |------|------|--------| | src/auth/login.ts | 高 | 3 | ### 问题 1. HIGH: 硬编码 API Key 2. HIGH: SQL 注入漏洞 3. HIGH: 发送凭据到外部服务️ 技术深挖为什么选择 LangGraph市面上有很多 AI 审查工具为什么我要重新造轮子核心在于对复杂逻辑的控制力。1. 架构设计从 Chain 到 Graph传统的 LangChain Chain 是线性的而代码审查是一个多步骤决策过程第一步解析 Diff 文件。第二步初步扫描正则 轻量模型。第三步针对可疑代码调用大模型深度分析。第四步聚合结果计算置信度。第五步根据置信度决定是“自动通过”还是“请求人工介入”。这种带有条件分支和循环重试的逻辑正是LangGraph的强项。核心状态图State Graph设计思路# 伪代码示意workflowStateGraph(AgentState)workflow.add_node(parse_diff,parse_diff_node)workflow.add_node(security_scan,security_scan_node)workflow.add_node(llm_review,llm_review_node)workflow.add_node(aggregate,aggregate_node)# 关键根据扫描结果动态路由workflow.add_conditional_edges(security_scan,route_based_on_risk,{high_risk:llm_review,# 高风险进大模型深审low_risk:aggregate# 低风险直接聚合})这种设计让 Agent 既节省了 Token简单代码不调用大模型又保证了高危问题的检出率。2. 多模型适配国产模型友好考虑到国内网络环境和成本我并没有绑定 OpenAI。通过抽象 Provider 层项目原生支持6 大主流模型OpenAI(GPT-5)Anthropic(Claude 4.5 Sonnet)智谱 AI(GLM-5)MiniMax(Abab 6.5s)阿里云(Qwen-Max)DeepSeek(V3)配置极其简单只需在 YAML 文件中切换llm:provider:minimax# 一行代码切换模型apiKey:${{secrets.LLM_API_KEY}}model:abab6.5s-chat3. 置信度评分系统为了避免“狼来了”Agent 会对每个问题进行0-100% 的置信度打分。90%确认为严重漏洞如明文密码直接阻断 PR。60%-90%疑似问题标记为“需要人工确认”。60%可能是误报仅作为建议输出。 如何集成到你的项目3 步上手本项目设计了三种使用方式最推荐GitHub Action模式无缝集成 CI/CD。方式一GitHub Action推荐全自动Step 1: 在工作流目录创建.github/workflows/codereview.ymlname:CodeReview Agenton:[pull_request]jobs:review:runs-on:ubuntu-lateststeps:-uses:wanghenan/codereview-agentv1with:config:.codereview-agent.yamlenv:LLM_API_KEY:${{secrets.LLM_API_KEY}}Step 2: 创建配置文件.codereview-agent.yamlllm:provider:minimaxapiKey:${{secrets.LLM_API_KEY}}model:abab6.5s-chatStep 3: 在 GitHub Settings - Secrets 中添加LLM_API_KEY。搞定下次提交 PR 时机器人会自动在评论区留下审查报告。方式二本地 CLI 调试想在合并前本地先跑一遍gitclone https://github.com/wanghenan/codereview-agent.gitcdcodereview-agent/python pipinstall-e.# 运行审查python-mcodereview.cli--diffdiff.json方式三Docker 部署适合私有化部署场景即将支持dockerrun-v$(pwd):/app-eLLM_API_KEYyour-key wanghenan/codereview-agent--pr123 核心亮点总结智能分流利用 LangGraph 实现动态路由节省 40% 的 Token 消耗。安全优先内置 SQL 注入、XSS、硬编码密钥等 20 种安全规则模板。国产化支持完美适配智谱、阿里、MiniMax 等国产大模型无需魔法。极简配置无需编写复杂 PromptYAML 配置文件即可定制规则。 后续计划目前项目刚发布 v1 版本后续计划更新✅自动修复建议不仅指出问题还生成修复后的代码 Diff。✅自定义规则引擎允许团队上传自己的代码规范文档。✅多语言支持目前主要支持 Python/TS/JS后续扩展 Go/Java。 写在最后开源的目的是为了共建更好的开发体验。如果你也觉得这个工具能提升团队的代码质量欢迎给项目一个 Star ⭐️ 支持一下你的每一个 Star 都是我持续更新的动力。如果有好的建议或发现 Bug欢迎提 Issue 或 PR。传送门https://github.com/wanghenan/codereview-agent