去年接手一个遗留 Java 项目，代码规范问题一塌糊涂：命名混乱、异常吞噬、SQL 注入漏洞潜伏。团队靠人工 Code Review 发现这些问题，每次迭代光规范审查就要花 30 分钟，还经常漏掉。我决定用 GPT-4 在 GitLab CI 里自动做这件事。

背景：人工审查的三个痛点

我们团队 6 人，每次 MR 平均 200~500 行代码。人工审查平均耗时 30 分钟，而且标准不统一——有人关注命名，有人关注异常，漏检率约 15%。静态工具（SonarQube、Checkstyle）只能检查语法和模式，对业务语义、安全漏洞（如未授权访问）无能为力。GPT-4 的代码理解能力正好弥补这个空白。

方案设计：规则 + AI 双引擎

我的思路是：先用自定义规则（正则、AST）过滤掉 60% 的明显问题，再让 GPT-4 审查剩余 diff，最后合并结果。这样既保证速度，又降低 API 成本。

核心流程：

  • GitLab CI 触发 → 获取 MR 的 diff
  • 本地规则引擎检查（命名、长度、TODO 等）
  • 将 diff 分块（每块不超过 200 行，防止 token 超限）
  • 调用 GPT-4 API，附带自定义提示词
  • 解析返回的 JSON，生成评论

提示词设计：从通用到定制

一开始我用通用提示词“检查代码规范问题”，结果 GPT-4 返回了一堆泛泛的建议，比如“方法应该更短”。后来我改为结构化提示词：

你是一个严格的代码审查专家。请检查以下 Java diff，只报告以下四类问题： 1. 安全漏洞（如 SQL 注入、XSS、硬编码密码） 2. 性能问题（如循环内调用数据库） 3. 可读性（如长方法、魔法数字） 4. 错误处理（如 catch 吞异常） 对每个问题，输出 JSON 数组，格式： {"severity": "high|medium|low", "file": "xxx.java", "line": 42, "message": "详细描述", "suggestion": "修复建议"} 如果没有问题，返回空数组 []。

关键点：限定问题类型、指定输出格式、要求“没有问题时返回空数组”以避免误报。我还加了“只报告你确信的问题”，减少幻觉。

实现细节：CI 配置与成本控制

GitLab CI 配置片段：

code-review: image: python:3.11 script: - pip install openai gitlab-tree - python review.py $CI_MERGE_REQUEST_IID only: - merge_requests

review.py 核心逻辑：

import openai, os, json openai.api_key = os.getenv('OPENAI_API_KEY') def review_diff(diff_text): response = openai.ChatCompletion.create( model="gpt-4", messages=[ {"role": "system", "content": PROMPT}, {"role": "user", "content": diff_text} ], temperature=0.1 ) return json.loads(response['choices'][0]['message']['content'])

成本方面：一次 MR 平均 diff 约 300 行，分 2 次请求，每次约 2000 token，总花费约 0.02 美元（GPT-4 每 1K token 约 0.03 美元）。一个月 100 个 MR，成本仅 2 美元，远低于人工审查的时间成本。

效果数据：误报率 5%，采纳率 85%

上线一个月后统计：

  • 审查时间：从平均 30 分钟降到 3 分钟（CI 运行时间，开发者只需查看评论）
  • 发现问题数：平均每个 MR 发现 4.2 个问题，其中 high 级别 1.1 个
  • 误报率：5.3%（主要误报集中在“魔术数字”上，后来调整了规则）
  • 开发者采纳率：85%（开发者认为建议合理并及时修改）
核心洞见：AI 审查不是替代人工，而是把人工从低水平重复中解放出来，聚焦在架构和业务逻辑上。

经验与改进方向

几点经验：

  • 提示词要精确：类别越少、格式越固定，输出质量越高。
  • 分块处理：超过 200 行的 diff 容易丢失上下文，分块后每块独立审查，再合并。
  • 本地规则前置：能正则解决的问题不要用 AI，节省成本。

下一步计划：加入上下文增强——把整个文件的上下文传给 GPT-4，减少跨行问题漏报。同时，收集开发者反馈，微调提示词。

这套流程现在已经成为我们团队的标配，如果你也在为代码审查效率发愁，不妨试试。铭锦数智在 AI 应用方面有成熟经验，欢迎交流。