# 使用 Python + OpenAI API 实现自动化代码审查

代码审查是软件开发的重要环节，能帮助发现潜在 bug、提升代码质量、促进团队知识共享。但传统人工审查效率低、主观性强、难以规模化。随着大语言模型的发展，AI 已经具备理解代码逻辑、识别潜在问题、提供改进建议的能力。本文介绍如何使用 Python 调用 OpenAI API，实现自动化代码审查功能。

## 问题

实际开发中面临几个难题：

人工审查效率低。每次提交都需逐行阅读代码，大型项目尤其耗时。审查标准不一致。不同审查者关注点不同，有人重视格式，有人重视逻辑。容易遗漏问题。人工审查疲劳时容易忽略安全隐患。反馈周期长。需要等待审查者空闲才能获得意见。

需要自动化工具，接收代码片段后通过 AI 分析返回审查意见。

## 实现步骤

### 环境准备

安装 OpenAI Python 库：

“`bash
pip install openai
“`

获取 OpenAI API Key。在 OpenAI 官网注册账号后创建 API Key 即可。

### 设计提示词

有效的审查提示词需要包含：审查角色定义（让 AI 以资深开发者身份审查）、审查维度说明（代码风格、安全性、性能、可读性等）、输出格式定义（方便后续解析）。

### 调用 API

使用 OpenAI Chat Completions API 进行交互：

“`python
from openai import OpenAI

client = OpenAI(api_key=”your-api-key”)

response = client.chat.completions.create(
model=”gpt-4o”,
messages=[
{“role”: “system”, “content”: “你是一位资深的代码审查专家…”},
{“role”: “user”, “content”: “请审查以下代码…”}
]
)
“`

### 解析结果

将 AI 返回的审查意见格式化输出，包括问题位置、严重程度、具体建议。

## 完整代码示例

以下是完整的代码审查工具实现：

“`python
import os
from openai import OpenAI

class CodeReviewer:
“””基于 OpenAI API 的自动化代码审查工具”””

def __init__(self, api_key: str = None):
“””初始化审查器

Args:
api_key: OpenAI API Key，如果不提供则从环境变量读取
“””
if api_key is None:
api_key = os.getenv(“OPENAI_API_KEY”)
self.client = OpenAI(api_key=api_key)

def review(self, code: str, language: str = “python”) -> dict:
“””审查代码

Args:
code: 要审查的代码
language: 编程语言

Returns:
包含审查结果的字典
“””
system_prompt = f”””你是一位资深的{language}开发者，负责代码审查。
你的职责是找出代码中的问题并提供改进建议。

审查维度：
1. 代码风格 – 命名规范、格式统一
2. 安全漏洞 – SQL注入、命令执行、XSS等
3. 性能问题 – 时间复杂度、内存使用
4. 错误处理 – 异常捕获、资源释放
5. 代码可读性 – 注释、复杂度

输出格式要求：
– 问题编号
– 严重程度（高/中/低）
– 问题描述
– 具体位置（行号）
– 改进建议

请严格按照上述格式输出，��要添加其他内容。”””

user_prompt = f”””请审查以下{language}代码：

“`{language}
{code}
“`”””

response = self.client.chat.completions.create(
model=”gpt-4o”,
messages=[
{“role”: “system”, “content”: system_prompt},
{“role”: “user”, “content”: user_prompt}
],
temperature=0.3
)

return {
“review”: response.choices[0].message.content,
“model”: response.model,
“usage”: {
“input_tokens”: response.usage.prompt_tokens,
“output_tokens”: response.usage.completion_tokens
}
}

def main():
“””演示代码审查功能”””

# 初始化审查器
reviewer = CodeReviewer()

# 示例代码 – 包含多个问题的代码片段
sample_code = “””
import os
import sqlite3

def get_user_data(user_id):
conn = sqlite3.connect(‘app.db’)
cursor = conn.cursor()
# SQL注入漏洞
query = f”SELECT * FROM users WHERE id = {user_id}”
cursor.execute(query)
result = cursor.fetchall()
return result

def execute_command(cmd):
# 命令执行漏洞
os.system(cmd)

def process_data(items):
# 返回带索引的列表，实际不需要
for i in range(len(items)):
print(items[i])

# 函数没有处理空列表情况
return items[0]
“””

# 执行审查
print(“开始代码审查…\n”)
result = reviewer.review(sample_code, “python”)

# 输出审查结果
print(“=” * 50)
print(“代码审查报告”)
print(“=” * 50)
print(result[“review”])
print(“=” * 50)
print(f”使用模型: {result[‘model’]}”)
print(f”消耗Token: {result[‘usage’][‘input_tokens’]} 输入 / {result[‘usage’][‘output_tokens’]} 输出”)

if __name__ == “__main__”:
main()
“`

代码说明：CodeReviewer 类封装审查逻辑，便于复用。system_prompt 定义 AI 角色和审查标准。user_prompt 包含待审查代码片段。temperature 参数设为 0.3 使输出更确定性。返回结果包含审查意见和使用统计。

## 运行结果

运行代码后，得到以下审查报告：

“`
开始代码审查…

==================================================
代码审查报告
==================================================
## 审查结果

### 问题 1: SQL 注入漏洞（严重程度: 高）
– **位置**: 第 6 行
– **问题**: 使用字符串格式化构造 SQL 语句，存在 SQL 注入风险
– **改进建议**: 使用参数化查询
“`python
cursor.execute(“SELECT * FROM users WHERE id = ?”, (user_id,))
“`

### 问题 2: 命令执行漏洞（严重程度: 高）
– **位置**: 第 13 行
– **问题**: 直接使用 os.system() 执行用户输入，存在命令注入风险
– **改进建议**: 使用 subprocess 模块并避免 shell=True

### 问题 3: 索引越界风险（严重程度: 中）
– **位置**: 第 22 行
– **问题**: items 为空列表时会抛出 IndexError
– **改进建议**: 添加空列表检查或使用 items[0] if items else None

### 问题 4: 资源未释放（严重程度: 中）
– **位置**: 第 5-10 行
– **问题**: 数据库连接未显式关闭
– **改进建议**: 使用 with 语句或显式调用 conn.close()

### 问题 5: 循环复杂度（严重程度: 低）
– **位置**: 第 17-19 行
– **问题**: 可以直接遍历元素，无需使用索引
– **改进建议**:
“`python
for item in items:
print(item)
“`

==================================================
使用模型: gpt-4o
消耗Token: 342 输入 / 486 输出
“`

AI 成功识别出代码中的问题：2 个高危安全漏洞（SQL 注入和命令执行），2 个中危问题（资源泄漏和索引越界），1 个低危代码风格优化。每个问题都包含具体位置和改进建议。

## 总结

使用 Python + OpenAI API 实现代码审查，主要优点是实现简单、几十行代码就能搭建基础工具。AI 可以识别代码风格、安全、性能等多个维度的问题。几秒钟就能获得详细报告。按照 Token 用量计费，成本可控。

当前版本有几个局限：需要网络连接，离线环境无法使用；审查结果依赖模型能力，可能存在误判；超大代码片段需要分片处理；需要保护好 API Key。

实际项目中可以将工具集成到 CI/CD 流程，在代码提交时自动触发审查，进一步提升开发效率。