OpenQodex Skill 技能

技能简介

OpenQodex 是由 Qodex 出品的开源 AI 代码审查技能，面向 Claude Code 与 Codex 用户，采用 Apache 2.0 许可。它在你推送代码之前运行，既可以从编码代理里调用，也可以直接在终端执行。一条 openqodex review 命令即可自动识别本次变更——尚未推送的提交加上所有未提交的改动，运行与改动文件匹配的扫描器，只保留命中改动行的发现，然后启动一个独立的审查进程逐条复核，最终输出一份结构化报告。全程只需要已安装并登录的 Claude Code 或 Codex，不需要任何额外 API Key、账号或服务器。

核心功能

• 一键变更审查：openqodex review 自动冻结变更副本，运行 13 个内置扫描器（semgrep、gitleaks、bandit、ruff、oxlint、osv-scanner、actionlint、hadolint、shellcheck、golangci-lint、brakeman、rubocop、sqllint），每个扫描器固定版本、按文件类型按需触发，只保留改动行上的发现
• 独立审查进程：单独启动 Claude Code（claude -p）或 Codex（codex exec）读取冻结副本；Claude Code 只有读取、搜索、列表工具且不加载你的任何设置、钩子与记忆文件，Codex 运行在无网络的只读沙箱中
• 多形态审查：支持 review --all 全仓库、review 分支、review '#42' 拉取请求审查，审查器可由 auto 自动选择或显式指定
• 门禁与集成：提供推送门禁与可选的 git pre-push 钩子（默认仅警告，设置 review.block_on_severity 后阻断）；GitHub Action 在 PR 上跑完整审查，无 API Key 时只跑扫描器；pre-commit 钩子仅执行扫描
• 自定义扫描器：可在配置中通过 GitHub 链接添加任意扫描器，需先经 openqodex trust 审批（展示版本、资产、sha256 与运行行）才会执行
• 完整报告与校验：审查结论由脚本校验，每个扫描器发现都必须被采纳或给出丢弃理由，每一条改动行都必须出现在审查器面前，否则报"Review incomplete"退出；报告输出至终端及 report.md、report.json、report.sarif

安装配置

• 环境要求：Node 22+ 与 git，支持 macOS 与 Linux，Windows 需使用 WSL
• 面向人类：终端执行 npx openqodex init，它会自动发现机器上的 Claude Code、Cursor、Codex CLI 与 Cline，列出将写入的文件并仅询问一次
• 面向代理：执行 npx skills add openqodex/openqodex，或把安装提示词直接粘贴给你的 Agent
• 首次运行时扫描器按需下载至 ~/.openqodex/tools/（demo 所需 8 个约 700MB 磁盘），超过 45 秒的安装转后台进行；npx openqodex doctor --install 可预装全部

使用步骤

1. 运行 npx openqodex init 完成初始化，确认它写入的文件
2. 在日常开发中正常提交代码，变更就绪后对 Agent 说"review my change with openqodex"，或自行运行 openqodex review
3. 等待一到三分钟：冻结副本、扫描器、代码图、独立审查进程、脚本校验依次执行
4. 阅读终端报告与 report.md，按发现逐条修复；npx openqodex demo 可用带植入缺陷的小仓库快速试跑
5. 需要时配置推送门禁、pre-push 钩子或 GitHub Action，将审查纳入工作流

适用场景

• 团队在推送前对个人变更做安全与质量自审
• PR 流水线中自动运行 SAST、密钥泄露与依赖漏洞检查
• 依赖升级后快速确认锁文件变更引入的风险
• 教学与演示：用 demo 仓库展示标准化代码审查流程

适用人群

使用 Claude Code 或 Codex 的开发者、注重代码安全的开源维护者、需要在 CI 中落地代码审查规范的研发团队。

工作原理

OpenQodex 先把变更复制为冻结副本并构建代码图，按改动文件选择扫描器执行静态检查；随后启动一个与用户环境隔离的独立审查进程（Claude Code 或 Codex），把每条扫描发现与每一行改动交给它复核；最后用脚本校验审查结论的完整性，汇总为唯一报告。内置扫描器不上传代码；审查进程只把你选择的模型会话数据发给对应的模型服务，遥测完全为零，依赖漏洞查询仅向 osv.dev 发送包名与版本。

官方链接

GitHub 仓库：https://github.com/openqodex/openqodex 出品方官网：https://qodex.ai