你用 AI 半小時寫完一個新功能，開心 push 上去。三天後線上報錯——AI 順手寫下、你沒看出來的一個空值判斷漏了。阿里剛把它內部用了兩年、專門抓這種洞的 AI 代碼審查工具開源，名字叫 Open Code Review。
一句話結論：Open Code Review（指令 ocr）是阿里開源的 AI 代碼審查 CLI，讀你的 Git diff、駁你自己的 OpenAI 或 Claude API，在本地跑出逐行審查意見。官方 benchmark 顯示，同一個模型下它的 token 只用 Claude Code 約 1/9、F1 分數高接近一倍，適合想把 AI 寫的代碼再過一道品質關的人。
最後更新：2026 年 7 月。AI 工具版本與定價變動快，安裝與模型費用一律以官方為準。
Open Code Review 是什麼？
它是一個跑在你電腦上的命令列工具。你改完代碼、還沒合併之前，敲一句 ocr review，它就把這次改動的 diff 抓出來，交給一個會用工具的 AI agent 去讀、去查、去比對，最後給你一份標到「第幾行、什麼問題、怎麼改」的審查報告。
跟一般「把 diff 貼給 ChatGPT 問一句」最大的不同，是它的 agent 能主動翻你的專案：讀整份檔案、全庫搜關鍵字、順手看其他一起被改的檔案來補上下文。所以它給的意見會落在「放在你整個專案裡，這段改動會不會出事」這個層次，而不只是評論表面那幾行。這件事聽起來小，實際差很多，因為很多 bug 不在改動那幾行，而藏在改動之後跟舊代碼的互動裡。
它的血統也不是週末項目。官方說法是：這套工具在阿里內部當官方 AI 代碼審查助手用了兩年，服務過數萬名工程師、跑過超過一百萬次審查任務，驗證得差不多了才拿出來開源。授權是寬鬆的 Apache-2.0，主體用 Go 寫，另外附了一個網頁版的審查記錄檢視器。
為什麼一個「代碼審查工具」值得寫一篇？
因為它踩到了一個 2026 年很多人都有、但很少人講的痛點：AI 幫你把代碼寫得越來越快，卻沒人幫你看 AI 到底寫對了沒。
你當然可以直接叫 Claude Code 幫你 review。問題是通用型的 coding agent 做審查，一來會把一大堆 token 花在「重新理解整個專案」上，帳單很兇；二來它是萬用選手，不是專門為「挑毛病」調過的，容易講一堆場面話卻漏掉關鍵風險。阿里這套的賣點就是反過來：用「確定性的工程流水線」先把該做的固定步驟框死，再讓 AI 只在需要判斷的地方出手。省 token、也更準。
跟 Claude Code 比，到底差在哪？
差在「專用」對上「通用」，而且官方給了實測數字。下面這組來自它 GitHub 上的 benchmark（同樣的模型、同一批審查任務下比）：
| 指標 | Open Code Review | Claude Code（通用 agent） |
|---|---|---|
| F1 分數（準確率與召回的平衡，越高越好） | 約 25.1% | 約 14.1% |
| 單次審查平均 token 用量 | 約 35 萬–74 萬 | 約 206 萬–566 萬 |
| 單次審查耗時 | 約 1–6 分鐘 | 約 5–14 分鐘 |
| 代碼要不要離開你電腦 | 本地跑，資料不外流 | 本地跑 |
| 要不要自備模型 API | 要（OpenAI 或 Claude 都行） | 要 |
翻成白話：同一個 AI 大腦，換上這套專用工具，抓問題的綜合分數高了接近一倍，花的 token 卻只有大約九分之一，還跑得比較快。這不是模型變聰明了，是「怎麼用模型」變聰明了——把流程工程化，AI 就不用每次都從頭啃整個專案。
要提醒一句：F1 這種基準測試怎麼設計、用哪批樣本，本身就會影響結果，官方數字看個相對量級就好，別當成鐵板一塊。但「工程約束 + AI 判斷」比「純靠 AI 一把梭」省又穩，這個方向是站得住的。
它怎麼做到 token 只用 1/9？
看它的三段式流程就懂了：
- 規劃階段：改動超過 50 行，它會先花一點力氣做風險分析，決定重點看哪裡；小改動就直接跳過這步，不浪費。
- 主審查迴圈：每個被改到的檔案分到一條獨立的並行工作（預設 8 條同時跑），AI 在裡面反覆呼叫幾個內建工具——搜代碼、讀檔案、看其他檔案的 diff、提交逐行意見——直到判斷「這個檔案審完了」為止。
- 記憶壓縮：當對話的上下文快撐爆 token 上限，它會把內容切成「凍結／壓縮／活躍」三區，把不重要的舊資訊壓掉，只留該留的。這正是省 token 的關鍵一招。
另外它內建了一套按檔案類型自動套用的審查規則。碰到 Java 就重點看空指標、死迴圈、執行緒安全；碰到前端 .ts/.js 就查 XSS 與 async 寫法；碰到 mapper.xml 這類就盯 SQL 注入。你也能在專案裡放一份 .opencodereview/rule.json，把「這個資料夾的新方法一律要做參數校驗」這種團隊規矩寫進去，跟著 git 一起走。規則是四層優先序：指令指定 > 專案設定 > 個人全域 > 內建預設，先命中先算。
一個月大概燒多少 token？自己算一下
工具本身免費，但它要駁你自己的模型 API，token 是你付。到底划不划算，用你自己的頻率算最準。下面這個小工具用官方 benchmark 的區間中位估算，兩邊都以同款模型計價：
算出來你會發現，只要你有點頻率地 review，光是 token 這一塊，一年省下的錢就很可觀。這也是為什麼阿里在自家幾萬工程師規模下，會特地做一套專用工具而不是全丟給通用 agent——量一大，效率差一個數量級就是真金白銀。
怎麼安裝、怎麼跑第一次 review？
會用命令列的話，三步就能跑起來。前提：電腦裝了 Node.js、專案是 git 管的、手上有一把 OpenAI 或 Claude 的 API key。
- 安裝：終端機敲
npm install -g @alibaba-group/open-code-review，裝完就有ocr這個全域指令。不想用 npm 也能直接下載對應系統的執行檔。 - 設定模型：用
ocr config set把 API 網址、金鑰、模型名稱填好（OpenAI 與 Claude 兩種協定都支援），再跑ocr llm test確認接得通。它也會自動讀 Claude Code 的環境變數，如果你本來就在用 Claude Code，多半不用重設。 - 審查：進到專案資料夾，
ocr review就會審你目前所有未提交的改動；想比兩個分支用ocr review --from main --to 你的分支；只想看某一筆 commit 用ocr review --commit 該筆。先加--preview可以只看「會審哪些檔案」而不真的花 token。跑完想回顧，ocr viewer會開一個本地網頁把這次審查結果排好給你看。
還有一招很實用：它可以裝進 Claude Code 當一個 slash 指令。在 Claude Code 裡跑 /plugin marketplace add alibaba/open-code-review 再 install，之後在對話裡直接 /open-code-review 就能叫它審、甚至順手把問題修掉。等於讓你的 AI 助手多一個「專業審查員」同事。
不會寫程式的人，這東西關你什麼事？
表面上這是工程師工具，但 2026 年最該注意它的，其實是「用 AI 寫東西、自己不太懂代碼」的那群人——也就是現在越來越多的 vibe coder：用 Cursor、Claude Code 這類工具把想法變成一個網站、一個小程式、一個自動化腳本，代碼是 AI 寫的，你只負責提需求。
問題是，AI 寫得快，也錯得隱蔽。它可能留下一個 SQL 注入漏洞、一段會在特定情況崩掉的邏輯，而你根本看不出來。Open Code Review 的價值就在這裡：它是那個幫你「看 AI 有沒有寫錯」的第二雙眼睛，而且用的是專門挑毛病的規則，不是再問一次同一個容易自我感覺良好的 AI。
把這條線拉到變現上就更清楚了。如果你靠 AI 接案、做小產品、幫人搭工具賺錢，「交付品質」就是你的口碑。在 push 給客戶之前先跑一次自動審查，把低級錯誤攔在自己這關，這是幾乎零成本、卻能讓你少賠信譽的一步。AI 降低了你「能做」的門檻，這類工具則幫你守住「做得穩」的下限——後者才是能長期收錢的關鍵。
免費，但有哪些隱藏成本要注意？
先講清楚，別踩坑：
- 模型 token 是你付的。工具本身開源免費，但每次審查都在燒你的 API 額度。它已經很省，但頻繁對大專案審，帳單還是會累積，用上面的試算器先抓個預算。
- 要有基本的命令列與 git 概念。它是 CLI，不是點兩下的桌面 App。完全沒碰過終端機的人會有一小段學習曲線，但照著三步走通常一次就成。
- 它是輔助，不是保證。AI 審查會漏、也偶爾會誤報。它能大幅提高你抓到問題的機率，但不等於「跑過就一定沒 bug」。關鍵改動該有的人工把關還是要有。
- 還是個年輕專案。2026 年才開源，雖然背後是阿里兩年內部實戰，社群生態、第三方教學都還在長。遇到冷門問題，可參考的資料比成熟工具少。
不想裝 CLI，有沒有替代方案？
有，看你要解決哪一段：
- 只想在 Claude Code 裡順手審：照上面把 Open Code Review 裝成 Claude Code 外掛，是最無痛的組合，不用另外開一個工具。
- 想要 GitHub PR 上自動留言：市面上有 CodeRabbit、GitHub 官方的 Copilot code review 這類雲端服務，掛在 pull request 流程上、團隊協作更順，代價是代碼要上雲、多半按月付費。
- 你的痛點其實是「AI 讀太多無關檔案、token 爆掉」：那要的不是審查工具，而是幫 AI 精準定位該讀哪些檔的方案，可參考我們寫過的 code-review-graph，跟本篇是互補的兩件事。想更廣泛砍 Claude Code 帳單，也可以看 pxpipe。
順帶一提，阿里今年在開源上動作不少，除了這套，還有向量資料庫 zvec、能讓網站「聽人話」的 page-agent，有興趣可以一起看。更多同類項目在我們的 GitHub 熱門 AI 專案精選。
新手行動清單
- ☐ 確認電腦有 Node.js 和 git，準備一把 OpenAI 或 Claude 的 API key
- ☐
npm install -g @alibaba-group/open-code-review裝好ocr - ☐
ocr config set設好模型，ocr llm test確認接得通 - ☐ 找一個你最近用 AI 改過的專案，先
ocr review --preview看會審哪些檔 - ☐ 正式跑一次
ocr review，用ocr viewer看報告 - ☐ 用上面的試算器抓一下你每月大概的 token 花費，決定要不要納入日常流程
常見問題（FAQ）
Open Code Review 要錢嗎？
工具本身開源免費（Apache-2.0）。但它要駁你自己的模型 API，實際花費來自你每次審查用掉的 token，這筆錢付給模型供應商，不是付給阿里。
它會把我的代碼上傳到阿里嗎？
不會。審查在你本地跑，代碼只會依你設定送去你指定的那個模型 API。要不要送雲端模型、送哪一家，由你決定。
它真的比 Claude Code 做審查好嗎？
就官方 benchmark 而言，同款模型下它 F1 分數高接近一倍、token 只用約 1/9、也更快。核心原因是它是「專用工具」，用工程流水線約束流程；Claude Code 是通用 agent，靈活但做審查較費。基準測試僅供參考，但方向合理。
完全不會寫程式，裝了有用嗎？
如果你會用 AI 生代碼（vibe coding），它能當你的品質把關，幫你抓 AI 寫錯而你看不出的問題。但它是命令列工具，需要一點終端機與 git 的基本操作；純粹只跟 AI 聊天、不碰代碼的人用不到。
支援哪些程式語言？
內建規則覆蓋 Java、Go、Python、TypeScript/JavaScript、Kotlin、C/C++ 等十多種，也針對 mapper.xml、pom.xml、package.json 這類設定檔有專門檢查。你還能自訂規則檔擴充。
結論：值不值得裝？
如果你會用 AI 寫代碼、又在意交付品質，這是一個近乎零成本就能裝上的安全網，尤其接案、做副業產品的人。它最聰明的地方不是模型多強，而是證明了一件事：AI 落地要好用，靠的往往不是把更多決定丟給模型，而是把該框死的流程框死、讓 AI 只在真正需要判斷的地方出手。省下來的是 token，換回來的是穩定。對照它 F1 高一倍、token 省九成的實測，這個取捨很划算。想少走彎路，照上面的行動清單先在一個小專案試一次，十分鐘就知道合不合你的工作流。
參考來源：alibaba/open-code-review 官方 GitHub（含 benchmark 與安裝文件）。
本文為工具介紹與教學，非投資建議，也不構成對任何產品的擔保。文中未使用任何返佣連結，工具與模型定價、功能請以官方公告為準（截至 2026 年 7 月）。使用第三方工具處理代碼前，請自行評估安全與合規。
同類工具延伸閱讀：其他開源的 coding agent 工具。
- Cline——VS Code 裡的開源 AI 編碼 agent，Claude Code 的替代選項。
- codex-plugin-cc——OpenAI 官方外掛，在 Claude Code 裡直接叫 Codex。
- codebase-memory-mcp——給 AI agent 裝程式碼記憶，同一件事省 99% token。
- Gemini CLI 與 Antigravity——Google 把免費的 Gemini CLI 收掉改推 Antigravity，差在哪。
發佈留言