Skill OpenQodex 给AI编程代理做独立代码审查

AI 编程代理写得飞快，但谁来替你把关？让同一个代理审自己写的代码，等于让考生批改自己的卷子。OpenQodex 的思路是“独立审查员”：它在 Claude Code、Codex、Cursor、Cline 之外单独跑一个审查器，你每推一次改动，它先用静态分析、密钥扫描、SAST 把明显问题揪出来，再决定要不要放行，整个过程不需要你再开一个账号、也不碰你的模型 Key。

项目基本信息

一、项目介绍

OpenQodex 是一个以“技能（skill）”形式分发的代码审查器，专门配合各类编码代理使用。它不依赖自己的账号体系，而是作为一个独立环节插在代理的工作流里：代理写完代码、准备推送之前，OpenQodex 先跑一轮扫描，把安全问题、密钥泄露、明显坏味道挡在门外。它既能作为 pre-commit 钩子，也能在 GitHub Actions 里跑。

二、核心优势

• 独立把关：审查器和写代码的代理分离，避免“自己审自己”。
• 零账号：不需要注册 OpenQodex 账号，也不索取你的模型 Key。
• 多代理适配：Claude Code、Codex、Cursor、Cline 都支持。
• 可扩展扫描：内置扫描器不够用时，能直接挂 GitHub 上的开源规则。

三、适用场景

适合已经把编码代理接进日常开发的团队：想给自动生成的代码加一道安全闸门，又不想再采购一套 SaaS 审查服务。对个人开发者，也能当作本地 pre-commit 的轻量 SAST。

四、安装教程

npx openqodex init
# 针对指定宿主初始化，例如 Claude Code
npx -y openqodex@0.16.0 init --yes --agent claude

常见报错：提示找不到代理配置 -> 确认 --agent 参数与已安装的代理名一致；扫描器拉取失败 -> 检查网络是否能访问 GitHub 以获取社区规则。

五、使用示例

在配置里挂一个社区 SAST 规则：

scanners:
  custom:
    - source: https://github.com/Bearer/bearer
      run: bearer scan {target} --format sarif --output {report} --quiet --disable-version-check
      target: repo

配置后，代理每次改动都会先经过这条规则，产出 SARIF 报告。

六、常见问题

Q：它和 Kodus 有什么不同？ A：OpenQodex 偏“代理旁的轻量审查器”，Kodus 偏“自托管审查服务”。
Q：会误伤吗？ A：默认只报高置信度问题，可在配置里放宽或收紧。
Q：支持私有规则吗？ A：支持，照上面格式挂自己的仓库即可。

七、总结

把 OpenQodex 接在编码代理后面，等于给自动写代码的过程加了一个不偏不倚的守门人。低成本、零账号，却能挡掉大部分低级安全事故。