代码审查为什么离不开 CI/CD？从人工把关到自动化守门的完整指南

PR 创建/更新
     │
     ▼
┌─────────────────────────────────────┐
│           CI 自动检查层              │
│                                     │
│  ✅ 代码风格（ESLint/Prettier）      │
│  ✅ 类型检查（TypeScript/mypy）      │
│  ✅ 单元测试（Jest/pytest）          │
│  ✅ 测试覆盖率阈值                   │
│  ✅ 构建成功                         │
│  ✅ 安全漏洞扫描（npm audit）        │
│  ✅ 依赖许可证检查                   │
│  ✅ 代码复杂度分析                   │
└─────────────────────────────────────┘
     │
     ▼ CI 全部通过后
┌─────────────────────────────────────┐
│           人工审查层                 │
│                                     │
│  👤 业务逻辑是否正确？               │
│  👤 设计是否合理？                   │
│  👤 是否有更好的实现方式？            │
│  👤 是否符合产品需求？               │
│  👤 是否有潜在的架构问题？            │
└─────────────────────────────────────┘
     │
     ▼
   合并主分支

Repository Settings
└── Branches
    └── Branch protection rules
        └── main
            ├── ✅ Require status checks to pass before merging
            │   ├── ci/lint
            │   ├── ci/test
            │   ├── ci/build
            │   └── ci/security-scan
            ├── ✅ Require branches to be up to date before merging
            ├── ✅ Require pull request reviews before merging
            │   └── Required approving reviews: 2
            └── ✅ Restrict who can push to matching branches

# .github/workflows/quality.yml
name: Code Quality

on: [pull_request]

jobs:
  sonarcloud:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0   # 需要完整历史用于分析

      - name: 运行测试并生成覆盖率
        run: npm test -- --coverage --coverageReporters=lcov

      - name: SonarCloud 扫描
        uses: SonarSource/sonarcloud-github-action@master
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          SONAR_TOKEN: ${{ secrets.SONAR_TOKEN }}

PR #42: feat/new-checkout-flow
├── CI 检查: ✅ 全部通过
├── 预览环境: https://pr-42.preview.myapp.com  ← 自动生成
└── 审查者可以直接点击链接，在真实环境中验证功能

# .github/workflows/preview.yml
name: Deploy Preview

on:
  pull_request:
    types: [opened, synchronize]

jobs:
  deploy-preview:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: 构建项目
        run: npm run build

      - name: 部署到预览环境
        id: deploy
        run: |
          # 使用 PR 号作为子域名
          PREVIEW_URL="https://pr-${{ github.event.number }}.preview.example.com"
          ./scripts/deploy-preview.sh ${{ github.event.number }}
          echo "url=$PREVIEW_URL" >> $GITHUB_OUTPUT

      - name: 在 PR 发布评论
        uses: actions/github-script@v7
        with:
          script: |
            github.rest.issues.createComment({
              issue_number: context.issue.number,
              owner: context.repo.owner,
              repo: context.repo.repo,
              body: `## 🚀 预览环境已就绪\n\n访问地址：${{ steps.deploy.outputs.url }}\n\n> 此预览环境将在 PR 关闭后自动销毁`
            })

# .github/workflows/security.yml
name: Security Scan

on: [pull_request]

jobs:
  dependency-audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: npm 依赖漏洞扫描
        run: npm audit --audit-level=high

      - name: SAST 静态应用安全测试
        uses: github/codeql-action/analyze@v3
        with:
          languages: javascript, typescript

      - name: 密钥泄露检测
        uses: trufflesecurity/trufflehog@main
        with:
          path: ./
          base: ${{ github.event.repository.default_branch }}
          head: HEAD

      - name: Docker 镜像漏洞扫描
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: myapp:${{ github.sha }}
          format: sarif
          output: trivy-results.sarif

      - name: 上传安全报告
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: trivy-results.sarif

# .github/workflows/benchmark.yml
name: Performance Benchmark

on: [pull_request]

jobs:
  benchmark:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: 运行基准测试
        run: npm run benchmark -- --output benchmark-results.json

      - name: 对比基准（与 main 分支比较）
        uses: benchmark-action/github-action-benchmark@v1
        with:
          tool: 'jest'
          output-file-path: benchmark-results.json
          github-token: ${{ secrets.GITHUB_TOKEN }}
          alert-threshold: '130%'         # 性能下降超过 30% 时告警
          comment-on-alert: true          # 在 PR 上评论告警
          fail-on-alert: true             # 性能回退则 CI 失败

1. 开发者在 feature 分支完成开发
          │
          ▼
2. 本地运行 pre-commit hooks（快速检查）
   - 代码格式化
   - 简单 lint
   - 提交信息格式验证
          │
          ▼
3. 推送分支，创建 PR（草稿状态）
          │
          ▼
4. CI 自动触发（完整检查）
   - 全量测试
   - 构建验证
   - 安全扫描
   - 预览环境部署
          │
          ▼
5. CI 全部通过 → PR 标记为「Ready for Review」
          │
          ▼
6. 自动指派审查者（CODEOWNERS 规则）
          │
          ▼
7. 人工审查（专注于逻辑和设计）
          │
          ▼
8. 审查通过 + CI 通过 → 允许合并
          │
          ▼
9. 合并到 main → 触发 CD 流水线
          │
          ▼
10. 自动部署到生产 / 等待人工审批发布

# .github/CODEOWNERS

# 默认：所有文件需要核心团队审查
*                    @org/core-team

# 前端代码：前端团队
/src/components/     @org/frontend-team
/src/pages/          @org/frontend-team

# 后端 API：后端团队
/src/api/            @org/backend-team
/src/services/       @org/backend-team

# 数据库 migration：DBA 必须审查
/migrations/         @org/dba-team

# CI/CD 配置：DevOps 团队
/.github/            @org/devops-team
/Dockerfile          @org/devops-team
/docker-compose.yml  @org/devops-team

# 安全相关：安全团队
/src/auth/           @org/security-team
/src/crypto/         @org/security-team

┌──────────────────────────────────────┐
│ Pre-commit（本地，毫秒级）            │
│  - 代码格式化（Prettier/Black）       │
│  - 基础 Lint 错误                    │
│  - Commit message 格式               │
└──────────────────────────────────────┘
              │ git push
              ▼
┌──────────────────────────────────────┐
│ CI - 快速检查 Job（2分钟内）          │
│  - 完整 Lint + 类型检查              │
│  - 单元测试（不含集成测试）           │
└──────────────────────────────────────┘
              │ 并行
              ▼
┌──────────────────────────────────────┐
│ CI - 完整检查 Job（5-15分钟）         │
│  - 集成测试                          │
│  - E2E 测试                          │
│  - 构建 + 安全扫描                   │
│  - 预览环境部署                      │
└──────────────────────────────────────┘

# .pre-commit-config.yaml
repos:
  - repo: https://github.com/pre-commit/pre-commit-hooks
    rev: v4.5.0
    hooks:
      - id: trailing-whitespace
      - id: end-of-file-fixer
      - id: check-yaml
      - id: check-json
      - id: check-merge-conflict

  - repo: https://github.com/pre-commit/mirrors-eslint
    rev: v8.57.0
    hooks:
      - id: eslint
        files: \.[jt]sx?$
        args: ['--fix']

  - repo: https://github.com/pre-commit/mirrors-prettier
    rev: v3.1.0
    hooks:
      - id: prettier
        files: \.(js|ts|jsx|tsx|css|md|json|yaml)$

  - repo: https://github.com/commitizen-tools/commitizen
    rev: v3.13.0
    hooks:
      - id: commitizen

平均 PR 审查时间：45 分钟
其中：
  - 审查者本地拉取代码运行：10 分钟
  - 人工检查格式问题：8 分钟
  - 测试是否跑过（靠作者自觉）：无法保证
  - 实际逻辑审查：27 分钟

每周因审查遗漏导致的 Bug：3-4 个
生产事故（由合并引入）：每月 2-3 次
审查积压（>24小时未审查的 PR）：日常

平均 PR 审查时间：22 分钟
其中：
  - 等待 CI 结果（并行，不占审查者时间）：6 分钟
  - 浏览 CI 报告（覆盖率、质量分）：2 分钟
  - 实际逻辑审查：20 分钟（质量更高）

每周因审查遗漏导致的 Bug：0-1 个
生产事故：每季度 0-1 次
审查积压：几乎消除（CI 不通过不需要人审）

第一层：CI 自动化检查（规则驱动）
      ↓ 通过后
第二层：AI 代码审查（语义理解）
  - 分析逻辑潜在问题
  - 提出改进建议
  - 检测常见反模式
      ↓ AI 无异议后
第三层：人工审查（上下文理解）
  - 业务合理性
  - 架构决策
  - 团队知识共享

# .coderabbit.yaml
language: "zh-CN"
reviews:
  profile: "chill"
  request_changes_workflow: false
  high_level_summary: true
  poem: false
  review_status: true
  auto_review:
    enabled: true
    drafts: false
    base_branches:
      - main
      - develop
chat:
  auto_reply: true

jobs:
  test:
    strategy:
      matrix:
        shard: [1, 2, 3, 4]   # 4 个并行分片
    steps:
      - run: npm test -- --shard=${{ matrix.shard }}/4

- uses: actions/cache@v4
  with:
    path: ~/.npm
    key: ${{ runner.os }}-npm-${{ hashFiles('**/package-lock.json') }}

- name: 检测变更模块
  id: changes
  uses: dorny/paths-filter@v3
  with:
    filters: |
      frontend:
        - 'packages/frontend/**'
      backend:
        - 'packages/backend/**'

- name: 只测试变更的模块
  if: steps.changes.outputs.frontend == 'true'
  run: npm run test --workspace=packages/frontend