AI có thể hỗ trợ kiểm tra mã nguồn bằng cách phát hiện vấn đề tiềm ẩn trong diff, đề xuất các bài test và nêu ra các rủi ro bảo mật. Mỗi nhận xét từ AI là một giả thuyết cần được kiểm chứng qua repository, test và người kiểm tra. Người có thẩm quyền vẫn quyết định việc sửa lỗi, phê duyệt hoặc hợp nhất pull request. AI chỉ bổ sung góc nhìn, trong khi người kiểm tra vẫn xác minh và quyết định hợp nhất.
Mục lục
- AI nên và không nên làm gì?
- Rà soát theo rủi ro thay đổi
- Bảng loại nhận xét và cách xác minh
- Quy trình code review bằng AI
- Ví dụ về thay đổi kiểm tra quyền
- Bảo mật, dữ liệu và false positive
- Câu hỏi thường gặp
AI nên và không nên làm gì?
Quá trình kiểm tra mã nguồn nhằm tìm lỗi, hiểu tác động và duy trì chất lượng hệ thống. AI có thể đọc diff, đối chiếu quy ước, gợi ý test và nêu khả năng thiếu xử lý trường hợp biên. Công cụ hữu ích nhất khi repository có hướng dẫn, thay đổi nhỏ và người kiểm tra có thể xác minh từng nhận xét. AI không biết toàn bộ ý định sản phẩm nếu không được cung cấp thông tin đầy đủ. GitHub Docs mô tả Copilot code review như một cách nhận feedback và đề xuất thay đổi trong pull request, nhưng nhấn mạnh người dùng phải đọc nhận xét và chỉ áp dụng khi hiểu rõ thay đổi.
Rà soát theo rủi ro của thay đổi
Không phải pull request nào cũng cần được kiểm tra sâu sắc. Đối với thay đổi tài liệu, cần kiểm tra tính chính xác và đường dẫn. Đối với sửa business logic, cần đọc điều kiện đầu vào, đầu ra và hành vi lỗi. Đối với xác thực, quyền truy cập hay dữ liệu cá nhân, cần có người kiểm tra chuyên môn và test bao phủ; không nên phụ thuộc vào AI để kết luận “an toàn”.
Bảng loại nhận xét và cách xác minh
- Loại nhận xét AI
- Lỗi logic: Yêu cầu bằng chứng từ input và nhánh cụ thể dẫn đến sai output.
- Thiếu test: Hành vi chưa được test và rủi ro tương ứng.
- Bảo mật: Luồng dữ liệu, trust boundary, quyền hoặc exploit path.
- Hiệu năng: Độ phức tạp, số lượng truy vấn hoặc dữ liệu lớn gây vấn đề.
- Style/maintainability: Convention repo hoặc khả năng đọc bị ảnh hưởng.
Phân loại nhận xét giúp ưu tiên bằng chứng thay vì số lượng comment.
Quy trình code review bằng AI
Giữ diff gọn: một PR một mục tiêu; tách refactor lớn khỏi đổi hành vi khi có thể. Viết phần mô tả nêu rõ vấn đề, cách giải quyết, rủi ro, hướng dẫn test và quyết định thiết kế.