Code review med AI

Hvad er code review med AI?

Code review med AI er brugen af AI-modeller til at gennemgå kildekode, typisk som del af et pull request workflow. AI’en analyserer ændringerne, identificerer potentielle problemer og foreslår forbedringer, ligesom en menneskelig reviewer ville gøre.

Læs om review som en del af arbejdet i guiden til compound engineering. Her hænger gennemgang og næste opgave sammen.

Traditionel code review er afgørende for softwarekvalitet: en anden udvikler læser din kode, spotter fejl og foreslår forbedringer. Men det er tidskrævende og afhængigt af reviewerens tilgængelighed og ekspertise. AI code review tilføjer et lag af automatisk, konsistent og øjeblikkelig review der komplementerer den menneskelige gennemgang.

Hvad kan AI finde?

1. Bugs og logiske fejl. Off-by-one errors, null pointer dereferences, race conditions, uendelige loops og forkerte betingelser.
2. Sikkerhedssårbarheder. SQL injection, XSS (cross-site scripting), hardcoded credentials, usikker kryptografi, manglende input-validering.
3. Performance-problemer. N+1 database-queries, unødvendige genberegninger, manglende caching, ineffektive algoritmer og memory leaks.
4. Stilinkonsistenser. Navngivning der afviger fra projektets konventioner, inkonsistent formattering, manglende typer og overflødige kommentarer.
5. Arkitekturproblemer. Cirkulære afhængigheder, brud på design patterns, for tæt kobling mellem moduler og SRP-brud (Single Responsibility Principle).
6. Manglende tests. Kode uden tilhørende tests, manglende edge case coverage og utilstrækkelig assertions.

Hvordan fungerer det?

1. Pull request integration. AI’en aktiveres automatisk når et pull request oprettes. Den analyserer diff’en (de ændrede linjer) i konteksten af den omkringliggende kode.
2. Kontekstanalyse. Avancerede systemer forstår ikke bare den ændrede kode men hele repositoriets struktur, konventioner og historik.
3. Kommentargenerering. AI’en poster kommentarer direkte på de relevante linjer i pull requestet, ligesom en menneskelig reviewer.
4. Prioritering. Gode AI-reviewers skelner mellem kritiske problemer (bugs, sikkerhed) og forslag (stil, refactoring) og prioriterer derefter.

Værktøjer til AI code review

1. GitHub Copilot Code Review. Integreret direkte i GitHub PR-workflows. Analyserer ændringer og poster inline kommentarer.
2. Claude Code. Kan bruges til manuelt at reviewe kode via terminalen. Forstår kontekst på tværs af hele projektet.
3. CodeRabbit. Automatisk AI-review af pull requests med detaljerede kommentarer, resumé og forbedringsforslag.
4. Sourcery. Fokuseret på Python-kode med automatiske refactoring-forslag.
5. Custom CI-integration. Mange teams bygger egne AI code review pipelines der kører som del af CI/CD med skræddersyede prompts og regler.

AI code review i praksis

1. Pre-review screening. AI gennemgår PR’et før den menneskelige reviewer ser det. Udvikleren fikser trivielle problemer, så den menneskelige reviewer kan fokusere på arkitektur og logik.
2. Konsistenshåndhævelse. AI’en sikrer at kodestandarder overholdes konsistent. Det er svært for menneskelige reviewers der har forskellige præferencer.
3. Uddannelse. Junior-udviklere lærer af AI’ens kommentarer. AI’en forklarer hvorfor en bestemt tilgang er problematisk og foreslår alternativer.
4. Hastighed. AI code review sker på sekunder. Menneskelig review kan tage timer eller dage. AI’en reducerer ventetiden og holder udviklingsflowet i gang.
5. 24/7 tilgængelighed. AI’en reviewer kode uanset tidszoner, ferier og møder. Der er altid en reviewer tilgængelig.

Fordele og begrænsninger

Fordele

1. Konsistens. AI’en anvender de samme regler hver gang. Den har ikke dårlige dage eller blind spots.
2. Hastighed. Øjeblikkelig feedback i stedet for at vente på en menneskelig reviewer.
3. Bredde. AI’en kan checke for hundredvis af potentielle problemer samtidig. Mere end nogen menneske kan holde i hovedet.
4. Skalerbarhed. Virker lige godt for ét PR om ugen eller hundrede om dagen.

Begrænsninger

1. Kontekstforståelse. AI’en forstår kode men mangler dyb forretningsforståelse. Den ved ikke hvorfor en beslutning er truffet.
2. Falske positiver. AI’en kan flagge kode der faktisk er korrekt, og over tid kan udviklere begynde at ignorere kommentarerne.
3. Arkitektonisk blindhed. AI’en er god til at spotte lokale problemer men svagere til at vurdere overordnet systemdesign og arkitektoniske beslutninger.
4. Manglende domæneviden. AI’en kender ikke din virksomheds specifikke regler, compliance-krav eller forretningslogik.

Menneske + AI review

Den mest effektive tilgang kombinerer AI og menneskelig review:

1. AI first pass. AI’en fanger trivielle problemer: stil, syntaks, kendte anti-patterns, sikkerhedsrisici.
2. Udvikler fikser. Udvikleren adresserer AI’ens kommentarer og opdaterer PR’et.
3. Menneskelig review. Den menneskelige reviewer fokuserer på det AI’en ikke kan: forretningslogik, arkitektoniske implikationer, vedligeholdbarhed og “giver dette mening i vores kontekst?”