[[389027]]

【51CTO.com快譯】眾所周知，代碼審查不但可以提高代碼庫的質量，而且能夠避免開發人員將程序中的錯誤和問題傳遞給其他團隊成員。不過，手動執行代碼審查既費時又費力。這就是為什么許多開發團隊會使用自動化工具，來完成此項工作的原因。

通過自動化流程，此類代碼審查工具可以提高代碼的質量，節省寶貴的開發時間，并且讓開發人員更專注于構建應用，而不必反復地檢查代碼。此外，作為靜態分析和單元測試框架，自動化代碼審查工具不但能夠滿足業務所需的速度和敏捷性，還可以提供更快的反饋、更好的代碼質量、以及更少的產品轉化時間。

通過長時間的迭代，目前自動化的代碼審查工具不但高效、準確，而且可以實現自定義。下面，我將和您一起探討目前五種優秀的自動化代碼審查工具，并且通過對比每一種工具的優缺點，以方便您在實際項目中做出適合的選擇。

1.CodeBeat

CodeBeat是一種流行的代碼審查工具，它可以提供自動化的代碼審查與反饋。在從1到4級的通用等級代碼審查標準中，它屬于第4級工具。CodeBeat支持諸如Python、Ruby、Java、Javascript、Golang、以及Swift等多種語言。

通過提供團隊管理工具，CodeBeat可以輕松地分析代碼，并在團隊中出現開發人員調整時，保持代碼的一致性。由于能夠與Github、Gitlab、Bitbucket、Slack和Hipchat等許多流行工具相集成，因此開發人員和軟件團隊都可以在項目中協同使用CodeBeat。

CodeBeat的優勢包括：

• 提供帶有項目審查的集成式儀表板
• 可對發現的問題按照復雜性、重復性、以及代碼層面的分類
• 提供對于目標項目中的電子郵件地址更新，并能持續檢查拉取請求的代碼質量
• 提供即時的反饋，并能以“快贏(quick wins)”的方式，來提高代碼庫的質量
• 所需的設置最少，并易于集成與使用

CodeBeat的缺點包括：

• 缺乏安全性分析
• 缺乏對開源工具和linter工具的支持

總的說來，CodeBeat不但完全免費開源，而且能夠為大型團隊提供企業級支持，以識別那些復雜、且可能重復的代碼。

2.DeepSource

DeepSource可以針對各種流行的通用編程語言，提供自動化的代碼分析。目前，它能夠支持Python、Javascript、Golang、Ruby、以及Java等語言。憑借著單文件配置，DeepSource能夠讓針對每一次提交和拉取請求的持續分析，變得更加容易。

DeepSource可以檢查各種性能問題、類型問題、樣式問題、文檔問題、缺陷風險、以及各種反模式。通過明確定義待現實的目標，它可以讓開發人員和維護人員管理其代碼庫，并簡化代碼的審查過程。

DeepSource的優勢包括：

• 單文件配置，可用于自動化代碼分析
• 可與Travis CI和Circle CI等持續集成管道相整合
• 支持black、rubocop和gofmt等代碼格式化程序
• 提供橫跨代碼庫的常見問題自動化修復
• 提供針對每個問題和拉取式請求的分析

DeepSource的缺點包括：

• 缺乏針對PHP、C++和Rust的支持
• 缺乏對于Azure DevOps的支持

總的說來，DeepSource不但完全免費開源，而且能夠為大型團隊提供企業級支持。其分析器不但可以工作在文件級和存儲庫級，并且能夠提供比其他分析器和代碼查看工具更低的誤報率。

3.CodeClimate

CodeClimate旨在通過提供從提交到部署(commit-to-deploy)的可見性，以提高團隊的工作效率。其工程智能化(Engineering Intelligence)可以在“速度”上簡化持續交付;并在“質量”上為每一個提交和提取式請求，提供自動化的代碼審查。

CodeClimate可以根據各種參數(包括代碼重復率、代碼風格等)，提供從A到F的可維護性評分等級，并能夠方便用戶根據測試覆蓋率、或技術債的變化，來確定瓶頸與發展趨勢。

CodeClimate的優勢包括：

• 能夠借助自動化的Git更新，來簡化安裝
• 在代碼庫中識別出各個“熱點”，以標記需要重構的部分
• 通過提供安全儀表板，來識別應用程序中的漏洞
• 提供可在本地用于自動化代碼審查的API
• 可通過郵件和RSS反饋，來提供警報和實例的通知
• 能與VS Code和Atom等集成開發環境(IDE)相整合
• 可通過名為“cc-test-reporter”的軟件庫，來測試覆蓋率

CodeClimate的缺點包括：

• 缺乏對于問題的描述、搜索、以及過濾
• 缺乏可定制能力，且售價較高
• 由于無法提供用于識別核心復雜性(例如文件長度和復雜度)的規則，因此其誤報率比較高

4.Codacy

Codacy是個人開發者和軟件開發團隊最常用的自動化代碼審查工具之一。它能夠支持包括Python、Java、Javascript、C/C++、Ruby、以及Golang在內的各種通用編程語言。Codacy可以對代碼的復雜性、易錯點(error-prone)、安全性、代碼樣式、兼容性、文檔和性能等問題進行審查。

Codacy的優勢包括：

• 通過最小化安裝，來實現自動化的代碼檢查
• 能夠與包括GitHub、GitLab、GitHub Actions、CircleCI等服務相集成
• 通過協助定義項目的特定目標，來提供實現目標的建議
• 可分析拉取式請求、以及單獨的提交
• 可通過濾除各種“噪點”和重復性，來專注于新出現的問題
• 提供了易用且直觀的用戶界面，可協助開發人員輕松地管理其代碼
• 允許開發人員保存完整的代碼質量，以及對代碼的純凈度進行審查

Codacy的缺點包括：

• 缺乏對于問題的搜索能力(個別過濾器除外)
• 缺乏對于導出代碼模式提供支持

5.Veracode

Veracode可被用于代碼審查、自動化測試、以及提高代碼庫的效率。它支持包括Python、Java、Javascript、以及Golang在內的多種通用編程語言。Veracode能夠提供兩種代碼檢查工具：靜態分析和軟件組成分析。其中，靜態分析工具可以方便開發人員找到各種錯誤和反模式，并在代碼投入生產環境之前進行修復。而軟件組成分析則可以在代碼庫中，使用第三方程序包來識別漏洞。

Veracode的優勢包括：

• 易于配置和快速上手
• 提供二進制掃描，以減少對于代碼的誤報
• 可指出代碼中的真實漏洞，并提出解決方案
• 提供可自定義的儀表板，并帶有直觀、友好的用戶界面

Veracode的缺點包括：

• 缺乏可定制的分析規則
• 用戶使用體驗欠佳

總的說來，由Veracode提供的代碼分析平臺可方便開發人員查看、分析和修復代碼中的安全漏洞。同時，通過與SDLC的集成，Veracode還可以協助開發人員驗證目標代碼是否符合OWASP Top 10，以及其他實踐標準。

原文標題：Automated Code Review Tools for Developers in 2021，作者: Saif Sadiq

【51CTO譯稿，合作站點轉載請注明原文譯者和出處為51CTO.com】