1. 为什么要在 CI/CD 里做 Claude Code 代码审查Code Review 自动化这件事我一开始是拒绝的。原因很简单机器看不懂业务凭什么审我的代码直到有一次线上事故问题出在一个Objects.equals(status, SUCCESS)上——status传进来是null调用方期望的是SUCCESS.equals(status)。这种空指针风险人扫一眼 diff 很容易漏但机器不会累。Claude Code 做代码审查能做什么它擅长的是那些重复、枯燥、需要高度专注的一致性检查命名规范、异常处理模式、边界条件、硬编码密钥、已知反模式。它不擅长的是架构合理性、业务正确性、未来可扩展性——这些仍然需要人。所以定位很清楚Claude Code 是永远不会疲劳的第一道防线不是替代 reviewer。适合谁适合已经在用 GitHub Actions / GitLab CI想让 PR 审查更稳定、更少漏报的团队。如果你还在手动贴 diff 给模型这篇文章会给你一套可复制的流程从触发时机、审查范围到评论输出格式再到本地验证步骤。我试过直接把整个 diff 丢给 Claude结果它被无关的格式化改动带偏报了一堆空格和换行的问题。后来改成只关注逻辑变更误报率明显下降。下面把我迭代了几个月的流程拆开讲每一步都有可复制的配置。核心检索词先明确Claude Code 代码审查、CI/CD 自动化 Code Review、PR 评论输出规范。这三个词贯穿全文你照着做就能落地。2. TaoToken 前置准备Base URL、API Key 与模型 ID在把 Claude Code 接进 CI 之前得先有一个稳定的调用入口。我用的是 TaoToken它提供兼容 Anthropic 的 API 接口Claude Code 可以直接指向它。这一步不复杂但三个东西必须齐Base URL、API Key、Model ID。少一个都会在 CI 里报 401 或者 model not found。先说 Base URL。TaoToken 的 API 地址是https://taotoken.net/api注意这里不加任何 UTM 参数CI 里配置要干净。Claude Code 默认走 Anthropic 官方端点你需要通过环境变量把它指过来。具体是ANTHROPIC_BASE_URL值就是上面那个 API 地址。然后是 API Key。去 TaoToken 控制台的 API Keys 页面生成一个建议给 CI 单独建一个 key方便轮换和审计。生成后不要硬编码在 workflow 文件里放进 GitHub Secrets命名比如TAOTOKEN_API_KEY。本地验证时可以先 export 到环境变量确认能通再上 CI。Model ID 这块要注意。Claude Code 默认会用某个模型但你可以显式指定。在 CI 里我一般用claude-sonnet-4-20250514这类稳定的 ID避免默认值变动导致行为不一致。如果你不确定当前可用的模型 ID可以去模型对话页面发一条测试消息返回里会带上实际调用的模型名。三个东西凑齐后本地先跑一次最小验证export ANTHROPIC_BASE_URLhttps://taotoken.net/api export ANTHROPIC_API_KEY你的_TAOTOKEN_KEY claude -p 用一句话说明你能做什么如果返回正常说明链路通了。如果报 401检查 key 有没有多余空格如果报连接失败检查 Base URL 是不是写成了带路径的完整地址。这一步过了再往下做 CI 集成。提示CI 里不要用个人 key单独建一个项目级的权限最小化。轮换时只改 Secret不动 workflow 文件。3. 可复制配置GitHub Actions settings 片段这一节是重点直接给可复制的配置。我会分三块Claude Code 的 settings 片段、GitHub Actions workflow、以及审查 Prompt 模板。路径和原文保持一致你复制过去改改就能用。先说 Claude Code 的 settings。在项目根目录建.claude/settings.json内容如下{ env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_API_KEY: ${TAOTOKEN_API_KEY}, ANTHROPIC_MODEL: claude-sonnet-4-20250514 }, permissions: { allow: [Read, Grep, Glob], deny: [Write, Bash] } }这里permissions很关键。CI 里的审查任务只需要读代码不需要写文件或执行命令所以把Write和Bash禁掉降低风险。ANTHROPIC_API_KEY用${TAOTOKEN_API_KEY}占位实际值从环境变量注入。然后是 GitHub Actions workflow放在.github/workflows/claude-review.ymlname: Claude Code Review on: pull_request: types: [opened, synchronize, reopened] jobs: review: runs-on: ubuntu-latest permissions: contents: read pull-requests: write steps: - uses: actions/checkoutv4 with: fetch-depth: 0 - name: Setup Node uses: actions/setup-nodev4 with: node-version: 20 - name: Install Claude Code run: npm install -g anthropic-ai/claude-code - name: Run Review env: ANTHROPIC_BASE_URL: https://taotoken.net/api ANTHROPIC_API_KEY: ${{ secrets.TAOTOKEN_API_KEY }} ANTHROPIC_MODEL: claude-sonnet-4-20250514 run: | git diff origin/${{ github.base_ref }}...HEAD \ --ignore-all-space --ignore-blank-lines \ -- *.java *.ts *.py /tmp/diff.txt claude -p $(cat .claude/review-prompt.md) /tmp/diff.txt /tmp/review.md cat /tmp/review.md - name: Post Comment uses: actions/github-scriptv7 with: script: | const fs require(fs); const body fs.readFileSync(/tmp/review.md, utf8); await github.rest.issues.createComment({ owner: context.repo.owner, repo: context.repo.repo, issue_number: context.issue.number, body: body });注意几个细节。fetch-depth: 0是为了能拿到完整的 diff 历史。--ignore-all-space --ignore-blank-lines过滤掉纯格式变更这是踩过坑之后的经验。文件类型用*.java *.ts *.py限定避免审查无关文件。最后是审查 Prompt 模板放在.claude/review-prompt.md你是代码审查助手。请按以下规范审查 diff ## 审查层级 1. 致命问题阻塞空指针、资源未释放、线程安全、硬编码密钥 2. 规范问题建议命名、魔法数字、日志级别、异常捕获过宽 3. 可维护性优化重复代码、过长方法、复杂条件 ## 输出格式 ## 审查摘要 - 变更范围X 个文件A/-D 行 - 发现总数N致命 X规范 Y优化 Z ## 致命问题 无则写无 ## 规范问题 ### [P1] 问题标题 - 文件路径:行号 - 问题具体描述 - 建议修改方案 ## 优化建议 ### [P3] 问题标题 ... ## 约束 - 只报告对代码质量有实质影响的问题 - 方法超过 50 行才建议拆分 - 重复代码出现 3 次以上才报告 - 忽略纯格式变更这套配置跑下来PR 创建或更新时会自动触发审查结果以评论形式贴回 PR。reviewer 打开 PR 就能看到结构化的问题列表按严重级别排序。4. 验证请求与成功结果本地跑通再上 CI配置写完了别急着 push。先在本地把整条链路跑通确认输出格式符合预期再上 CI。这样能省掉大量「push 了等 CI 跑完发现格式不对」的时间。本地验证分三步。第一步确认 Claude Code 能读到 settings。在项目根目录执行claude config list应该能看到ANTHROPIC_BASE_URL指向https://taotoken.net/api模型 ID 也对。如果这里显示的还是官方地址说明 settings.json 路径不对检查是不是放在了.claude/settings.json。第二步模拟 CI 的 diff 提取。假设你在一个 feature 分支上目标分支是 maingit diff origin/main...HEAD --ignore-all-space --ignore-blank-lines -- *.java /tmp/diff.txt wc -l /tmp/diff.txt确认 diff 内容是你想要的逻辑变更没有混入格式化改动。如果行数特别大说明过滤没生效检查--ignore-all-space参数位置。第三步跑审查并检查输出claude -p $(cat .claude/review-prompt.md) /tmp/diff.txt /tmp/review.md cat /tmp/review.md成功的结果应该长这样## 审查摘要 - 变更范围3 个文件120/-45 行 - 发现总数7致命 0规范 4优化 3 ## 致命问题 无 ## 规范问题 ### [P1] 异常处理过于宽泛 - 文件src/main/java/com/example/PaymentService.java:45 - 问题catch (Exception e) 捕获了所有异常 - 建议改为捕获具体异常类型如 IOException、TimeoutException ## 优化建议 ### [P3] 魔法数字 - 文件src/main/java/com/example/OrderService.java:78 - 问题直接使用 86400000 表示一天的毫秒数 - 建议定义为常量 ONE_DAY_MS 24 * 60 * 60 * 1000L看到这个格式说明 Prompt 模板生效了。如果输出是一大段没有结构的文字检查 Prompt 里的「输出格式」部分有没有被正确读取。如果致命问题里报了一堆误报检查约束条件是不是写得太松。本地跑通后把改动 push 上去观察 CI 里的评论是否和本地一致。第一次可能会慢一点因为要装 Claude Code。后续有缓存会快很多。注意CI 里的 diff 提取用的是origin/${{ github.base_ref }}本地验证时对应origin/main。如果你的默认分支不叫 main记得替换。5. 常见报错排查401、local proxy failed、reading choices这一节对照真实报错把踩过的坑列出来。你遇到问题时先在这里找对应条目。401 Unauthorized。最常见的原因是 API Key 没注入或有多余字符。检查 GitHub Secrets 里的TAOTOKEN_API_KEY是不是复制时带了换行或空格。另一个原因是 Base URL 写错了比如写成了https://taotoken.net/api/带尾斜杠或者写成了官网地址。正确值是https://taotoken.net/api不带尾斜杠。local proxy failed。这个报错通常出现在 Claude Code 尝试走本地代理但连不上时。CI 环境里不应该有任何代理配置检查 workflow 里有没有残留的HTTP_PROXY/HTTPS_PROXY环境变量。如果有删掉。另外确认ANTHROPIC_BASE_URL是直连地址不是某个中间层。reading choices 相关报错。这类报错一般是响应格式不符合预期常见于模型 ID 写错或接口不兼容。检查ANTHROPIC_MODEL是不是当前可用的 ID。如果拿不准去模型对话页面发一条消息看返回里实际用的模型名是什么照着填。OAuth 相关报错。Claude Code 某些版本会尝试 OAuth 流程但 CI 里应该用 API Key 模式。如果看到 OAuth 报错检查是不是漏了ANTHROPIC_API_KEY导致它 fallback 到 OAuth。补上 key 即可。输出为空或只有摘要没有详情。这通常是 diff 太大超出了上下文窗口。解决方案是分批审查先按文件列表拆分每个文件单独跑一次最后汇总。或者只审查关键路径上的文件工具类和配置文件只做第一层检查。误报太多。在项目根目录放一个.claude-review-rules文件定义豁免规则# 文件路径匹配模式: 规则ID src/main/java/com/example/framework/.*: AVOID_BROAD_CATCH src/test/.*: ALLClaude Code 审查时会读取这个文件跳过匹配的规则。这样能压掉大部分「故意为之」的误报。CC Switch / Cline MCP / Codex auth.json 场景。如果你在用这些工具配置三件套的逻辑是一样的Base URL 填https://taotoken.net/apiKey 填 TaoToken 生成的 keyModel ID 填可用模型。CC Switch 里对应的是自定义端点配置Cline MCP 里对应的是 provider 设置Codex 的auth.json里对应的是api_base和api_key字段。三件套齐了就能通。排查顺序建议先看 401再看连接最后看输出格式。大部分问题出在前两步。6. 把审查结果稳定接入协作流程配置跑通、报错排查完之后最后一步是让它稳定融入团队的协作流程。这一步不是技术问题是流程问题。触发时机上我建议只在opened、synchronize、reopened三个事件触发。不要在每次 push 都跑否则评论会刷屏。synchronize已经覆盖了 PR 更新时的场景。审查范围上按文件类型限定。Java、TypeScript、Python 这些逻辑代码全量审查配置文件、文档、测试资源只做第一层检查。这样既保证覆盖又控制成本。输出规范上坚持结构化格式。reviewer 打开 PR 先看摘要致命问题为空就直接看规范问题时间紧就只看 P1。我见过最糟糕的自动化审查把所有问题都标成「严重」结果没人看。反馈闭环上每两周花半小时回顾审查日志。reviewer 发现漏报或误报记录下来更新 Prompt 模板。漏报的类型加到检查项里误报的类型加到豁免规则里。这样系统会越用越准。团队接受度上先小范围试点。让愿意尝试的团队先用用数据说话。自动化审查后线上 bug 率和 review 时间的变化比任何说服都有效。最后提醒一点不要追求 100% 覆盖率。Claude Code 的目标是发现 80% 的常见问题剩下 20% 需要人补。把机器用在重复检查上把人的精力留给架构和业务逻辑。如果你还没开始先去 API Keys 页面生成一个 key然后照着第 3 节的配置复制到项目里。本地跑通第 4 节的验证步骤再上 CI。遇到报错回第 5 节对照排查。整套流程走一遍你就有了一条稳定的自动化审查链路。