（3683期）Open Code Review – AI 代码幻觉与安全漏洞专项扫描

AI 代码幻觉与安全漏洞专项扫描 AI 代码安全扫描器，专查幻觉包名、过期 API、安全反模式，填补传统 linter 无法覆盖的 AI 代码缺陷盲区。 使用说明 核心功能 Open Code Review 是一款针对 AI 生成代码的专项质量扫描工具，定位填补传统 linter（ESLint、SonarQube、Checkstyle）无法检测的 AI 特有缺陷。其核心能力包括： 幻觉包检测：识别不存在的 npm/依赖包（如 fast-json-utils 虚构包） 过期 API 扫描：检测已被移除或弃用的 API 调用 上下文断裂：发现跨文件同名函数签名不一致问题 安全反模式：硬编码密钥、废弃加密算法、不安全默认配置 过度工程识别：冗余抽象层、死代码、过度间接调用 三层扫描架构 | 层级 | 技术 | 耗时 | 是否需要 AI ||:---|:---|:---|:---|| L1 | AST 结构分析 | ~3 秒 | 否 || L2 | L1 + 向量嵌入召回 | 中等 | 部分 || L3 | L2 + LLM 深度语义理解 | 较长 | 是 | 显著优点 精准定位 AI 代码缺陷：传统工具无法识别的"看起来对但实际错"的 AI 幻觉问题 CI/CD 原生集成：支持 diff 模式、SARIF 输出、GitHub Action 一键接入 MCP 协议支持：可作为 Cursor、Claude Desktop 等工具的 MCP server 调用 多语言覆盖：TypeScript、JavaScript、Python、Java、Go、Kotlin 潜在局限 BSL 1.1 商业许可：个人免费，团队需订阅，存在潜在成本 L2/L3 依赖外部 AI：需要 Ollama 本地部署或 API 密钥，增加配置复杂度 新兴项目，生态待验证：GitHub 星标和社区成熟度不及 SonarQube 等老牌工具 误报风险：向量相似度检测可能出现边界误判 适合人群 频繁使用 Copilot/Cursor/Claude 辅助编程的开发者 需要为 AI 生成代码建立预合并质量门禁的 Tech Lead 审查第三方 AI 生成代码的安全/架构团队 希望将 AI 代码审计纳入 DevSecOps 流程的工程师 常规风险提示 ⚠️ 该工具不替代传统 linter，而是补充其盲区 ⚠️ L3 级扫描涉及代码外传至 LLM，敏感代码需谨慎评估数据出境/隐私合规 ⚠️ MCP server URL 使用 Cloudflare Workers 托管，需评估网络可达性与服务稳定性 ⚠️ 许可模式为 BSL（Business Source License），长期开源策略存在不确定性 原始说明 Scan AI-generated code for hallucinated packages, stale APIs, security anti-patterns, and over-engineering. Use when: (1) reviewing PRs with AI-generated cod...