Đánh giá pull request trên GitHub bằng Codex

Sử dụng tính năng đánh giá mã của Codex để có thêm một lượt đánh giá chất lượng cao cho các pull request trên GitHub. Codex đánh giá phần diff của pull request, tuân theo hướng dẫn của kho lưu trữ và đăng một bản đánh giá mã tiêu chuẩn trên GitHub, tập trung vào các vấn đề nghiêm trọng. Security Review, hiện có ở dạng bản xem trước nghiên cứu, cung cấp quy trình đánh giá chuyên sâu hơn về các vấn đề bảo mật tiềm ẩn trong pull request.

Xem: Hướng dẫn từng bước về tính năng đánh giá mã của Codex

Trước khi bắt đầu

Hãy bảo đảm bạn có:

• Codex cloud được thiết lập cho kho lưu trữ bạn muốn đánh giá.
• Quyền truy cập thiết lập đánh giá mã bằng Codex.
• Một tệp AGENTS.md nếu bạn muốn Codex tuân theo hướng dẫn đánh giá riêng của kho lưu trữ.

Thiết lập tính năng đánh giá mã bằng Codex

Để định cấu hình đánh giá tự động, bạn cần có một kho lưu trữ GitHub đã kết nối và quyền push hoặc quyền quản trị viên trên GitHub để thiết lập kho lưu trữ đó.

1. Thiết lập Codex cloud.
2. Truy cập phần cài đặt Codex.
3. Bật Đánh giá mã cho kho lưu trữ của bạn.

Yêu cầu Codex đánh giá

1. Trong một bình luận trên pull request, hãy đề cập đến @codex review.
2. Chờ Codex phản hồi bằng 👀 và đăng bản đánh giá.

Codex đăng bản đánh giá trên pull request giống như một thành viên trong nhóm. Trên GitHub, Codex chỉ gắn cờ các vấn đề P0 và P1 để các bình luận đánh giá tập trung vào những rủi ro có mức độ ưu tiên cao.

Bật tính năng đánh giá tự động

Nếu bạn muốn Codex tự động đánh giá mọi pull request, hãy bật Đánh giá tự động trong thiết lập Codex. Codex sẽ đăng bản đánh giá mỗi khi có người mở một PR mới để đánh giá mà không cần nhận xét @codex review.

Tùy chỉnh nội dung Codex đánh giá

Codex tìm các tệp AGENTS.md trong kho lưu trữ và tuân theo các quy tắc đánh giá mã áp dụng. Thêm một phần ## Code Review Rules vào tệp gần nhất với mã chịu sự điều chỉnh của các quy tắc. Dùng các tiêu đề ### để nhóm những bước kiểm tra liên quan khi hữu ích.

Ví dụ: một dịch vụ báo cáo thử nghiệm có thể ngăn hành vi sau phơi nhiễm làm thay đổi nhóm thuần tập so sánh:

## Code Review Rules

### Experiment cohorts

- Do not filter treatment comparisons on post-exposure behavior, including conversion or retention.
  Safe path: build cohorts from assignment or exposure; report conversion as an outcome.

Đặt các quy tắc áp dụng cho toàn bộ kho lưu trữ trong AGENTS.md ở thư mục gốc và quy tắc riêng của dịch vụ trong một tệp lồng nhau, chẳng hạn như services/experiment_reporting/AGENTS.md. Codex áp dụng hướng dẫn ở thư mục gốc và hướng dẫn cụ thể hơn cho từng tệp đã thay đổi, vì vậy các thay đổi không liên quan không phải mang theo ngữ cảnh riêng của dịch vụ.

Hãy bắt đầu với hai hoặc ba quy tắc ngắn gọn, mã hóa các bước kiểm tra mà người đánh giá thường phải giải thích. Các quy tắc hữu ích gồm:

• Tập trung vào hành vi quan trọng và riêng của kho lưu trữ. Mô tả ràng buộc tương thích, ranh giới dữ liệu hoặc tác dụng phụ không an toàn cần gắn cờ và lý do vấn đề đó quan trọng.
• Nêu rõ phương án an toàn hoặc ngoại lệ. Cung cấp đủ ngữ cảnh để Codex phân biệt một vấn đề thực sự với hành vi dự kiến.
• Giữ quy tắc đúng phạm vi và bền vững. Ưu tiên kết quả thay vì tên hàm có thể thay đổi và đặt hướng dẫn gần mã mà hướng dẫn đó điều chỉnh.
• Để CI xử lý các bước kiểm tra máy móc. Không đưa định dạng, lint và các bước kiểm tra có tính xác định khác vào quy tắc đánh giá.

Mở một pull request đại diện và yêu cầu đánh giá bằng @codex review. Tinh chỉnh các quy tắc dựa trên phát hiện và phản hồi bạn nhận được, đồng thời thu hẹp hoặc xóa hướng dẫn gây nhiễu.

Các quy tắc đánh giá mã hướng dẫn Codex; chúng không thay thế bài kiểm thử, biện pháp bảo vệ nhánh hoặc phê duyệt bắt buộc.

Để tập trung vào một nội dung trong một lần duy nhất, hãy thêm nội dung đó vào nhận xét pull request:

@codex review for issues in the database migration

Đánh giá bảo mật

Đánh giá bảo mật là một quy trình đánh giá bổ sung dành cho khách hàng muốn đặc biệt chú ý đến các vấn đề bảo mật trong pull request. Tính năng này đi sâu hơn đánh giá mã về các rủi ro bảo mật cụ thể bằng cách phân tích phần diff của pull request, ngữ cảnh hỗ trợ từ kho lưu trữ và các mô hình đe dọa hoặc hướng dẫn bảo mật đã định cấu hình.

Đánh giá mã cũng có thể xác định các vấn đề liên quan đến bảo mật trong quá trình đánh giá tổng quát, vì vậy đôi khi bạn có thể thấy sự trùng lặp giữa các phát hiện của đánh giá mã và đánh giá bảo mật.

Thiết lập Đánh giá bảo mật

Để biết hướng dẫn thiết lập và các tùy chọn cấu hình chi tiết hơn, hãy xem Đánh giá bảo mật.

1. Thiết lập Codex cloud.
2. Chuyển đến phần cài đặt Codex.
3. Trong Tùy chọn kho lưu trữ, hãy chọn những pull request sẽ được Đánh giá bảo mật đánh giá và thời điểm chạy. Chọn Bất cứ khi nào đánh giá mã chạy để chạy tính năng này cùng với Đánh giá mã.

Yêu cầu Đánh giá bảo mật

Để yêu cầu Đánh giá bảo mật theo cách thủ công, hãy thêm bình luận sau vào pull request:

@codex security review

Codex phản hồi trong khi quá trình đánh giá đang chạy, sau đó đăng trực tiếp các phát hiện bảo mật lên pull request. Mở tác vụ Codex liên kết và chọn thẻ Báo cáo bảo mật để xem báo cáo đầy đủ.

Xử lý các phát hiện từ bài đánh giá

Sau khi Codex đăng bài đánh giá, bạn có thể yêu cầu Codex sửa các vấn đề trong cùng pull request bằng cách để lại một nhận xét khác:

@codex fix the P1 issue

Codex bắt đầu một cuộc trò chuyện trên cloud với pull request làm ngữ cảnh và có thể đẩy bản sửa lỗi trở lại nhánh khi có quyền thực hiện.

Giao các tác vụ khác cho Codex

Nếu bạn đề cập @codex trong nhận xét với nội dung khác review, Codex sẽ bắt đầu một cuộc trò chuyện trên cloud sử dụng pull request làm ngữ cảnh.

@codex fix the CI failures

Khắc phục sự cố đánh giá mã

Nếu Codex không thả biểu tượng cảm xúc hoặc đăng bài đánh giá:

• Xác nhận bạn đã bật Đánh giá mã cho kho lưu trữ trong thiết lập Codex.
• Xác nhận pull request thuộc một kho lưu trữ đã thiết lập Codex cloud.
• Sử dụng chính xác trình kích hoạt @codex review trong nhận xét pull request.
• Đối với đánh giá tự động, hãy kiểm tra xem bạn đã bật Đánh giá tự động chưa và sự kiện pull request có khớp với thiết lập kích hoạt đánh giá hay không.