Как на самом деле работает Code Review в Claude Code: диффы, хуки и что замечает агент

Обзор кода с Claude Code: практическое руководство по агентным ревью PR

Claude Code может провести ревью пул-реквеста или локального диффа так, как это сделал бы опытный старший инженер — читая изменённые файлы, отслеживая места вызова, проверяя тесты и возвращая находки, ранжированные по серьёзности, с предложенными исправлениями. Это руководство посвящено именно использованию Claude Code (агентного CLI-инструмента от Anthropic) для code review: как его запускать, как правильно формулировать запросы, как автоматизировать его на каждом коммите или PR и как встроить его в командный пайплайн.

Что на самом деле означает «Claude Code Review»

Есть две совершенно разные вещи, которые люди называют «Claude code review». Первая — это когда вы просите Claude в чат-интерфейсе взглянуть на вставленный вами фрагмент кода. Вторая — и именно она является темой этого руководства — это запуск Claude Code, агентного CLI от Anthropic, на реальном диффе или пул-реквесте внутри вашего настоящего репозитория.

Это различие имеет огромное значение. Когда Claude Code проверяет дифф, он не рассуждает изолированно о вставленном отрывке. Это автономный агент, который может открывать файлы, следовать импортам, читать ваши инструкции проекта из CLAUDE.md, проверять смежные тесты и понимать полный контекст изменения прежде, чем выдать хотя бы одну находку. Именно эта осведомлённость о взаимосвязях между файлами делает результат по-настоящему полезным, а не общим.

Claude Code доступен как CLI, который вы устанавливаете локально (npm install -g @anthropic-ai/claude-code), или как агент, работающий в облачной песочнице — об обоих подходах подробнее позже. Официальная документация Anthropic описывает установку и первоначальную настройку.

Пошаговый разбор рабочего процесса /review

Claude Code поставляется со слэш-командой /review, разработанной специально для этой задачи. Ниже — полный процесс от диффа до практически применимого результата.

Шаг 1 — Направьте Claude Code на дифф

Есть несколько способов передать ему изменения для проверки.

Проиндексированные изменения (команда /review):

/review

Внутри сессии Claude Code слэш-команда /review запускает ревью ваших изменений. Это самый распространённый локальный рабочий процесс: проиндексируйте свою работу, выполните /review и посмотрите на находки перед коммитом. (Точное поведение команды меняется — актуальный синтаксис смотрите в документации Claude Code.)

Конкретный git-диапазон: Можно также просто попросить агента на естественном языке — например: «Проверь дифф между main и этой веткой и отметь любые баги или регрессии». Поскольку Claude Code может сам выполнять команды git, он сформирует дифф для указанного диапазона и проверит его. Это удобно при проверке фиче-ветки перед открытием PR, и это не зависит от точного синтаксиса флагов.

URL пул-реквеста на GitHub: Если в вашем проекте настроен GitHub CLI, Claude Code может получить дифф PR напрямую. Вы указываете URL или номер PR в запросе, и агент использует gh, чтобы получить дифф вместе с описанием PR, что даёт ему контекст намерения в дополнение к коду.

Шаг 2 — Загрузка контекста

Прежде чем выдать находки, Claude Code читает контекст, необходимый для корректной оценки диффа:

• CLAUDE.md — файл инструкций вашего проекта, в котором можно определить фокус-области ревью, запрещённые паттерны, архитектурные правила или командные соглашения. Это ваш основной рычаг для настройки того, на что агент обращает внимание.
• Импортируемые модули и вызывающий код — если изменённая функция вызывается из десяти мест, агент читает эти места вызова, чтобы проверить обратную совместимость изменения.
• Существующие тесты — он читает файлы тестов, чтобы понять предполагаемый контракт изменённого кода, и заметить, когда новая логика не покрыта тестами.
• Файлы конфигурации — eslint, tsconfig, pyproject.toml и подобные файлы помогают агенту понять, какие правила линтинга уже применяются в CI, чтобы он не повторял находки, которые уже отлавливают ваши инструменты.

Шаг 3 — Анализ

Проходы анализа Claude Code одновременно охватывают несколько измерений:

• Корректность — логические ошибки, ошибки на единицу, обращения к null, неверные алгоритмические предположения
• Безопасность — риски инъекций, раскрытые учётные данные, небезопасная десериализация, отсутствующие проверки авторизации
• Надёжность — отсутствующая обработка ошибок, необработанные отказы промисов, необработанные краевые случаи
• Поддерживаемость — дублирующая логика, неясные имена, отсутствующая документация для неочевидного поведения
• Покрытие тестами — пути кода, добавленные без соответствующих тестов

Агент не просто отмечает строку — он объясняет, почему находка важна и каким было бы влияние, если бы её выпустили в продакшн.

Шаг 4 — Структурированные находки

Результат — это список находок, каждая с:

• Меткой серьёзности (обычно: critical / warning / suggestion)
• Ссылкой на файл и строку
• Объяснением проблемы на понятном языке
• Предложенным исправлением — часто в виде готового к применению фрагмента кода

По умолчанию находки выводятся в терминал. Для командного использования вы можете их перенаправить: передать в файл, опубликовать как комментарии к PR через gh pr comment, или использовать хук для записи в общий журнал ревью.

Ревью Claude Code следует структурированному пайплайну — от входного диффа через загрузку контекста и анализ до ранжированных находок и предложений по исправлению, с хуками, обеспечивающими полную автоматизацию.

Разобранный пример: настоящий дифф, настоящее ревью

Чтобы сделать это конкретным, вот минимальный дифф на Python и то, что выявляет ревью Claude Code.

Дифф:

# Before
def get_user(user_id):
    result = db.query(f"SELECT * FROM users WHERE id = {user_id}")
    return result[0]

# After (in PR)
def get_user(user_id):
    result = db.query(f"SELECT * FROM users WHERE id = {user_id}")
    if result:
        return result[0]
    return None

Что автор PR думал, что исправил: KeyError, когда пользователь не найден.

Что выявляет ревью Claude Code:

1. Critical — SQL-инъекция (строка 2): f-строка напрямую интерполирует user_id в запрос. Значение вида 1; DROP TABLE users;-- будет выполнено. Исправление: использовать параметризованные запросы — db.query("SELECT * FROM users WHERE id = ?", (user_id,)).

2. Warning — неявное распространение возврата None: вызывающий код get_user, который не проверяет None, теперь будет отказывать на расстоянии от места ошибки. Проверьте три места вызова (перечислены по файлам), которые предполагают, что объект пользователя всегда возвращается.

3. Suggestion — отсутствует аннотация типа: возвращаемый тип должен быть Optional[User], чтобы IDE и типчекеры могли автоматически выявлять случай None в местах вызова.

4. Suggestion — тест добавлен, но неполон: новый тест test_get_user_not_found проверяет только, что возвращается None; он не проверяет поведение, когда user_id равен 0 или не является целым числом.

Оригинальный автор исправил KeyError, но внёс риск скрытого распространения None и не заметил уже существовавшую SQL-инъекцию. Claude Code обнаружил оба — и нашёл их, потому что прочитал места вызова, а не только сам дифф.

Формулирование запросов Claude Code для лучших ревью

Качество ревью прямо пропорционально качеству контекста, который вы даёте агенту. Эти запросы и техники дают стабильно лучший результат.

Используйте CLAUDE.md для постоянных инструкций

Наибольший рычаг — в файле CLAUDE.md вашего проекта. Добавьте раздел ## Review Guidelines:

## Review Guidelines
- We use parameterized queries everywhere. Flag any string interpolation in SQL.
- All public functions must have return-type annotations (Python) or JSDoc (JS).
- Security findings should always be severity: critical, not warning.
- We prefer explicit error returns over exceptions in the data layer.
- Do not flag import ordering — Black handles that automatically.

Это инструктирует агента один раз, и каждое ревью в проекте наследует эти правила без необходимости повторять запрос.

Указывайте намерение в запросе

При интерактивном запуске ревью сообщите агенту, что PR пытается достичь:

/review This PR migrates our auth flow from JWT to session cookies. Focus on
session fixation, secure cookie attributes, and any places we might be leaking
the old JWT validation logic.

Контекст намерения позволяет Claude Code приоритизировать релевантные находки, а не генерировать однородный чек-лист по всем измерениям.

Запросите сначала проход только по серьёзности

Для больших диффов эффективен двухпроходный подход:

/review Pass 1: list only critical and warning severity findings with file+line.
No suggestions yet.

Затем, получив список критичных проблем, запросите детали исправления для конкретных находок. Это избегает проблемы 200-строчного вывода ревью, где критичный баг скрыт среди стилистических предложений.

Запросите подтверждение понимания

Для сложных изменений:

Before reviewing, summarize what this diff is trying to do in two sentences,
then proceed with the review.

Если резюме неверно, вы понимаете, что агент неверно прочитал дифф, и можете исправить это, прежде чем тратить время на ошибочные находки.

Автоматизация ревью с помощью хуков

Запуск /review вручную полезен, но настоящий прирост продуктивности — это сделать ревью автоматическим, чтобы каждый коммит или каждый открытый PR запускали его без участия человека. Система хуков Claude Code делает это возможным. (Система хуков подробно описана в руководстве по хукам Claude Code — этот раздел сфокусирован именно на кейсе применения к ревью.)

Автоматическое ревью на каждом коммите

В файле .claude/settings.json вашего проекта добавьте хук Stop:

{
  "hooks": {
    "Stop": [
      {
        "matcher": "",
        "hooks": [
          {
            "type": "command",
            "command": "claude -p 'Review the diff from the last commit (git diff HEAD~1 HEAD) and list any bugs, security issues, or regressions.'"
          }
        ]
      }
    ]
  }
}

При такой настройке каждый раз, когда Claude Code завершает задачу (включая задачи по написанию кода, заканчивающиеся коммитом), хук срабатывает и проверяет получившийся дифф. Находки появляются в вашем терминале сразу после коммита.

Автоматическое ревью при открытии PR

Для интеграции с CI запустите Claude Code в headless-режиме (claude -p "<prompt>") внутри задачи GitHub Actions и опубликуйте результат как комментарий к PR. Приведённый ниже паттерн иллюстративный — Anthropic также публикует официальный GitHub Action для Claude Code, так что актуальную рекомендуемую настройку CI смотрите в документации Claude Code, а не копируйте флаги буквально:

name: Claude Code Review
on:
  pull_request:
    types: [opened, synchronize]
jobs:
  review:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
      - name: Install Claude Code
        run: npm install -g @anthropic-ai/claude-code
      - name: Run review
        run: |
          claude -p "Review the diff between origin/${{ github.base_ref }} and HEAD. \
          List bugs, security issues, and regressions, ranked by severity." > review.md
        env:
          ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
      - name: Post review as PR comment
        run: gh pr comment ${{ github.event.number }} --body-file review.md
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}

Это автоматически публикует находки Claude Code как комментарий к PR при каждом пуше. Ваши ревьюеры-люди затем сосредотачивают внимание на находках, которые агент уже выявил, а не тратят время ревью на пункты, которые Claude Code стабильно отлавливает сам.

Что улавливает ревью Claude Code — и что упускает

Важно ясно понимать границы возможностей. AI-ревью действительно мощно для определённого класса находок и стабильно недостаточно для других.

Claude Code превосходно справляется с механической корректностью, паттернами безопасности и согласованностью — в то время как продуктовые суждения, новые угрозы и утверждение соответствия требованиям остаются обязанностями человека.

Claude Code стабильно улавливает:

• Ошибки на единицу, обращения к null/undefined и несоответствия типов, видимые в диффе и его непосредственном контексте
• Известные паттерны безопасности: SQL-инъекции, XSS, пробелы в CSRF-защите, небезопасные прямые ссылки на объекты, отсутствующую валидацию входных данных, секреты в коде
• Нарушения стиля и соглашений против правил, определённых в вашем CLAUDE.md и файлах конфигурации
• Дублирующую логику — осведомлённость агента о взаимосвязях между файлами означает, что он замечает, когда только что добавленная вами функция уже существует в служебном модуле двумя каталогами дальше
• Отсутствующую обработку ошибок — необработанные отказы промисов, пустые блоки except, функции, которые могут вернуть None или undefined без того, чтобы вызывающий код это ожидал
• Пробелы в покрытии тестами для конкретных путей кода, добавленных в диффе

Claude Code не заменяет человеческое суждение в вопросах:

• Продуктовых и требований к решениям. Должна ли эта функция существовать, разумен ли UX, является ли контракт API правильной абстракцией — это требует бизнес-контекста, которого нет ни у одного агента.
• Новых угроз безопасности. Агент знает об известных классах уязвимостей; он не изобретает модели угроз, специфичные для среды развёртывания вашего приложения или бизнес-логики.
• Производительности при масштабировании. Статический анализ не может заменить вывод профайлера, результаты нагрузочного тестирования или понимание реальных паттернов трафика.
• Соответствия регуляторным требованиям. GDPR, HIPAA, PCI-DSS и подобные требуют утверждения человеком и часто юридической проверки. AI-ревью не может это заменить.
• Командной динамики и управления архитектурой. «Это должно быть в этом модуле?» или «Стоит ли нам добавлять эту зависимость?» требуют организационного контекста.

Здоровая формулировка: ревью Claude Code устраняет скучную часть code review — отлов механических ошибок, применение соглашений, отметку известно-плохих паттернов — чтобы ваши ревьюеры-люди могли потратить своё ограниченное внимание на суждения, которые действительно требуют человека.

Интеграция ревью Claude Code в командный пайплайн

Чтобы команда действительно стабильно использовала агентное ревью, его нужно воспринимать как полноценную часть рабочего процесса, а не опциональное дополнение.

Трёхуровневая модель

Хорошо работающий командный пайплайн имеет три уровня:

1. Локальный pre-commit — разработчик запускает /review перед пушем. Настройка хука, описанная выше, автоматизирует это. Находки на этом уровне дешевле всего исправить.
2. Шлюз CI — рабочий процесс GitHub Actions публикует находки Claude Code как комментарий к PR прежде, чем будет назначен любой ревьюер-человек. Ревьюеры-люди назначаются только после того, как CI-ревью проходит (нет критичных находок).
3. Фокус человеческого ревью — ревьюеры-люди используют комментарий Claude Code как руководство для триажа. Их задача — оценивать вопросы, требующие суждения — соответствие архитектуре, продуктовую корректность, компромиссы производительности — а не перечитывать каждую строку на предмет опечаток.

Совместное использование соглашений CLAUDE.md

Ваш CLAUDE.md — это слой конфигурации для поведения ревью агента. Относитесь к нему как к коду: коммитьте его, версионируйте, проверяйте изменения в PR. Когда команда договаривается, что Claude Code должен перестать отмечать определённый паттерн (потому что для него есть линтер), обновите CLAUDE.md, и изменение применится к каждому будущему ревью.

Калибровка порогов серьёзности

Команды часто находят стандартную калибровку серьёзности слишком шумной на первых порах. Добавьте явные инструкции в CLAUDE.md, чтобы контролировать это:

## Review Severity Rules
- Only flag console.log as a warning if it is in a non-test, non-debug file.
- Import ordering is never a finding; Prettier handles it.
- Treat any hardcoded credential as critical regardless of context.
- Performance suggestions are informational only unless they affect O(n²) loops.

После нескольких недель использования большинство команд замечают, что уровень шума значительно снижается, как только внимание агента настраивается на паттерны, которые действительно важны в их кодовой базе.

Обработка ложных срабатываний

Иногда Claude Code неправильно отмечает что-то. Правильная реакция — не отбросить ревью целиком, а добавить в CLAUDE.md специфичную для проекта инструкцию, которая обрабатывает этот паттерн. С течением времени это создаёт всё более точную, специфичную для проекта конфигурацию ревью, которая отражает реальные стандарты вашей команды.

Запуск ревью Claude Code без локальной установки

Всё описанное выше предполагает, что у вас установлен и запущен Claude Code в терминале. Для многих команд — особенно на закрытых корпоративных машинах, в Windows-средах без WSL, или для разработчиков, которые хотят проверять код из вкладки браузера — локальная установка становится точкой трения.

Happycapy запускает Claude Code в безопасной облачной песочнице прямо в вашем браузере. Вы получаете полные возможности агентного ревью — включая загрузку контекста между файлами, поддержку CLAUDE.md и команду /review — без установки чего-либо. Это особенно полезно для:

• Ревью кода в пул-реквестах из браузера без локального получения ветки
• Команд, переходящих на ревью Claude Code, которые хотят общую, последовательную среду перед развёртыванием локальных установок
• Закрытых машин, где установка глобальных npm-пакетов требует утверждения IT
• Ревью незнакомых репозиториев, где вам нужна загрузка контекста агентом без клонирования всего репозитория

Если вам интересно, как Claude Code сравнивается с альтернативами по агентным возможностям, см. Claude Code против GitHub Copilot и Claude Code против Cursor. А если вы хотите понять, как Happycapy запускает Claude Code в браузерном контексте, Claude Code в вебе описывает архитектуру.

Начните бесплатно на happycapy.ai

Часто задаваемые вопросы

В: Работает ли ревью Claude Code на любом языке?

Да. Claude Code не привязан к конкретному языку — он читает любой текстовый дифф и применяет рассуждения о содержащемся в нём коде. Он, как правило, наиболее точен для Python, TypeScript, JavaScript, Go и Rust (языков с большим представлением в обучающих данных), но выдаёт полезные находки и для Ruby, Java, C# и большинства других распространённых языков. Для предметно-специфичных языков или нестандартных фреймворков добавление контекста в CLAUDE.md значительно повышает точность результата.

В: Чем /review отличается от того, чтобы просто попросить Claude в чате взглянуть на мой дифф?

Ключевое отличие — это агентное использование инструментов и контекст репозитория. В чате Claude видит только то, что вы вставили. Команда /review в Claude Code позволяет агенту открывать файлы, следовать импортам, проверять тесты и читать соглашения вашего проекта — выдавая находки, обоснованные реальной кодовой базой, а не отрывком. Для больших или взаимосвязанных изменений это отличие существенно.

В: Обнаружит ли ревью Claude Code уязвимости безопасности?

Он стабильно обнаруживает хорошо известные классы уязвимостей: SQL-инъекции, XSS, пробелы в CSRF-защите, небезопасные прямые ссылки на объекты, зашитые в код секреты, отсутствующую санитизацию входных данных. Он менее надёжен для новых, специфичных для приложения векторов атак или уязвимостей, требующих понимания вашей среды развёртывания. Относитесь к нему как к тщательному первичному сканированию безопасности, а не как к пентесту.

В: Как остановить ревью от отметки того, что уже обрабатывает мой линтер?

Добавьте явные исключения в ваш CLAUDE.md: «Не отмечай порядок импортов — этим занимается isort» или «Не отмечай висячие пробелы — их обеспечивает Prettier». Большинство команд формируют такой список за две-три недели использования и замечают значительное улучшение соотношения сигнала к шуму.

В: Могу ли я использовать ревью Claude Code в монорепозитории с несколькими языками?

Да. Вы можете ограничить область ревью аргументом пути или диапазоном git-диффа, охватывающим только изменённый вами подкаталог. Вы также можете вести специфичные для языка разделы ревью в вашем CLAUDE.md, которые агент читает как часть загрузки контекста.

В: Что происходит, если дифф очень большой — например, PR на 3000 строк?

Для очень больших диффов рассмотрите двухпроходный подход: сначала запросите только критичные и предупредительные находки (без предложений), проведите триаж, затем запросите полный анализ по конкретным файлам или подсистемам. Для крайне больших рефакторингов разделение PR — лучшее решение, как для ревьюверов-людей, так и для AI.

В: Является ли результат ревью детерминированным? Получу ли я одинаковые находки при повторном запуске?

Нет — как и все результаты больших языковых моделей, между запусками есть вариативность. Для ответственных ревью запуск команды дважды и сравнение находок — разумная практика. Большинство критичных находок появляются стабильно; незначительные предложения варьируются больше. Использование более низкой температуры (если это настраивается в вашем рабочем процессе) или более предписывающих запросов снижает вариативность.

В: Как ревью Claude Code взаимодействует с существующими линтерами и инструментами статического анализа?

Оно их дополняет, а не заменяет. Ваши линтеры механически и быстро отлавливают применяемые правила стиля; Claude Code добавляет семантическое понимание — он может оценить, делает ли функция то, что нужно, чего не может ни один линтер. Идеальный пайплайн запускает оба: линтеры в хуках pre-commit (быстро, детерминированно), ревью Claude Code в CI (медленнее, семантически). Команда /review осведомлена о конфигурации вашего линтера и избегает дублирования находок, которые ваши инструменты уже выдают.

В: Могу ли я настроить формат вывода ревью для публикации в Slack или тикет?

Да. Вы можете попросить агента выводить находки в определённом формате — JSON, markdown или шаблоне, соответствующем стилю комментариев к PR вашей команды. Совместите это с системой хуков и небольшим shell-скриптом, и у вас будет полностью автоматизированный пайплайн ревью, публикующий структурированные находки везде, где ваша команда их отслеживает.

По теме: Глубокое погружение в хуки Claude Code — автоматизируйте проверки pre-commit, линтинг и кастомные рабочие процессы за пределами ревью.

Похожие руководства

• Хуки Claude Code: руководство продвинутого пользователя по автоматизации вашего агента
• Создание автономных агентов с Claude Code SDK: практическое руководство для разработчиков
• Claude Code против GitHub Copilot: автономный агент или ассистент внутри редактора?
• Claude Code в вебе: как запустить Claude Code в браузере (без установки)