🔒
安全
Semgrep 按语言加载规则集（Python 337 / TS 203 / Go 78 条），叠加 LLM 对上下文与利用路径的解释。
01
要解决的问题
「让 LLM 看一遍代码」得到的结果不稳定、不可复现，也无法解释。真正有用的审查需要：确定性的规则检查、可复现的漏洞数据，以及只在这些事实之上做判断的语义层。
📐
规范与依赖
Ruff、ESLint 9 + typescript-eslint、golangci-lint 做规范检查；pip-audit、npm audit、OSV-Scanner 查漏洞与过时依赖。
🧪
测试与性能
AST 识别未被测试覆盖的函数与数据库调用模式，LLM 给出测试建议与性能反模式判断。
02
系统架构
Flow 负责阶段编排（准备 → 并行审查 → 聚合 → 报告），Crew 负责单个 Agent 的执行；两者之间只通过结构化结果通信。
03
技术亮点
⚡
并行编排，代码层聚合
六个独立 Crew 并行执行，结果按「文件 + 行号 + 规则」去重聚合。相比让一个 Manager 调度，token 更省、结果更稳定。
🔄
增量审查
基于 git diff 只审变更文件，贴合 PR 场景并控制成本；同一套流程也支持本地目录、粘贴、上传与 CLI。
📡
实时进度
WebSocket 推送 Agent 启动 / 完成、findings 与健康度变化，支持事件历史回放，长任务不再是一个黑盒转圈。
📊
健康度评分
基于 findings 的 0–100 负分制评分，随审查结果更新，可横向比较不同版本的代码质量。
🧾
双格式报告
Markdown 便于贴进 PR / 工单，HTML 便于阅读；按 Agent 与严重度分组，结论与证据在同一条目里。
🔑
模型可插拔
支持 OpenAI / DeepSeek / Ollama / 自定义端点，API Key 加密存储并提供一键连通性测试。
04
关键取舍
A确定性优先
能用官方工具得出结论的维度绝不交给模型猜测；没有标准工具等价物的维度（非 Python 的覆盖率 / 性能）明确标注为「LLM 语义层」，不假装精确。
B并行优先于层级
默认并行模式：快、省 token、结果稳定。层级派发模式保留为对照实验，用于观察 Manager LLM 调度的收益与代价。
C不公开在线 Demo
审查会消耗真实模型额度，且需要用户自带 Key。这里给出架构与实现说明，仓库内可一键本地启动。
D结果可解释
每条 finding 都带工具来源与证据片段；LLM 的补充判断单独标注，避免「模型说的」和「工具查到的」混在一起。
05
项目规模
6专业 Agent 并行
3语言：Python / TS / Go
5审查触发方式
2报告格式（MD / HTML）