核心功能一览

一个 JAR 装下代码评审全流程：接入、扫描、评分、门禁、治理、报告邮件、CI 联动、认证与多库支持 —— 九大功能组，逐条展开

GROUP 01 · INPUT

多种代码接入方式

上传 ZIP 压缩包、直接粘贴代码片段
CI 场景自动 Git 克隆（GitHub / GitLab / Gitee / 自建，支持私有仓库凭据）
自动环境检测：JDK 版本、构建工具、框架、依赖树、根包结构，可选执行单元测试
代码快照留存，问题可回溯到源码上下文（带行号与问题行高亮）

GROUP 02 · STATIC ENGINE

本地静态分析引擎

JavaParser AST + 符号求解、ASM 字节码分析、调用图辅助降误报，19 个内置检查器完全离线运行，覆盖六大质量域。明细见下方检查器矩阵。

GROUP 03 · AI REVIEW

AI 深度评审（可选）

OpenAI 兼容 + Anthropic 双协议，内置 12 个厂商模板；逐问题三段式建议，一键批量评审。不配 AI 也能完整使用。详见下方 AI 评审一节。

GROUP 04 · SCORING & GATE

五级评分与质量门禁

对标 SonarQube 的五级严重度扣分制评分，门禁 = 阻断清零 + 评分达线；扣分值 / 通过线 / 评级分界全部页面自定义，即时生效。详见评分与门禁。

GROUP 05 · GOVERNANCE

问题治理

同文件同规则问题自动聚合为一条（多处位置合并展示），不刷屏
行级忽略 + 规则级忽略（按规则码 / 文件路径 / glob / 行号），忽略原因留痕
检查器与规则阈值均可在页面配置启停

GROUP 06 · REPORT · MAIL · CI/CD

报告、邮件推送与 CI/CD

HTML / PDF 报告一键导出，内嵌中文字体，含评分、门禁结论、分类统计、逐条问题与建议
多 SMTP 发件配置（SSL / STARTTLS、一键测试发信、授权码 AES 加密）与收件人管理；扫描或 CI 触发器勾选「邮件通知」后，扫描完成自动推送 HTML 摘要正文 + PDF 报告附件，失败也发通知，扫描历史显示送达状态
Webhook 触发扫描（GitHub / GitLab / Gitee / 通用），完成自动回写 commit status、MR/PR 评论（评分 + 门禁 + Top 问题），流水线按门禁结论阻断
CI 访问令牌管理、扫描记录追溯

GROUP 07 · AUTH

认证与权限

JWT 本地账号 + 企业统一认证 SSO（票据回调 / 受信网关头，管理员白名单，本地登录可关闭）
远端 OAuth2 单点登录（对接企业 OA）与密码认证源，保留原有接入方式
管理员 / 只读双角色
数据库密码、API Key、仓库令牌、SMTP 授权码等敏感配置全部 AES 加密落库；SQL 全参数化，ZIP 解压含 Zip Slip 防护

GROUP 08 · UI & I18N

界面与国际化

Thymeleaf 服务端渲染，无 Vue / npm / Node 构建链，零 CDN 全本地化资源（内网可用）
中英文双语切换
深色 / 浅色主题、响应式布局（PC / 平板 / 手机）

GROUP 09 · DATABASE

多数据库支持

H2 内嵌默认零安装；支持 18 类数据库，17 种驱动随包内置（MySQL / PostgreSQL / Oracle / SQL Server / 达梦 / 金仓 / openGauss / OceanBase / 瀚高 / 海量 / 崖山 / GBase 等）；其余数据库可页面上传 JDBC 驱动接入。详见数据库支持。

19 个检查器 · 覆盖明细

本地引擎完全离线：不上传代码、不依赖外部扫描服务，内置 CVE 漏洞库随包发布

质量域	覆盖内容
缺陷	编译诊断、空指针风险、资源泄露、异常处理（空 catch 等）
安全（SAST）	SQL 注入、命令注入、不安全反序列化、硬编码密钥、弱加密、弱随机数、XXE、SSRF、路径穿越
架构约束	控制器跨层直连 DAO、下层反向依赖上层、实体泄漏到接口层
并发	单例共享可变状态、静态 SimpleDateFormat、双重检查锁缺 volatile
风格 / 冗余	命名规范、魔法数字、通配符导入、超长行、TODO 注释、未使用方法、重复代码块（CPD 式 Token 指纹，自动排除 getter/setter 与构造方法等样板，误报少）
依赖漏洞	解析 pom.xml / build.gradle，与内置 CVE 漏洞库比对（可选 OSV 在线增强，默认关闭）
质量 / 性能 / 框架	圈复杂度、方法 / 文件长度、性能问题、Spring 最佳实践

AI 深度评审

可选增强：不配置任何 AI，静态扫描、评分门禁、报告与 CI 集成一切照常

双协议 · 12 个厂商模板

OpenAI 兼容协议与 Anthropic 协议双通道，内置 12 个厂商模板开箱即选，API Key AES 加密存储：

阿里百炼火山方舟 DeepSeek Kimi 智谱百度千帆 Gemini Claude OpenAI Ollama vLLM LocalAI

Ollama / vLLM / LocalAI 支持本地私有部署，内网环境零 token 成本。

逐问题三段式建议

单条问题「AI 增强建议」：问题分析 / 修复方案 / 修复代码三段式，严格限定在问题行范围内，不发散、不空谈
一键「AI 深度评审」批量增强未处理问题：增强范围按严重度多选，进度实时可视
评审规则页面可维护提示词与规则默认等级

五级评分与质量门禁

对标 SonarQube 的评分体系，但每一处数值你都改得动

严重度	默认扣分	说明
BLOCKER 阻断	−25	一票否决级问题，门禁默认要求清零（上限可配）
CRITICAL 严重	−15	高危缺陷与安全隐患
MAJOR 主要	−5	明显影响可维护性的问题
MINOR 次要	−1	风格与小瑕疵
INFO 提示	0	仅展示，不扣分

scoring.rule

# 评分公式（每级扣分权重页面可改）
score = 100 − Σ(数量 × 扣分)

# 门禁 = 两条线同时满足
gate  = BLOCKER ≤ 上限(0) 且 score ≥ 通过线(80)

# 评级分界（同样可改）
优秀 ≥ 90   良好 ≥ 75   一般 ≥ 60   较差 < 60

保存即时生效：每级扣分值、通过线、评级分界、阻断上限均可在「质量门禁」页自定义，无需重启、无需重扫，已有扫描结果立刻按新规则重算。

另附技术债估算：按规则目录把每个问题折算成修复分钟数，汇总成「8 小时 55 分」式的排期依据。

多数据库支持

支持 18 类数据库：元数据库开箱即用，团队规模化时页面可视化切换外接库，切换真实生效、重启恢复、故障自愈，自动建表 / 迁移，支持连通性测试

数据库	说明
H2（内嵌 / TCP）	默认，开箱即用，零安装
MySQL / MariaDB / TiDB / GBase 8a	内置驱动（TiDB / GBase 8a 走 MySQL 协议）
PostgreSQL / Oracle / SQL Server / DB2 / OceanBase	内置驱动（DB2 仅连接测试）
达梦 DM / 人大金仓 / openGauss / 瀚高 / 海量 Vastbase / 崖山 / GBase 8s	信创场景，驱动随包内置
神通 Oscar / 自定义 JDBC	页面上传驱动 JAR 即可接入

H2 内嵌默认 MySQL 内置驱动 MariaDB 内置驱动 TiDB MySQL 协议 PostgreSQL 内置驱动 Oracle 内置驱动 SQL Server 内置驱动 DB2 内置驱动 OceanBase 内置驱动 GBase 8a MySQL 协议达梦 DM 人大金仓 openGauss 瀚高 HighGo 海量 Vastbase 崖山 YashanDB GBase 8s 神通 Oscar 上传驱动自定义 JDBC 页面上传驱动

技术栈

Spring Boot 3.2.5 单体，无微服务拆分、无消息队列、无外部缓存 —— 复杂度都收在一个 JAR 里

层次	技术选型
后端框架	Spring Boot 3.2.5 · Java 17（Web / AOP / Validation / Cache / Actuator）
持久层	MyBatis-Plus 3.5.5 · H2 2.2（内嵌默认）· 17 种内置驱动（MySQL / PostgreSQL / Oracle / SQL Server / 达梦 / 金仓 / openGauss / OceanBase 等）· 动态多数据源
静态分析	JavaParser 3.25（AST + 符号求解）· ASM 9.6（字节码）· 自研 CPD 式重复代码指纹
AI 接入	Spring WebFlux HTTP 客户端 · OpenAI 兼容 / Anthropic 双协议适配层
报告与邮件	OpenPDF 1.3（矢量中文 PDF）· Thymeleaf HTML 报告 · Spring Mail（SMTP / SSL / STARTTLS）
版本控制	JGit 6.8（仓库克隆）
安全	JWT · spring-security-crypto（BCrypt）· AES 配置加密 · 企业统一认证（票据回调 / 受信网关头）· OAuth2 远端认证
前端	Thymeleaf SSR · 原生 JavaScript · CSS 变量设计令牌 · 内联 SVG 图标精灵 · 零 CDN
部署	单 JAR · Docker 多阶段构建（内置中文字体、非 root 运行、HEALTHCHECK）· docker compose