コーディングに自信を持とう ! AI の力を借りてコードレビューを効率化

Amazon CodeGuru は、自動化されたコードレビューとアプリケーションパフォーマンスの推奨事項を提供する機械学習をベースとしたサービスです。プロダクトとしては、CodeGuru Reviewer と Codeguru Profiler の二つに分かれており、本日のテーマはコードレビューのサービス CodeGuru Reviewer の方になります。

ざっくりですが、以下の図で示されているように、ソースコードを CodeGuru Reviewer が解析して、推奨事項を生成してくれます。執筆時点では、Java と Python に対応しています。

社内でコードレビューは必須になっているけれども、スキルの高い人材やレビュー時間の確保が課題になっているケースも多いのではないでしょうか。

コードレビューはコーディングスキルが求められるだけでなく、上位モジュールなどサービス全体の整合性の担保や、命名規則などの社内コーディングルールも熟知する必要があるため、難易度が高く時間のかかる作業です。また、貴重な人材しかできないことだからこそ、その人材はアプリケーションデザイン観点でのレビュー時間を割きたいものの、レビュー範囲が広すぎてレビュアーに負荷が集中してし、かえってボトルネックになってしまうこともあります。

よって、コードレビューを自動化することでこのような課題を解決するとデベロッパーに多くのメリットがあります。

CodeGuru Reviewer の特徴として、リソースリーク防止やセキュリティなど特定が難しい問題の検出に特化している点が挙げられます。よって、一般的なシンタックスの問題等は推奨事項として出力されず、ノイジーになることはありません。2019 年リリース以来、CodeGuru Reviewer は検出項目を絶えず増やしてきました。検出項目について、FAQ の記述を抜粋します :

これら検出項目は主に3つのソースからのルールが組み込まれています。

1. CodeGuru Reviewer のルール。機械学習と自動推論を使用して、コード品質とセキュリティ問題のためにコードを分析するように設計されています
2. オープンソースのコード分析ツールである Bandit。Python コードのセキュリティ問題を見つけるよう設計されています
3. オープンソースのコード分析ツールである Infer。Java コードの同時実行とその他の問題を見つけるように設計されています

先日、検出項目の詳細とサンプルコードを含む Detector Library も公開されました。Java と Python それぞれの検出項目が詳しく紹介されています。Java における リソースリークの例を見てみましょう。

CodeGuru での検出項目は日々追加されています。今後も進化を遂げていくので、ぜひご期待ください。

ここまでで「面白そうなサービスだな」と感じていただけたようでしたら、ぜひ以下をご確認いただければと思います。

1. 対応言語 : Java または Python
2. 対応リポジトリ : GitHub / GitHub Enterprise Cloud / GitHub Enterprise Server, BitBucket, AWS CodeCommit
3. 必要アカウント : AWS アカウント (サインアップはこちらから)
4. レビュー方式 : Pull request による増分レビュー、GitHub Actions を使用した CI ワークフロー、リポジトリのフルスキャン

なお、肝心の料金ですが、CodeGuru Reviewer はリポジトリのコード行数に応じた従量課金となります。初期費用やライセンス費用は不要です。詳しくは　料金ページ をご参考ください。また、CodeGuru Reviewer を初めてお試しいただく方向けに 90 日間の無償利用枠を用意しているので、気軽に検証していただくことが可能です。

CodeGuru のセットアップ作業は対象のリポジトリを CodeGuru と関連付けするだけで終わります。GitHub の例を見てみましょう。

これでセットアップは完了しました。

初回はフルスキャンで既存の問題点を特定し、以降は pull request または GitHub Actions による CI ワークフローから都度スキャンを実施していくのが一般的な流れになります。また、検出項目は日々増えているため、定期的にフルスキャンを実施するのも良いでしょう。

検出項目の確認方法はレビュー実施方法によって変わります。

AWS コンソールから確認する時の一例を見てみましょう。

続いて、リポジトリプロバイダの Pull request コメントも見てみましょう。GitHub を例に挙げています。

このように、AWS コンソールへのアクセス権限がないデベロッパーも恩恵が受けられるようになっています。

本日は Amazon CodeGuru Reviewer の概要について紹介しました。コードレビューの効率化という難しいテーマに対する一つの解となれば幸いです。

人に代わってコードレビューを全てツールに任せるのは難しいです。それはビジネスロジックやアプリケーション全体の設計は人が行っており、品質を維持する上で必ず人による判断が必要とされるためです。しかし、発見が難しい箇所やケアが行き届かないセキュリティ関連のレビューはツールを併用し、第三の目を増やすという観点でコードレビューをより効率化することができます。その一つの選択肢として CodeGuru Reviewer も検討してみてはいかがでしょうか。Let’s code confidently !

少し余談ですが、CodeGuru は 2019 年年末の AWS がホストするカンファレンス AWS re:Invent で発表されました。発表当初はまだプレビュー状態で、Java のみがサポートされており、pull request による検出しか対応できませんでした。その後、継続的な機能強化と料金の大幅な見直しを経て、2 年経った今ではここまでパワフルなサービスに成長しました (筆者としても大変感慨深いです・・・!)。他 AWS サービスと同様に今後も CodeGuru は絶えず進化していきますので、ぜひご期待ください。