Qu’est-ce que code-review-graph ?
code-review-graph analyse un dépôt avec tree-sitter en un graphe de fonctions, classes, imports, appels et tests, le stocke dans un fichier SQLite local, et le sert aux outils de codage IA via MCP. Quand vous relisez un changement, l'assistant demande au graphe le « rayon d'impact » (chaque appelant, dépendant et test que le changement pourrait toucher) et ne lit que ces fichiers. Des hooks et un mode watch gardent le graphe à jour de façon incrémentale.
Il expose 30 outils MCP et 5 prompts, de l'analyse d'impact et du contexte de revue à la liste des flux d'exécution, les vues d'architecture, les aperçus de refactorisation et la recherche inter-dépôts ; un réglage CRG_TOOLS réduit la liste. Une seule commande d'installation détecte et configure 16 outils IA, dont Claude Code, Codex, Cursor, Windsurf, Zed, Gemini CLI et GitHub Copilot. Une GitHub Action poste des commentaires de revue notés par risque sur les pull requests.
Le dépôt a environ 32 300 étoiles GitHub ; la version 2.3.9 est sortie le 18 septembre 2026. Il est sous licence MIT et a besoin de Python 3.10 ou plus récent.
Installer code-review-graph
pip install code-review-graph && code-review-graph installcode-review-graph vaut-il le coup ?
L'idée est solide : au lieu de laisser un assistant relire de grandes parties d'une base de code à chaque revue, précalculez qui dépend de quoi et remettez-lui une courte liste. Le README rapporte une réduction médiane de tokens d'un facteur 63 par question sur six dépôts open source, avec un maximum de 358 sur le plus grand, fastapi. Un build à froid d'un dépôt d'environ 3 000 fichiers a pris environ 40 secondes dans les mesures du mainteneur, et une édition de deux fichiers se réindexe en environ 2,5 secondes, dont 1,4 est le démarrage du processus.
Le projet est franc sur ses limites, ce qui est plus rare qu'il ne devrait l'être. Il dit que son rappel d'impact de 1,0 est circulaire (la vérité terrain vient du même graphe), rapporte un F1 moyen de 0,69 avec une précision de 0,55, admet que son évaluation de co-changement n'a rien renvoyé d'utilisable, note que le contexte du graphe peut coûter plus cher qu'une simple lecture de fichier pour de petites éditions, et dit que la détection de flux est plus faible pour JavaScript et Go que pour Python et PHP.
Les compromis sont l'empreinte et le contrôle. L'étape d'installation écrit des entrées MCP, des hooks, des skills et des instructions de fichier de règles dans chaque outil IA qu'elle trouve, et 30 définitions d'outils prennent du contexte réel ; le flag par plateforme et CRG_TOOLS gardent cela serré. La plupart des outils ne font que lire, mais apply_refactor_tool édite les fichiers source. Tout reste local par défaut, mais activer un fournisseur d'embedding cloud envoie des extraits de code hors de la machine, ce dont l'outil avertit. Avec 186 issues ouvertes et aucune version depuis le 18 septembre, la maintenance est active plutôt qu'inactive, pourtant l'arriéré est long.
Face à GitNexus, c'est le choix plus permissif (MIT plutôt qu'une licence non commerciale) et plus centré sur la revue. Face à Serena, il est plus faible pour l'édition précise, puisque son graphe vient d'une analyse plutôt que de serveurs de langage, si bien qu'un renommage qu'il prévisualise est une supposition structurelle, pas une vérifiée par types.
Là où il fait la différence
Un relecteur sur un service Python de 3 000 fichiers qui utilise Claude Code
Relire une pull request sans que l'agent lise la moitié du dépôt
Lancez code-review-graph install une fois (environ 40 secondes à construire pour cette taille) ; l'agent appelle get_review_context_tool et get_impact_radius_tool et ne lit que les fichiers du rayon d'impact. La médiane du README est de 63 fois moins de tokens par question, bien qu'une édition de deux lignes puisse coûter plus que lire le fichier.
Un responsable d'ingénierie qui veut un signal de risque sur chaque pull request
Signaler les changements risqués et les points chauds non testés en CI
La GitHub Action composite construit le graphe sur le runner et poste un commentaire épinglé avec les fonctions notées par risque, les flux affectés et les lacunes de tests ; fail-on-risk en fait une barrière de fusion. Aucun code ne quitte le runner, si bien que le seul coût est les minutes de CI.
Un développeur qui rejoint une grande base de code PHP inconnue
Obtenir une carte d'architecture avant de toucher à quoi que ce soit
get_architecture_overview_tool et generate_wiki_tool construisent une vue depuis les communautés de code détectées, et get_knowledge_gaps_tool pointe vers les points chauds non testés. La détection de flux est plus forte pour Python et PHP que pour JavaScript ou Go, si bien que la carte est la plus fiable dans ces langages.
Avant de vous engager
- Mise en route
- pip install code-review-graph, puis code-review-graph install détecte jusqu'à 16 outils IA et écrit des entrées MCP, des hooks, des skills et des instructions de règles dans chacun ; redémarrez l'éditeur. Python 3.10+ ; code-review-graph uninstall ne retire que ses propres entrées.
- Intégrations
- 30 outils plus 5 prompts MCP comme review_changes et pre_merge_check. La plupart sont des requêtes en lecture seule (rayon d'impact, contexte de revue, appelants et appelés, flux, communautés, nœuds hub et bridge) ; build_or_update_graph_tool, embed_graph_tool, generate_wiki_tool et apply_refactor_tool écrivent, le dernier dans vos fichiers source.
- Données et confidentialité
- Le graphe est un fichier SQLite local ; serve tourne sur stdio, et serve --http écoute sur localhost:5555. Les embeddings cloud optionnels (Gemini, Voyage, MiniMax ou tout endpoint compatible OpenAI) envoient des extraits de code hors de la machine, avec un avertissement d'abord. Aucun avis de sécurité n'est publié.
- Coût à grande échelle
- Gratuit. Les embeddings locaux utilisent par défaut all-MiniLM-L6-v2 sur CPU ; les fournisseurs d'embedding cloud facturent à leurs propres tarifs. L'économie est sur la facture du modèle : les questions d'exemple du README renvoient environ 2 200 à 3 900 tokens au lieu d'un corpus entier.
- Limites
- Le rappel d'impact est circulaire de l'aveu du projet, avec un F1 moyen de 0,69 sur 13 commits. Les outils en lecture seule n'ont pas de délai d'expiration sauf si CRG_TOOL_TIMEOUT est défini, et les outils d'écriture n'en sont jamais bornés.
Les points forts
- Analyse du rayon d'impact visant directement la revue de code
- Graphe SQLite local ; aucun service externe nécessaire
- Sous licence MIT, avec une GitHub Action pour les commentaires de PR
- Documente les limites de son propre benchmark
Les points faibles
- 30 outils ajoutent un surcoût de contexte sauf s'ils sont réduits
- L'installateur écrit des hooks et des règles dans chaque outil détecté
- Détection de flux plus faible pour JavaScript et Go
- 186 issues ouvertes ; aucune version depuis septembre 2026
Idéal pour
Les équipes qui utilisent des assistants IA pour la revue de pull requests sur des dépôts moyens à grands et veulent un graphe de code local sous licence permissive.
Alternatives à code-review-graph
code-review-graph : questions fréquentes
- code-review-graph vaut-il le coup ?
- Le rayon d'impact précalculé rend la revue IA moins chère sur les gros dépôts, et le projet est exceptionnellement franc sur les endroits où ses chiffres pèchent ; réduisez ses 30 outils avant d'installer. Nous lui donnons 4.0 sur 5.
- Combien coûte code-review-graph ?
- Gratuit et open source (MIT). Les fournisseurs d'embedding cloud optionnels (Gemini, Voyage, compatibles OpenAI) vous facturent séparément.
- Quels sont les inconvénients de code-review-graph ?
- 30 outils ajoutent un surcoût de contexte sauf s'ils sont réduits; l'installateur écrit des hooks et des règles dans chaque outil détecté; détection de flux plus faible pour JavaScript et Go; 186 issues ouvertes ; aucune version depuis septembre 2026.
- À qui s’adresse code-review-graph ?
- Les équipes qui utilisent des assistants IA pour la revue de pull requests sur des dépôts moyens à grands et veulent un graphe de code local sous licence permissive.
- Combien coûte code-review-graph pour une équipe ou en production ?
- Gratuit. Les embeddings locaux utilisent par défaut all-MiniLM-L6-v2 sur CPU ; les fournisseurs d'embedding cloud facturent à leurs propres tarifs. L'économie est sur la facture du modèle : les questions d'exemple du README renvoient environ 2 200 à 3 900 tokens au lieu d'un corpus entier.
- code-review-graph est-il sûr pour les données de l’entreprise ?
- Le graphe est un fichier SQLite local ; serve tourne sur stdio, et serve --http écoute sur localhost:5555. Les embeddings cloud optionnels (Gemini, Voyage, MiniMax ou tout endpoint compatible OpenAI) envoient des extraits de code hors de la machine, avec un avertissement d'abord. Aucun avis de sécurité n'est publié.
- Quelles sont les meilleures alternatives à code-review-graph ?
- Les alternatives les plus proches que nous avons testées sont GitNexus, Serena, Semble, GitHub MCP Server et CodeGraph.
Réponses vérifiées le 23 oct. 2026.