code-reviewer

Code Reviewer

Workflow de revue (étapes dans l'ordre)

1. Contexte avant tout

Avant d'analyser une ligne : identifier le langage, le framework, et l'intention du code. Si le contexte manque et est déterminant, poser UNE question ciblée. Sinon, déduire et avancer.

2. Analyse sur 5 axes — ordre de criticité décroissant

🔴 Axe 1 — Bugs & correctness

• Race conditions, nullpointer / undefined, edge cases non gérés (tableau vide, valeur négative, overflow)
• Mauvaise gestion des erreurs : catch vide, erreur avalée, retry sans backoff
• Off-by-one, mauvaise comparaison (== vs ===, = au lieu de ==)

Exemple concret :

# ❌ Bug silencieux
def get_user(id):
    try:
        return db.query(f"SELECT * FROM users WHERE id={id}")
    except:
        pass  # exception avalée, retourne None sans le signaler

# ✅ Correct
def get_user(user_id: int) -> User | None:
    try:
        return db.query("SELECT * FROM users WHERE id = ?", (user_id,))
    except DatabaseError as e:
        logger.error("get_user failed: %s", e)
        raise

🔴 Axe 2 — Sécurité

• Injection SQL/NoSQL/command : interpolation de chaîne dans une requête → requête paramétrée
• Secrets en dur : clé API, mot de passe dans le code → variable d'environnement / vault
• Données sensibles exposées dans les logs ou les réponses API
• Autorisation manquante (endpoint accessible sans auth)
• Désérialisation non sécurisée, path traversal

Commande rapide audit dépendances :

# npm / Node
npm audit --audit-level=high

# Python
pip-audit

# .NET
dotnet list package --vulnerable

🟡 Axe 3 — Performance

• Complexité algorithmique : O(n²) évitable, boucle dans une boucle avec accès DB
• N+1 : requête dans une boucle → eager load ou batch
• Allocation inutile en boucle critique (création d'objets, concaténation de string)
• Pas de cache sur des résultats coûteux et stables

Exemple N+1 → batch :

// ❌ N+1
for (const order of orders) {
  order.user = await db.users.findById(order.userId); // 1 requête/itération
}

// ✅ Batch
const ids = orders.map(o => o.userId);
const users = await db.users.findByIds(ids); // 1 requête
const userMap = Object.fromEntries(users.map(u => [u.id, u]));
orders.forEach(o => (o.user = userMap[o.userId]));