#Code Review

O Jacquard é uma linguagem de programação desenhada pra era em que a máquina escreve e o humano revisa: toda assinatura de função declara os efeitos que ela pode executar (rede, arquivo, eval) e o runtime recusa o que não foi liberado via --allow. Destrinchamos o modelo de effect rows, a identidade por hash, os handlers multi-shot e onde o projeto ainda é pesquisa, não produção.

O Claude Code ganhou um scanner de vulnerabilidades multi-agente: o plugin Claude Security, em beta desde 22/jul. Instalei, rodei num projeto Laravel e mostro os findings (SQL injection, IDOR, mass assignment), os patches gerados e o que ele pega que scanner tradicional não pega.

O código que a IA gerou roda, compila e passa no happy path e quebra em produção. Entenda por que o modelo gera código plausível-mas-errado e qual processo de revisão pega o problema antes do merge.

Pipeline em três camadas que automatiza revisão de PR sem ruído: um gate filtra trivialidades, um reviewer com Claude e tool use roda php artisan test antes de comentar, e um escalator chama humano quando o modelo não tem confiança. Workflow YAML completo, prompt em XML em três blocos e um caso real de SQL injection que o bot pegou em produção.

Bot de code review que comenta "considere adicionar testes" em todo PR vira meme rápido. Cinco padrões — diff-anchored, severity gate, tool use antes do palpite, citation obrigatória e self-grading com threshold — sobem o signal ratio acima de 60% e mantêm o time confiando no review. Inclui workflow Laravel pronto.

Todo PR abre, o bot comenta a mesma coisa: considere adicionar testes, refatore isso, verifique aquilo. Em duas semanas o time muta o canal. Code review com IA não é problema de modelo, é problema de filtro. Neste post: prompt em três camadas, ferramentas que validam antes de palpitar, scoring de confiança 0 a 100 com threshold de 80, workflow Laravel + Claude no GitHub Actions pronto para colar e uma métrica honesta de precision e recall do bot.