Claude cho Engineering: Code Review tự động

Code review là một trong những hoạt động quan trọng nhất trong quy trình phát triển phần mềm, nhưng cũng tốn nhiều thời gian nhất. Một reviewer giỏi cần kiểm tra đồng thời: lỗ hổng bảo mật, vấn đề hiệu năng, edge cases bị bỏ qua, và chất lượng code. Claude có thể đảm nhận vai trò reviewer đầu tiên — bắt các vấn đề phổ biến trước khi code đến tay senior engineer, giúp team tập trung vào các discussion chiến lược hơn.

Tại sao dùng Claude cho code review?

Trong nhiều team engineering tại Việt Nam, code review thường gặp hai vấn đề: reviewer quá bận nên review qua loa, hoặc review mất quá nhiều thời gian vì phải kiểm tra từng dòng. Claude giải quyết cả hai bằng cách:

• Review nhanh theo cấu trúc, không bỏ sót các checklist quan trọng
• Phát hiện các pattern lỗi phổ biến (N+1 queries, SQL injection, memory leaks)
• Đưa ra gợi ý cụ thể kèm code example, không chỉ nhận xét chung chung
• Không bị ảnh hưởng bởi "ship deadline pressure" — luôn review kỹ như nhau

Bốn chiều review của Claude

1. Bảo mật (Security)

Claude kiểm tra các lỗ hổng phổ biến trong OWASP Top 10:

• SQL injection, NoSQL injection
• XSS (Cross-Site Scripting) và CSRF
• Authentication và authorization flaws
• Secrets hoặc credentials hardcoded trong code
• Path traversal và SSRF
• Insecure deserialization

2. Hiệu năng (Performance)

• N+1 queries — truy vấn database trong vòng lặp
• Memory leaks và unnecessary allocations
• Algorithmic complexity — O(n²) trong hot paths
• Missing database indexes
• Unbounded queries hoặc loops
• Resource leaks (connections, file handles)

3. Tính đúng đắn (Correctness)

• Edge cases: empty input, null, integer overflow
• Race conditions và concurrency issues
• Error handling và error propagation
• Off-by-one errors
• Type safety

4. Khả năng bảo trì (Maintainability)

• Naming clarity — tên biến/function có tự giải thích không?
• Single responsibility principle
• Code duplication
• Test coverage
• Documentation cho logic phức tạp

Workflow code review với Claude

1. Bước 1: Copy diff hoặc đoạn code cần review
2. Bước 2: Cung cấp context (đây là hot path? xử lý PII? public API?)
3. Bước 3: Chỉ định focus nếu cần (chỉ review security, hoặc focus performance)
4. Bước 4: Nhận structured report với Critical Issues và Suggestions
5. Bước 5: Áp dụng fix, re-submit cho human reviewer với context đầy đủ hơn

Prompt mẫu: Review tổng quát

Review đoạn code Node.js này cho tôi. Đây là endpoint
xử lý thanh toán, là hot path trong hệ thống:

async function processPayment(req, res) {
  const { userId, amount, cardNumber } = req.body;

  const user = await db.query(
    'SELECT * FROM users WHERE id = ' + userId
  );

  if (user.balance >= amount) {
    await db.query(
      'UPDATE users SET balance = balance - ' + amount +
      ' WHERE id = ' + userId
    );

    const orders = await db.query(
      'SELECT * FROM orders WHERE user_id = ' + userId
    );

    for (const order of orders) {
      await sendNotification(order.id, 'payment_processed');
    }

    res.json({ success: true });
  }
}

Hãy review theo 4 chiều: Security, Performance,
Correctness, Maintainability.

Kết quả mong đợi từ Claude

Claude sẽ trả về report có cấu trúc:

## Code Review: processPayment endpoint

### Tóm tắt
Endpoint xử lý thanh toán có nhiều lỗ hổng nghiêm trọng
cần fix ngay trước khi deploy.

### Critical Issues (lỗi nghiêm trọng)
| # | Vấn đề | Severity |
|---|--------|----------|
| 1 | SQL Injection tại dòng userId | Nghiêm trọng |
| 2 | cardNumber log vào response | Nghiêm trọng |
| 3 | Race condition: check-then-act balance | Cao |
| 4 | N+1 query: notification trong loop | Trung bình |

### Gợi ý cải thiện
...

### Verdict: Cần sửa trước khi merge

Prompt mẫu: Review tập trung security

Đây là API authentication mới của chúng tôi.
Hãy chỉ focus vào security review, đặc biệt:
- JWT validation
- Session management
- Brute force protection
- Có secrets nào bị expose không?

[paste code ở đây]

Prompt mẫu: Review database queries

Review các database queries trong file này.
Chú trọng vào:
1. N+1 query problems
2. Missing indexes (dựa trên query pattern)
3. Unbounded queries không có LIMIT
4. Transaction safety

Chúng tôi dùng PostgreSQL, khoảng 5 triệu rows trong bảng orders.

[paste code]

Tích hợp vào quy trình PR

Cách tốt nhất là dùng Claude như "pre-review" trước khi assign reviewer chính:

1. Developer tự review code của mình với Claude trước khi tạo PR
2. Fix các vấn đề Claude phát hiện
3. Trong PR description, ghi chú: "Đã pre-review với Claude, các vấn đề security/performance đã được xử lý"
4. Human reviewer tập trung vào business logic và architecture concerns

Quy trình này giúp giảm đáng kể round-trip time của PR và nâng cao chất lượng code baseline của cả team.

Ví dụ thực tế: Review React component

Review React component này. Chúng tôi build B2B SaaS,
component này render danh sách 10.000 transactions:

function TransactionList({ userId }) {
  const [transactions, setTransactions] = useState([]);

  useEffect(() => {
    fetch('/api/transactions?user=' + userId)
      .then(r => r.json())
      .then(data => setTransactions(data));
  });

  return (
    <div>
      {transactions.map(t => (
        <div dangerouslySetInnerHTML={{__html: t.description}} />
      ))}
    </div>
  );
}

Hãy focus vào performance và security.

Claude sẽ bắt được: missing dependency array trong useEffect (infinite loop), XSS qua dangerouslySetInnerHTML, và thiếu virtualization cho danh sách 10.000 items.

Mẹo dùng hiệu quả

• Cung cấp context: "Đây là hot path" hay "Xử lý dữ liệu cá nhân" giúp Claude ưu tiên đúng vấn đề
• Chỉ định concern: "Focus vào security" cho kết quả sâu hơn review tổng quát
• Include tests: Claude cũng sẽ check test coverage và chất lượng test case
• Review từng function: Với PR lớn, review từng function riêng lẻ cho kết quả chính xác hơn

Bước tiếp theo

Code review chỉ là một phần của engineering workflow. Khám phá thêm:

• Thư viện ứng dụng Claude cho Engineering
• Kết hợp với Debug workflow khi review phát hiện lỗi khó reproduce
• Dùng Testing Strategy workflow để bổ sung test coverage sau khi review

Bài viết liên quan

• Claude cho Engineering: Incident Response workflow
• Claude cho Engineering: Standup và báo cáo tiến độ
• Claude cho Engineering: System Design interviews và planning
• Claude cho Data: Viết database queries từ ngôn ngữ tự nhiên
• Context Engineering — Nghệ thuật quản lý context cho Claude