# Dùng Codex review code trước khi merge: cách làm và những gì AI hay bỏ sót

URL: https://opcaios.org/blog/dung-codex-review-code
Ngày: 2026-11-03
Cập nhật: 2026-11-03
Tác giả: Lê Quốc Nghĩa
Chuyên mục: Hướng dẫn

Dùng Codex review code là gì? Dùng Codex review code là nhờ tác tử lập trình Codex của OpenAI đọc phần thay đổi (diff) của một nhánh, một commit hoặc một pull request rồi báo các lỗi đáng lo trước khi bạn merge, bằng lệnh `/review` ngay trên máy hoặc bằng bình luận `@codex review` trên GitHub. Bài này không hứa Codex review code bắt được mọi lỗi, cũng không coi nhận xét của AI là bảo chứng chất lượng: chúng tôi không có số liệu đo tỉ lệ bắt lỗi của Codex, và trang tài liệu chúng tôi đọc cũng không nêu con số đó. Nói thẳng từ đầu: OPCAIOS chưa dùng Codex review code thường xuyên; phần cách làm dựa trên tài liệu chính thức và `--help` của Codex CLI bản 0.162.1, đọc ngày 03/11/2026. Bài gồm: review trên máy, review trên GitHub, tiêu chí review, những gì AI hay bỏ sót, checklist người review và cách ghép với test. Chưa biết công cụ, đọc [Codex là gì](/blog/codex-la-gi).

![Sơ đồ dùng Codex review code trước khi merge: thay đổi trên nhánh đi qua test tự động, Codex review trên máy bằng /review hoặc trên GitHub bằng @codex review, tiêu chí review đặt trong AGENTS.md, người review kiểm tra nghiệp vụ, bảo mật, hiệu năng theo checklist rồi mới merge](https://opcaios.org/images/blog/dung-codex-review-code/so-do.webp)
*Test tự động chặn lỗi máy móc, Codex soi diff, người review quyết định merge. Sơ đồ: OPCAIOS.*

## Lệnh /review của Codex trên máy làm được gì?

Lệnh `/review` là cách mở phiên review code ngay trong Codex CLI, ứng dụng desktop Codex hoặc tiện ích IDE, không cần đẩy code lên GitHub. Theo trang "Code review" trên learn.chatgpt.com/docs (đọc ngày 03/11/2026, developers.openai.com/codex chuyển hướng sang đây), Codex CLI có 4 lựa chọn khi gõ `/review`:

1. **Review against a base branch**: Codex tìm điểm rẽ nhánh (merge base) rồi review toàn bộ diff của nhánh so với nhánh gốc.
2. **Review uncommitted changes**: review thay đổi đã stage, chưa stage và file Git chưa theo dõi.
3. **Review a commit**: review đúng phần thay đổi của một commit.
4. **Custom review instructions**: review theo tiêu chí bạn tự viết.

Ứng dụng desktop và tiện ích IDE chỉ có 2 lựa chọn đầu, và lệnh chỉ hiện khi dự án nằm trong kho Git. Theo tài liệu, review không sửa thư mục làm việc, chỉ báo phát hiện đã xếp ưu tiên. Khoá `review_model` trong file cấu hình cho phép dùng model khác riêng cho review.

### Có lệnh review chạy không tương tác không?

Có. `codex review --help` trên Codex CLI bản 0.162.1 cho thấy lệnh `codex review` chạy review không cần mở khung chat, với các cờ `--uncommitted` (thay đổi chưa commit), `--base <BRANCH>` (so với nhánh gốc), `--commit <SHA>` (một commit) và `--title` (tiêu đề trong bản tóm tắt). Lệnh nhận thêm tiêu chí review dạng văn bản. Trang tài liệu chúng tôi đọc không mô tả lệnh này, nên chi tiết chỉ dựa trên phần trợ giúp.

```bash
codex review --base main
codex review --uncommitted "Tập trung vào kiểm tra quyền truy cập và xử lý lỗi"
```

## Gắn Codex vào pull request trên GitHub thế nào?

Gắn Codex vào pull request là bật tính năng Code Review của Codex cho một kho GitHub đã kết nối, để Codex tự đăng bài review lên pull request. Theo trang "GitHub" trong mục tích hợp của tài liệu Codex (đọc ngày 03/11/2026), các bước là:

1. Kết nối kho GitHub với Codex.
2. Mở trang cài đặt code review của Codex tại chatgpt.com/settings/code-review, chọn kho, bật **Automatic review** trong phần **Review code** nếu muốn mọi pull request đều được review.
3. Muốn tự động review pull request của chính mình, bật **Automatic review** trong **Personal preferences** và chọn kiểu kích hoạt.
4. Không bật tự động thì bình luận `@codex review` trên pull request; có thể thêm trọng tâm, ví dụ `@codex review for issues in the database migration`.

Cần quyền push hoặc quản trị kho. Tài liệu ghi Codex chỉ gắn cờ lỗi mức P0 và P1 trên GitHub để bình luận tập trung vào rủi ro cao. Có thêm lệnh `@codex security review` cho review bảo mật, kết quả đầy đủ nằm ở tab Security Report của tác vụ. Trang này không nêu điều kiện gói ChatGPT.

## Viết tiêu chí review cho Codex thế nào để có ích?

Tiêu chí review là danh sách ngắn các điều bạn muốn Codex soi kỹ, đặt trong file AGENTS.md để mọi lần review đều dùng chung. Tài liệu GitHub của Codex khuyên thêm mục `## Code Review Rules` vào file AGENTS.md gần nhất với phần code mà quy tắc chi phối, dùng `###` để nhóm kiểm tra; với mỗi file thay đổi, Codex áp quy tắc ở file gốc cộng quy tắc cụ thể nhất. Tài liệu khuyên bắt đầu bằng 2 đến 3 quy tắc ngắn và để kiểm tra máy móc như định dạng, lint cho CI. Xem thêm [AGENTS.md là gì](/blog/agents-md-la-gi). Ví dụ giả định cho một website bán khoá học:

```markdown
## Code Review Rules

### Thanh toán
- Mọi thay đổi trong mã xử lý webhook thanh toán phải kiểm tra chữ ký và chống xử lý trùng.

### Quyền truy cập
- Nội dung trả phí không bao giờ được gửi xuống trình duyệt trước khi kiểm tra quyền ở máy chủ.
```

Tiêu chí tốt nói rõ rủi ro nghiệp vụ, kiểm chứng được bằng cách đọc code và đủ hẹp.

## Codex hay bỏ sót những gì khi review code?

Codex review code hay bỏ sót những lỗi cần thông tin nằm ngoài diff, và đây là nhận định có lý do chứ không phải kết quả đo của chúng tôi. Một tác tử chỉ thấy phần thay đổi, phần code nó chọn đọc thêm và tiêu chí bạn đưa; nó không biết khách thật dùng sản phẩm ra sao hay dữ liệu thật lớn cỡ nào. Ba nhóm cần người soi kỹ:

1. **Ngữ cảnh nghiệp vụ**: code đúng về kỹ thuật nhưng sai quy tắc kinh doanh, ví dụ giảm giá cộng dồn khi lẽ ra không được, hay đổi trạng thái đơn hàng mà quên gửi email. AI chỉ biết quy tắc nếu nó được viết ra.
2. **Bảo mật**: lỗ hổng thường nằm ở chỗ ghép nhiều phần, như một route mới quên kiểm tra quyền hay một biến môi trường bị in ra nhật ký. Xem [bảo mật khi dùng AI viết code](/blog/bao-mat-khi-dung-ai-viet-code).
3. **Hiệu năng thực tế**: truy vấn chạy nhanh với 50 dòng dữ liệu thử có thể chậm hẳn với dữ liệu thật; AI không thấy kích thước bảng hay lưu lượng thật nếu bạn không đưa số liệu.

Ngoài ra, phát hiện của AI có thể sai; hãy đối chiếu từng phát hiện với chính dòng code được chỉ ra.

## Checklist người review nên kiểm tra sau Codex

Checklist người review là bước cuối mà AI không thay được, vì người review chịu trách nhiệm quyết định merge. Gợi ý dùng sau khi Codex đã chạy:

1. Đọc mô tả pull request: diff có làm đúng việc được nêu, không hơn không kém.
2. Đọc diff thật, không chỉ bản tóm tắt của AI.
3. Với từng phát hiện của Codex, mở dòng code tương ứng và tự xác nhận lỗi có thật.
4. Kiểm tra quy tắc nghiệp vụ liên quan: giá, quyền, trạng thái, thông báo cho khách.
5. Kiểm tra dữ liệu nhạy cảm: khoá bí mật, thông tin cá nhân, nội dung trả phí có bị lộ không.
6. Kiểm tra thay đổi cơ sở dữ liệu: có đảo ngược được không, có khoá bảng lâu không.
7. Hỏi về hiệu năng: truy vấn mới chạy trên bao nhiêu dòng, có vòng lặp gọi mạng không.
8. Xác nhận test tự động đã chạy và xanh, kể cả test mới cho phần thay đổi.
9. Ghi lại lý do merge hoặc không merge.

Người không biết code vẫn làm được các bước 1, 4, 5 và 9; xem thêm [quy trình an toàn cho người không biết code](/blog/tac-tu-lap-trinh-cho-nguoi-khong-biet-code-quy-trinh-an-toan).

## Kết hợp Codex review với test tự động thế nào?

Kết hợp Codex review với test tự động nghĩa là chia việc: test và lint bắt lỗi máy móc, lặp lại được; Codex soi logic và rủi ro trong diff; người review quyết định. Thứ tự gợi ý:

| Lớp | Bắt được gì | Ai chạy |
|---|---|---|
| Lint, kiểm tra kiểu, định dạng | Lỗi cú pháp, kiểu dữ liệu, phong cách | CI, mỗi lần đẩy code |
| Test tự động | Hành vi đã biết bị hỏng | CI, mỗi pull request |
| Codex review | Logic sai, trường hợp biên, rủi ro P0/P1 | `/review` trên máy hoặc `@codex review` |
| Người review | Nghiệp vụ, bảo mật theo ngữ cảnh, hiệu năng thật | Chủ dự án |

Khi Codex chỉ ra một lỗi có thật, yêu cầu viết test tái hiện lỗi trước khi sửa. Muốn chạy Codex trong CI, xem [codex exec chạy tự động](/blog/codex-exec-chay-tu-dong); chế độ sandbox quyết định Codex được làm gì, xem [chế độ phê duyệt và sandbox của Codex](/blog/che-do-phe-duyet-va-sandbox-cua-codex).

## Kinh nghiệm của OPCAIOS

OPCAIOS chưa dùng Codex review code thường xuyên, và chúng tôi nói thẳng để bài không gây hiểu nhầm. Máy làm việc chính có Codex CLI bản 0.162.x và ứng dụng desktop Codex, dùng song song với Claude Code và Google Antigravity. Thư mục dành cho plugin code review của Codex có trên máy nhưng đang trống. Chúng tôi từng nhờ một tác tử khác review thay đổi, nhưng chưa đo hiệu quả, nên không có con số nào về số lỗi bắt được. Một bài học từ việc nhiều tác tử cùng sửa một hệ thống (xem [nhiều phiên AI cùng sửa một dự án](/blog/nhieu-phien-ai-cung-sua-mot-du-an)): có lỗi nằm hẳn ngoài logic, ví dụ một lần deploy từ máy Windows làm hơn 1.500 file khác đi chỉ vì kiểu xuống dòng. Nhìn số file thay đổi trước khi đọc chi tiết giúp bắt loại lỗi này sớm.

## Câu hỏi thường gặp

### Codex review code có thay thế người review không?

Không. Codex review code soi diff nhanh và nêu rủi ro P0, P1, nhưng chỉ biết những gì nằm trong code và tiêu chí bạn viết ra. Quy tắc kinh doanh chưa ghi, dữ liệu thật hay thoả thuận với khách nằm ngoài tầm nhìn của nó, và phát hiện có thể sai. Hãy dùng Codex như người đọc thứ hai; quyết định merge vẫn là của người chịu trách nhiệm sản phẩm.

### Lệnh /review có tự sửa code không?

Theo trang "Code review" của tài liệu Codex (đọc ngày 03/11/2026), review không thay đổi thư mục làm việc: Codex chỉ báo các phát hiện đã xếp ưu tiên. Muốn sửa, bạn yêu cầu thêm trong cùng phiên, và khi đó chế độ sandbox cùng chế độ phê duyệt bạn đang dùng vẫn áp dụng. Cách an toàn là đọc từng phát hiện, chọn cái có thật, rồi mới cho Codex sửa trên nhánh riêng.

### Vì sao Codex không bình luận các lỗi nhỏ trên GitHub?

Tài liệu tích hợp GitHub ghi Codex chỉ gắn cờ lỗi mức P0 và P1 để bình luận tập trung vào rủi ro cao. Vì vậy việc không có bình luận không có nghĩa là pull request không còn lỗi nhỏ. Các lỗi định dạng, đặt tên, phong cách nên giao cho lint và formatter trong CI. Muốn Codex chú ý một vùng cụ thể, thêm trọng tâm vào sau `@codex review`, hoặc viết quy tắc trong mục Code Review Rules của AGENTS.md.

### Nên viết bao nhiêu quy tắc review trong AGENTS.md?

Tài liệu Codex khuyên bắt đầu với 2 đến 3 quy tắc ngắn rồi thêm dần. Quy tắc nên gắn với rủi ro nghiệp vụ thật của dự án, như thanh toán, quyền truy cập, dữ liệu cá nhân, và đặt trong file AGENTS.md gần phần code liên quan nhất. Sau mỗi lỗi lọt qua review, cân nhắc thêm một quy tắc hoặc một test tương ứng.

### Người không biết code có dùng Codex review được không?

Được ở mức hỗ trợ, nếu bạn coi kết quả là danh sách câu hỏi cần kiểm tra chứ không phải phán quyết. Hãy yêu cầu Codex giải thích từng phát hiện bằng lời thường, chỉ rõ dòng code và hậu quả với khách hàng. Phần bạn tự làm tốt nhất là kiểm tra quy tắc nghiệp vụ, dữ liệu nhạy cảm và lý do merge. Muốn được hướng dẫn quy trình review an toàn theo dự án thật, xem [khoá đào tạo ứng dụng AI](/services/dao-tao-ung-dung-ai) của OPCAIOS.

*Nguồn: tài liệu Codex của OpenAI, các trang "Code review" và "GitHub" trên learn.chatgpt.com/docs (developers.openai.com/codex chuyển hướng sang), cùng `codex review --help` của Codex CLI bản 0.162.1, đọc ngày 03/11/2026; ví dụ quy tắc review và website bán khoá học là giả định; chưa kiểm chứng điều kiện gói ChatGPT cho Code Review, chưa đo tỉ lệ bắt lỗi của Codex, chưa chạy thử các lệnh review trong bài trên kho của OPCAIOS. Kinh nghiệm là của OPCAIOS.*