Devin Review

​

機能

​

はじめに

• Devin webapp — app.devin.ai/review にアクセスすると、あなたに割り当てられた PR、あなたが作成した PR、レビュー依頼されている PR など、オープンな PR がカテゴリ別に表示されます。Devin が PR を作成した場合、チャット内にオレンジ色の「Review」ボタンが表示されます。
• PR コメント — 組織が接続したリポジトリ内の任意の GitHub PR に /devin review とコメントすると、Devin がその場でレビューします。PR コメントからレビューをトリガーするを参照してください。
• URLショートカット — 任意の GitHub.com の PR リンクで、URL 内の github.com を devinreview.com に置き換えてください。非公開の PR の場合は、事前に Devin にサインインしてください。
• GitHub Enterprise — 完全な PR URL を app.devin.ai/review の Devin Review ページに貼り付けてください。GitHub のすべての提供形態 (GitHub.com、Enterprise Server、Enterprise Cloud) は同じ機能に対応しています。
• Azure DevOps — リポジトリを Devin に接続した後、完全な PR URL (例: https://dev.azure.com/.../pullrequest/...、または Azure DevOps Server のホスト) を app.devin.ai/review に貼り付けてください。

​

対応している Git プロバイダー

​

レビューの読み方

​

権限

​

ガバナンス

​

コスト管理

​

消費量ダッシュボード

• ユーザーごとの内訳 — 現在および前回の請求サイクルで、各ユーザーが消費したレビュー ACU 数を確認できます。
• リポジトリごとの内訳 — 現在および前回の請求サイクルについて、リポジトリごとのレビュー ACU 消費量、レビュー数、検出されたバグの数を確認でき、どのリポジトリが最もレビューコストを押し上げているか、またレビューが最も多くの問題を検出しているのはどこかを特定するのに役立ちます。

​

レビューサイズの指標

​

PRごとの自動レビュー利用上限

• 手動レビューは引き続き利用できます — この上限で一時停止されるのは自動レビューだけです。PR review page からいつでも自分でレビューをトリガーできます。
• PRごとに再度有効化 — アクションメニュー (ヘッダー内の三点メニュー) からそのPRの自動レビューを再びオンにすると、自動レビューが再開され、そのPRはこの上限の対象外になります。

​

PR ワークフロー操作

• Merge — リポジトリで設定されたマージ戦略 (merge commit、squash、または rebase) を使用して PR をマージします。マージ ボタンには、PR の現在のマージ可否のステータスと必要なチェックが反映されます。
• Close — PR をマージせずにクローズします。マージ ボタンの横にあるドロップダウン メニューから利用できます。
• Convert to draft — オープン中の PR をドラフト状態に変更します。PR がオープン中で、まだドラフトでない場合にドロップダウン メニューから利用できます。
• Mark ready for review — ドラフト PR をレビュー準備完了としてマークします。ドラフト PR では、マージ バーに「レビュー準備完了」ボタンが表示されます。
• Auto-merge — マージ ボタンのドロップダウンから GitHub の自動マージを有効または無効にします。有効にすると、必要なチェックがすべて完了した時点で PR は自動的にマージされます。マージ バーには、誰が有効にしたかを含む現在の自動マージのステータスが表示されます。

​

スタック型PR

• スタックパネル — PRヘッダーには、マージ先のベースブランチまで、すべてのメンバーが下から上の順に並んだスタックが表示されます。各メンバーからそれぞれのレビューページに移動できるため、スタックをレイヤーごとに確認できます。
• レイヤーごとのマージ準備状況 — 各メンバーには、実際のマージ可否を示すステータスドットが表示されます。CI、必須レビュー、ブランチ保護を考慮してマージ可能な場合は緑、チェックの失敗または競合がある場合は赤、それ以外の理由でマージがブロックされている場合はオレンジです。これには、レイヤー自体はマージ可能でも、その下にマージできないPRがあるためブロックされている場合も含まれます。集約インジケーターにはスタック全体の状態が表示されます。
• 対象を絞った差分 — スタック内の各PRは、その直下のレイヤーとの差分として表示されるため、自動レビューやBug Catcherを含むすべてのレビューでは、そのレイヤーでの変更のみが確認されます。
• スタックのマージ — スタック型PRは、GitHubのアトミックなスタックマージによってマージされます。PRをマージすると、スタック内でそのPRより下にある未マージのPRもすべて、下から上へ1回の操作でマージされます。マージボタンには、その操作でマージされるPR数が正確に表示され、その後GitHubによって残りのPRの対象ブランチがベースブランチに変更されます。

​

自動レビュー

​

自動レビューはいつ実行されますか？

• PR が作成されたとき (ドラフト以外)
• 新しいコミットが PR にプッシュされたとき
• ドラフト PR がレビュー準備完了としてマークされたとき

​

トリガーモード

• 自動レビュー (デフォルト) — PR のオープン、新しいコミットのプッシュ、ドラフト PR のレビュー準備完了への変更など、すべてのイベントでレビューがトリガーされます。
• PR 作成時 — レビューがトリガーされるのは、PR が最初にオープンされたとき、またはドラフト PR がレビュー準備完了としてマークされたときのみです。その後 PR にコミットをプッシュしても、新しいレビューはトリガーされません。
• 手動 — レビューは自動では実行されません。必要なときにいつでも PR レビューページから自身でレビューをトリガーします。これは個人登録のベースティアです。

​

自己登録 (全ユーザー)

1. Settings > Preferences にアクセスします
2. Devin Review の Review trigger で、PR 作成時 または 自動レビュー を設定します (手動 のままにします)

​

レビューコメントの言語

• 表示言語を使用 (デフォルト) — レビューコメントは、表示言語の設定に従います。
• 指定した言語 — 英語、スペイン語、ポルトガル語、日本語、中国語、韓国語、フランス語、ドイツ語、ロシア語、アラビア語、ヘブライ語、インドネシア語から選択します。

​

管理者設定

• Repositories — リポジトリを追加すると、そのリポジトリのすべての PR が自動レビュー対象になります。Add repo ボタンを使用して接続済みリポジトリを検索・選択し、各リポジトリのトリガーモードをリストから設定します。
• Users — 組織全体の参加済みユーザーを、各ユーザーのトリガーモードとあわせて表示します。ユーザーは 自己登録 で自身を登録します。管理者が他のユーザーを直接登録することはできません。
• PR の説明に “Devin Review” リンクを追加 — 有効な場合 (デフォルト) 、Devin はレビューへのリンクを PR の説明に追加します。

​

GitHub への投稿

• Post GitHub CI checks — 有効な場合 (デフォルト) 、Devin はレビューごとに PR にコミットステータスチェックを作成します。これにより、PR の checks リストでレビュー結果を直接確認できます。
• Bugs — バグ (エラーや誤った動作の可能性が高いもの) を PR コメントとして投稿します。
• セキュリティ — セキュリティ脆弱性 とハードニングの提案を PR コメントとして投稿します。
• フラグ (要調査) — 要調査フラグ (詳しく確認する価値のある潜在的な issue) を PR コメントとして投稿します。
• フラグ (note) — note フラグ (対応が不要な場合もある参考情報) を PR コメントとして投稿します。

​

Bug Catcher

​

バグ

• 重大 — ただちに対応が必要な、高い確度の問題
• 軽微 — 重大度は低いものの、確認すべき問題

​

フラグ

• 要調査 — さらなる調査が必要なフラグです。フラグが付いたコードを自分で確認し、実際にバグや問題が存在するかどうかを検証してください。
• 情報 — Bug Catcher が正しいと判断したか、もしくは動作の仕組みを説明しているものです。これらは対応を求めるものではなく、コード変更の内容を理解する助けになります。

​

セキュリティ

• インジェクション (SQL、XSS、コマンド、テンプレート)
• 認証・認可の不備 (アクセス制御の欠如または不備、権限昇格、認証バイパス)
• シークレットの漏洩 (ハードコードされたキー、ログ内のトークン、ソース内の認証情報)
• SSRF およびパストラバーサル
• 安全でないデシリアライズ、プロトタイプ汚染
• 信頼できないデータに対する入力検証の不足
• 脆弱な暗号 (アルゴリズム、鍵管理)
• 通信/クッキーのセキュリティ (HTTPS 強制の欠如、緩い CORS、安全でないクッキーフラグ)
• PR によって導入された安全でないデフォルト設定や設定不備

• 重大 — マージ前に修正すべき、確度の高い 脆弱性
• 警告 — 調査に値する 潜在的なセキュリティ上の弱点

​

検出結果の解決

​

レビュー操作

​

PRコメントからレビューをトリガーする

• コメントの先頭に/devin reviewを正確に入力します。コマンドでは大文字と小文字が区別されず、PRの会話コメントとインラインレビューコメントの両方で使用できます。
• 書き込みアクセスが必要 — コメント投稿者にはリポジトリに対するwriteまたはadmin権限が必要であり、GitHubアカウントがDevinアカウントにリンクされている必要があります。外部コントリビューターはレビューをトリガーできません。
• オープンPRのみ — クローズ済みまたはマージ済みのPRへのコメントは無視されます。
• GitHubのみ — GitHub Enterprise ServerとEnterprise Cloudを含みます。GitLabは自動レビューをサポートしていますが、コメントによるトリガーには対応していません。

​

レビューの開始

​

コメントの解決

​

コードオーナーのインジケーター

​

自動修正

​

有効化方法

1. レビューサイドバーから — Devin が作成した任意の PR では、分析サイドバーに Auto-fix セクションと Enable auto-fix ボタンが表示されます。これをクリックすると、組織内のすべての Devin PR に対して 自動修正 が有効になります。これには組織の管理者権限が必要です。
2. グローバルな Devin 設定から — Settings > Devin > Pull requests > Responding to bots に移動し、次のいずれかを行います:
   • モード を Selected only に設定し、許可リストに devin-ai-integration[bot] を追加する、または
   • モード を All bots に設定する。

​

Devin 自身の PR に対する検出結果

1. PR に Devin is addressing Devin Review findings というステータスが表示されます。
2. Auto-fix review findings がオンの場合、セッションは修正可能な検出結果を修正します。オフの場合、セッションは通知を受けて結果を報告するだけです。
3. Devin が修正できなかった検出結果のみがレビューコメントとして投稿され、修正済みの内容はステータスに一覧表示されます。

​

権限と制約

• この設定を変更できるのは組織管理者のみです。
• Bot モードが All bots に設定されている場合、自動修正 は有効になっているように表示されますが、レビューサイドバーからは変更できません。Bot モードを変更するには、Customization 設定を使用してください。
• Devin Review の No Issues Found のサマリーコメントは常に無視されます。実際の指摘内容を含むコメントのみが 自動修正 をトリガーします。

​

コミットとコメントの帰属

• バグの検出、フラグ付け、自動アノテーションは、常に Devin bot として表示されます。
• ユーザーが Devin Review を通じてコメントやレビューを書いた場合、それは ユーザー自身の GitHub アカウントとして表示されます。
• ユーザーがチャットエージェントにコード変更を依頼した場合、その結果として作成されるコミットは Devin bot によって行われます。
• GitHub Suggested Changes は標準的な GitHub の挙動に従います。任意のレビュアー (Devin を含む) がレビューコメント内で変更提案を残すことができます。ユーザーが「Apply suggestion」をクリックすると、そのコミットは GitHub と同様に、そのユーザーによるコミットとして記録されます。
• Devin は、ユーザーが明示的にアクションを開始しない限り、ユーザーに代わってコミットやコメントを作成することは 決して ありません。

​

AGENTS.md / Instruction Files

• **/REVIEW.md
• **/AGENTS.md
• **/CLAUDE.md (大文字と小文字を区別しません)
• **/CONTRIBUTING.md (大文字と小文字を区別しません)
• .cursorrules
• .windsurfrules
• .cursor/rules
• *.rules
• *.mdc
• .coderabbit.yaml / .coderabbit.yml
• greptile.json

​

カスタムレビュールール

1. Settings > Review に移動します
2. Review Rules の欄に、ファイルグロブパターン (例: docs/**/*.md) を入力します
3. Add をクリックします

​

REVIEW.md

• 追加の注意が必要なコードベース上の領域
• 注意すべき一般的な落とし穴やアンチパターン
• レビュアーが順守させるべきプロジェクト固有の規約
• レビュー時に安全に無視できるファイルやディレクトリ
• プロジェクト特有のセキュリティやパフォーマンス上の考慮事項

# Review Guidelines

## Critical Areas
- All changes to `src/auth/` must be reviewed for security implications.
- Database migration files should be checked for backward compatibility.

## Conventions
- API endpoints must include input validation and proper error handling.
- All public functions require TypeScript return types — do not use `any`.
- React components should use functional components with hooks, not class components.

## Ignore
- Auto-generated files in `src/generated/` do not need review.
- Lock files (package-lock.json, yarn.lock) can be skipped unless dependencies changed.

## Performance
- Flag any database queries inside loops.
- Watch for N+1 query patterns in API resolvers.