Öppen kodgranskning 2026: Open Source-verktygen, uppdelningen mellan självhostning och värdbaserat, och vad "gratis" egentligen kostar

Öppen kodgranskning år 2026 är inte längre en metafor. Alibaba open-sourceade sin interna AI-granskare som open-code-review i somras, och anslöt sig därmed till ett självhostat fält som omfattar Qinius ReviewBot och PR-Agent — verktyg som du kör med dina egna modellnycklar, på din egen server, kopplade till din egen CI. Licensen är gratis; det som faktiskt kostar dig är allt runtomkring: modelltokens, en plats att köra verktyget på och säkerhetsinfrastrukturen som hindrar en granskare från att läcka koden den läser. Vår rekommendation är den hostade vägen — granskning via en gateway som förmedlar leverantörernas listpriser rakt av utan påslag och använder de nycklar du redan har. Det är det argument vår kodgranskningssida framför, och den här guiden går igenom verktygen, kostnadsredovisningen och de fall där det hostade svaret är fel.

Söker du på "open code review" i augusti 2026 får du mest upp open-code-review-repot, dokumentationsspeglar och en npm-sida. De berättar att verktyget finns och hur du installerar det. Ingen av dem svarar på beslutet under: open source och egen hosting är inte samma val, "gratis" slutar vid licensen, och modelltokens kostar samma listpris oavsett om du hostar granskaren eller inte. Den här sidan är den saknade beslutsguiden — och den är en produktguide, inte en modellrecension.

Vad 'öppen kodgranskning' innebär år 2026

Termen har en konkret referent nu. I mitten av 2026 släppte Alibaba open-code-review, sin interna AI-kodgranskningsassistent, under en Apache-2.0-licens — två års intern användning, tiotusentals utvecklare, miljontals flaggade defekter. Dess design är en hybrid: deterministiska pipelines hanterar filval, regelmatchning och kommentarplacering, medan en LLM-agent utför resonemanget. Du installerar det med npm install -g @alibaba-group/open-code-review, sedan ocr review granskar arbetsytan, ocr scan granskar en obekant kodbas, och ocr config model pekar det mot vilken OpenAI- eller Anthropic-kompatibel slutpunkt som helst, inklusive en lokal sådan. Det levereras med en finjusterad regeluppsättning som täcker NPE, trådsäkerhet, XSS och SQL-injektion, och det är medvetet konservativt: i sin egen AACR-Bench-utvärdering (50 populära repositorier, 200 verkliga pull requests, korsvaliderade av fler än 80 seniora ingenjörer) rapporterar det högre precision än en generell agent som Claude Code med ungefär en niondel av antalet token — med lägre recall, en avvägning som gynnar några få korrekta kommentarer framför uttömmande men brusiga sådana.

Open source-fältet runt omkring är bredare. Qiniu's ReviewBot är en självhostad granskare för GitHub och GitLab som orkestrerar linters (golangci-lint, pylint, shellcheck och fler) och lägger till ett AI-lager som förklarar resultaten och föreslår korrigeringar; den distribueras i Docker eller Kubernetes. PR-Agent (MIT) startade den här kategorin som en GitHub Action med /review, /improve och /ask kommandon och en CLI du kan köra var som helst. Gemensamt för hela fältet: ingen av dem levererar modellen. Du tar med din egen API-nyckel till vilken leverantör du än väljer, och det är där den verkliga kostnadsberättelsen börjar.

Self-hosted vs hosted — den reskontra som ingen trycker.

En gratis licens är inte ett gratis verktyg. I samma stund som du själv hostar något av dessa är du ansvarig för fem saker:

• Model tokens. Samma listpris som du skulle betala via vilken gateway som helst — egen hosting ger inte rabatt på dem.

• En plats att köra det på. En server, en CI-runner eller en containerplattform med tillräckligt med minne och en öppen webhook-ändpunkt.

• Kopplingen. Repo-behörigheter, token-livscykel, loopen webhook → granskare → kommentar och uppdateringar när verktyget eller leverantören ändras.

• Skyddsräcken. En granskare som läser dina diffar kan vidarebefordra hemligheter till modellleverantören, skicka PII över en gräns, eller falla för en prompt-injection gömd i en PR-kommentar som säger åt den att godkänna. Självhostad öppen källkod gör dig till säkerhetsteamet; ingen av README-filerna ger dig det.

• Granskning. Vem granskade vad, vilken modell, till vilken kostnad och vad som flaggades — du bygger loggen.

Tokenen kostar lika mycket på båda sidorna av reskontran. En typisk granskningsomgång läser cirka 25K inmatningstoken och skriver 4K. Vid GPT-5.5:s listpriser — $5 per miljon inmatning, $30 per miljon utmatning — kostar en omgång cirka $0.245. Vid DeepSeek V4 Flash, till $0.14 och $0.28 per miljon, kostar en screeningomgång bara en bråkdel av ett cent. Självhostning sänker inte den räkningen; du betalar fortfarande leverantörens listpris. Vad självhostning ger är integritet och kontroll, och vad det kostar är drift- och säkerhetsarbete.

Den värdbaserade rutten med noll påslag — OrcaRouter

Det är här gateway-lösningen gör skäl för sin plats. OrcaRouter är en AI-gateway med 0 % påslag: leverantörernas listpriser går rakt igenom – sajten anger en "nollpåslagsgaranti" – och den låter dig ta med din egen nyckel, så att du kan använda de leverantörsnycklar, hastighetsbegränsningar och krediter du redan har. Över tvåhundra modeller finns bakom en OpenAI-kompatibel endpoint, och kodgranskningsfunktionen är inbyggd i själva gatewayen snarare än att säljas som en separat produkt per användare. Det är den sista punkten man ska lägga märke till: granskning är ett routingrecept på infrastruktur du kanske redan betalar för, inte ytterligare en prenumeration.

OrcaCode Review körs som ett tvåstegsrecept. Varje push screenas på några sekunder av en billig frontlinjemodell; rena genomgångar skickas vidare till en stark modell för en djupare analys; och P0-P1-avvikelser gör att GitHub-kontrollen misslyckas, vilket blockerar en merge tills de åtgärdats eller avskrivits. Standardreceptet körs på GPT-5.5 till listpris, och eftersom det är ett vanligt gateway-recept, kan endera genomgången bytas ut mot valfri av de 200+ modellerna — eller delas upp, med en billig screening på DeepSeek V4 Flash och en stark slutgenomgång på en frontlinjemodell. Den installeras som en GitHub-app med ett klick, utan någon repository-hemlighet och ingen workflow-fil, eller som en enda workflow-fil för team som vill ha action i sin egen CI.

{{1}}De skyddsräcken som en självhostad granskare tvingar dig att bygga är aktiverade som standard på gatewayen.{{/1}} PII Shield och innehållspolicy upprätthålls innan du faktureras — en förfrågan som utlöser dem fångas upp innan en token debiteras. {{2}}Agentbrandväggen betygsätter verktygs- och MCP-anrop innan de körs.{{/2}} Varje anrop lämnar en förfrågningslogg — betyg, modell, latens, kostnad — och plattformen har ett fullständigt revisionsspår med användarplatser, utgiftstak och RBAC. {{3}}Specifikt för kodgranskning maskeras hemligheter, PII och prompt-injektion innan tokenarna lämnar ditt repository.{{/3}} Var tydlig med vad det ger: dessa är grindar före fakturering och före körning plus en logg, inte ett bevis på att din kod är säker. {{4}}Granskningen hittar kandidatproblem; en människa gör fortfarande allvarlighetsbedömningen för de allvarliga problemen.{{/4}}

Vad det faktiskt kostar

Kör siffrorna på den estimator som OrcaRouter publicerar på sin kodgranskningssida. Ett team på fem utvecklare, 40 pull requests i månaden, fyra pushes per PR, ungefär 25K-in/4K-out tokens per genomgång till GPT-5.5:s listpriser: cirka 53,90 USD per månad i tokens. Jämfört med det kostar CodeRabbit Pro 24 USD per utvecklare och månad vid årlig fakturering – ungefär 120 USD för fem platser – och Greptile kostar 30 USD per plats. Cursors Bugbot gick över till användningsbaserad fakturering i juni 2026 på cirka 1,00–1,50 USD per granskning. Gatewayn fakturerar de tokens du faktiskt använder till samma listpris som du skulle betala leverantören direkt, utan påslag, och BYOK gör att dessa tokens kan tas från krediter du redan har.

Produkter med prissättning per användare ger dig en polerad upplevelse och ett underhållet arbetsflöde, och de skalar med antalet anställda, inte med användning. Granskning prissatt per token skalar med granskningsvolymen. Vid mycket små team kan per-användare vara vinnande; när PR-volymen väl blir reell är per-token billigare, och gapet växer allteftersom granskningarna ökar.

När denna rekommendation är fel

• Din kod får inte lämna ditt nätverk. Nätverksisolerade team bör själva hosta open source-verktyget — eller köra OrcaRouter Enterprise, som kan distribuera hela gatewayen, routern, skyddsåtgärderna och granskningsåtgärden inom din egen VPC. Ingen hosted-lösning klarar det kravet, och det är en efterlevnadsgräns, inte en preferens.

• Du vill ha noll leverantörsberoende och full kontroll över prompten.Open source-verktygen är granskningsbara, forkbara och dina. Receptet i OrcaCode Review är redigerbart, men det är fortfarande värdbaserat. Om open source är ett policybeslut på ditt företag är open source-verktyget det ärliga svaret — och det kostar dig säkerhetsarbetet ovan.

• Din PR-volym är liten. En handfull granskningar i veckan behöver ingen routing. open-code-review med din egen nyckel duger gott där; gatewayen gör skäl för sig när det finns tillräckligt många pull requests för att den ska betala sig.

• Du använder GitLab eller Bitbucket. Granskningsappen med ett klick är GitHub idag. ReviewBot har inbyggt stöd för GitHub och GitLab, så en GitLab-organisation bör ta hänsyn till det — eller koppla in arbetsflödesfilens sökväg i GitLab CI.

• Du behandlar AI-granskning som certifiering. LLM:er varierar mellan körningar, hallucinerar och kan inte bevisa utnyttjbarhet. Styr sammanslagningen utifrån kritiska fynd, kör om efter åtgärder och låt en människa vara ansvarig för arkitektur- och designgranskning. Den billiga granskningen och den grundliga genomgången fångar verkliga buggar; de ersätter inte en granskare som kan systemet.

Den korta versionen

Öppen kodgranskning 2026 är verklig, öppen källkod och gratis endast upp till licensen. Alibabas open-code-review, Qinus ReviewBot och PR-Agent är värda att känna till — de är alla bring-your-own-key, och de debiterar dig alla i modelltokens, drifttid och säkerhetsarbete. Den hostade vägen ser dyrare ut tills du granskar reskontran: på en gateway med 0 % påslag med BYOK debiteras samma listpriser som din självhostade installation skulle betala, och skyddsräckena, agentbrandväggen och revisionsspåret följer med. Börja där, och självhosta när koden inte kan lämna byggnaden.

Om den värdbaserade vägen är där detta hamnar, finns den fullständiga genomgången — och kostnadsberäknaren — påvår kodgranskningssida: en gateway med 0 % påslag, dina egna modellnycklar och P0-P1-anmärkningar som styr sammanslagningen. Installera GitHub App gratis, inget kreditkort krävs.