Tutorial

Overview

Po skończeniu będziesz miał: działający lokalny stack (Qdrant + Ollama lub RunPod), pierwszy review na realnym Drupal core PR, zrozumienie jakie findings model daje i jak je interpretować.

Live demo

Poniżej embedded preview UI panel z RunPod sandbox. Klik "Show live" żeby uruchomić iframe — DCR UI z 5 modelami + Drupal RAG corpus. Login: admin / test123. (Demo może być offline jeśli pod EXITED.)

Steps

• 1. Clone repo + install dependencies

  ~3 min

  Wymagania: Python 3.12+, Docker, ~5 GB free disk dla startu (więcej dla RAG corpus i modeli).

  bash Copy

  git clone https://github.com/bartek-filipiuk/local-codereviewer.git
  cd local-codereviewer
  uv sync --extra indexer --extra serve
  
  # Sanity check
  uv run drupal-codereviewer --help | head -10

• 2. Start Qdrant (vector DB dla RAG)

  ~1 min

  Qdrant trzyma 1968 chunków Drupal-specific (core docs, contrib, OWASP, security advisories) dla RAG retrieval.

  bash Copy

  make qdrant-up
  
  # Verify (powinno zwrócić JSON z listą collections)
  curl -s http://localhost:6333/collections

• 3. Build RAG corpus (one-time, ~10-15 min)

  ~10-15 min

  Crawluje Drupal core + top contrib modules + api.drupal.org + coding standards + OWASP. Następnie buduje AST graph + ingestuje do Qdrant.

  bash Copy

  make crawl    # ~2-3 GB drupal data
  make index    # AST + RAG indexing
  
  # Verify (powinno pokazać ~1967 chunków)
  make rag-stats

  Tip: jeśli chcesz pominąć ten krok i mieć ready-to-go corpus, użyj scripts/restore.sh z naszego pre-built backup.tar.gz (32 MB). Pyramidaj o link.
• 4. Smoke test (mock LLM, bez GPU)

  ~30 sec

  Pipeline smoke check z mock LLM (no GPU required). Wypisze markdown review syntetycznego XSS PR.

  bash Copy

  make demo

  Powinno wyświetlić finding z severity=high, category=security, cwe=CWE-79. Jeśli widzisz to — pipeline działa, czas na real LLM.

• 5. First real review

  ~3 min

  Option A — local Ollama (jeśli masz GPU 24+ GB VRAM)

  bash Copy

  ollama pull qwen3-coder:30b   # 18 GB
  ollama list
  
  curl -sL https://git.drupalcode.org/project/pathauto/-/merge_requests/33.diff > /tmp/example.diff
  uv run drupal-codereviewer review --diff-file /tmp/example.diff --model qwen3-coder:30b

  Option B — RunPod sandbox (no local GPU, ~$0.69/h secure 4090)

  Tworzy on-demand 4090 z volume persistent. Patrz runpod/ w repo.

  bash Copy

  # Konfiguracja w runpod/.env (wymaga RUNPOD_API_KEY)
  cp runpod/.env.example runpod/.env
  # Edytuj runpod/.env: RUNPOD_API_KEY, UI_PASS, GITLAB_DRUPAL_TOKEN
  
  # Deploy + setup (~30 min, w tle pull modeli)
  bash runpod/setup-pod.sh
  bash runpod/pull-models.sh
  
  # Get public URL
  bash runpod/start-services.sh

• 6. Interpret results — severity, categories, trace

  ~3 min reading

  Markdown output zawiera findings z TRACE methodology. Przykład real finding (z core MR):

  markdown · sample finding Copy

  ### 🔴 HIGH | security | line 446
  Potential SQL injection via unescaped table name.
  
  TRACE:
  - Source: $type_name from user-controlled keyword
  - Sink: db_query("SELECT * FROM $type_name") line 446
  - Sanitization: none
  - Exploit: GET /search?type=users; DROP TABLE -- → SQL injection
  
  CWE-89, OWASP A03:2021

  Severity ladder

  • 🔴 CRITICAL / HIGH — block merge, fix przed merge
  • 🟡 MEDIUM — review carefully, prawdopodobnie fix
  • 🔵 LOW — improvement, opcjonalnie
  • ⚪ INFO — info-level, można ignorować

  Trust matrix

  Model robi DOBRZE: Security findings z TRACE + exploit steps · Drupal idiom violations (missing DI, missing cache metadata, procedural hooks) · Deprecation warnings · Performance issues (nested loops).

  Model robi GORZEJ: Subjective architectural suggestions ("perhaps use X interface") · Module-specific patterns ("follow pattern from commerce_X") · Cross-PR context (model widzi tylko diff).
• 7. Run on your own PR / branch

  ~2 min

  Z UI panel (jeśli używasz RunPod sandbox) — wklej URL PR/MR z GitHub/GitLab/Gitea, model fetch'uje diff sam. Albo z CLI:

  bash · CLI Copy

  cd /path/to/my/drupal/module
  
  # Diff aktualnej feature branch vs main
  uv run drupal-codereviewer review --git-diff main...HEAD --model qwen3-coder:30b
  
  # Lub: review konkretnego PR URL (przez UI)
  # 1. Add GitHub/GitLab/Gitea token w Settings → Tokens
  # 2. Paste PR URL w /review → "Start review"

• 8. Advanced — propose-and-verify (anti-hallucination)

  ~10 min (większe MRs)

  Dla większych PRs / krytycznych zmian włącz Pass 2.5 — SGCR-style alternative suggestions z RAG verification (3× dłużej ale +5-8pp recall).

  bash Copy

  uv run drupal-codereviewer review --git-diff main...HEAD \
      --model qwen3-coder:30b \
      --propose-verify

  Dodaje suggestions typu "consider using EntityFactoryInterface instead of direct instantiation" — tylko te które są zweryfikowane przeciwko real Drupal patterns w RAG (anti-halu guard).

FAQ

Next steps

• Usage reference — pełen reference dla CLI flags + UI workflow
• Architecture — jak system działa wewnętrznie
• Security — threat model, compliance, audit log