Codex のコードレビュー（/review）：実例付き徹底ガイド

- Codex は変化の速い機能領域です。以下の詳細は執筆時点（2026年8月）の公式ドキュメントと照合していますが、正確なフラグ名や挙動に依存する前に必ず最新のドキュメントを確認してください。

/review が実際に行うこと

/review は独立した読み取り専用のサブターンとして動作します。指定した差分を読み取り、作業ツリーのファイルには一切触れません。 出力されるのは差分内の位置に紐づいた優先順位付きの指摘リストであり、ありきたりなコメントの段落ではありません。これが、差分をチャットに貼り付けて「これで大丈夫そう？」と尋ねるのとの決定的な違いです。/review は、進行中のコーディングセッションとは切り離された、独立した構造化フローなのです。

公式ドキュメント（learn.chatgpt.com/docs/code-review、2026年8月アクセス）によれば、これは PR を開く前やマージ前に実行するために作られており、通常の Codex タスクのような「代わりに直して」モードではありません。Claude Code のレビューフローに慣れているなら、頭の中のモデルはそのまま通用します。独立したステップで、書き込む前に読み取る、というものです。

4つのレビュープリセット

Codex には汎用的な「レビュー」ボタンが1つあるわけではありません。レビューしたい差分の範囲に応じてプリセットを選びます。

コンポーザーで /review と入力し、メニューからプリセットを選びます。最初の3つは「既存の差分範囲を選ぶ」もので、4つ目はデフォルトの範囲では足りないときに独自の基準を書く場所です。たとえば「認証の脆弱性だけを指摘して」や「AGENTS.md のコーディング規約に照らしてレビューして」などです。

実行できる場所 — CLI、IDE、アプリ、Web

/review は1つの環境に縛られていません。現在、次の4つの環境で利用できます。

• CLI — ターミナルセッション中にコンポーザーで /review と入力するか、スクリプトや CI から非対話型の codex review コマンドを実行します（後述のフラグのセクションを参照）。
• IDE 拡張機能 — VS Code や JetBrains に組み込まれた同じコンポーザーで、開いている差分のすぐ隣でレビューでき、ウィンドウを切り替える必要がありません。
• ChatGPT デスクトップアプリ — 専用のレビューペインがあり、レビューウィンドウをコーディングウィンドウと分けておきたいときに便利です。
• ChatGPT Web — ブラウザから直接レビューを実行でき、開発マシンが手元にないときに重宝します。

4つの環境はいずれも同じ基盤のレビュー機構を共有していますが、各環境の正確な UI や名称が1対1で一致する保証はありません。本記事のボタン名やメニューの位置に違和感があれば、最新のドキュメントで確認する価値があります。

非対話型の CLI フラグ（スクリプト／CI 向け）

コンポーザーの /review のほかに、Codex はスクリプトや CI パイプライン向けに非対話型の codex review コマンドを提供しています。learn.chatgpt.com/docs/cli/reference、2026年8月アクセス によれば次のとおりです。

# Review the diff against a base branch
codex review --base main

# Review one specific commit, with an optional title (--title requires --commit)
codex review --commit <sha> --title "Fix invoice endpoint"

# Review uncommitted changes (staged + unstaged + untracked)
codex review --uncommitted

# Freeform prompt, read directly from stdin
git diff | codex review -

# Strict-match config.toml when you need consistent CI behavior
codex review --base main --strict-config

重要なルール：範囲を指定するフラグは 排他的 です。1回の実行につき --base、--commit、--uncommitted、または PROMPT／標準入力のいずれか1つだけを選び、決して組み合わせないでください。ここは Codex のリリースごとに黙って名前が変わりやすい箇所なので、CI にハードコードする前に正確なフラグ名を再確認してください。

実際の差分をレビューする — 実践例

理論はさておき、小さな Node.js のルートに対して /review が典型的に検出する指摘の一例を示します（説明のために整えたもので、実際の生の出力そのままではありません）。このルートはマルチテナントのシステムで ID を使って請求書を取得します。

// Before
async function getInvoice(req, res) {
 const invoice = await db.invoices.findOne({ id: req.params.id });
 if (!invoice) return res.status(404).end();
 res.json(invoice);
}

指摘1（重大度：高、正しい）：「テナントスコープのフィルターが欠けています — このルートは id だけで検索しているため、テナント A のユーザーが ID を推測すればテナント B の請求書を閲覧できてしまいます。クエリのフィルターに tenantId: req.user.tenantId を追加してください。」これは教科書どおりの IDOR（安全でない直接オブジェクト参照）のバグです。構文的には問題なく、エラーも出ずに動作しますが、テナントをまたいでデータが漏洩します。修正はこうです。

// After
async function getInvoice(req, res) {
 const invoice = await db.invoices.findOne({
 id: req.params.id,
 tenantId: req.user.tenantId,
 });
 if (!invoice) return res.status(404).end();
 res.json(invoice);
}

指摘2（重大度：中、人による再確認が必要）： /review は「このルートにはレート制限がありません」とも指摘しました。コードのレベルでは正しいのですが、gateway.config.ts を確認したところ、このルートはすでに API ゲートウェイのグローバルなレート制限の背後に置かれていました。この指摘は技術的に間違っていたわけではなく、単に /review には見えないコンテキスト（差分の範囲外にある設定）を欠いていただけです。自動で適用するのではなく、対処する前に人が確認する必要があるケースです。

1回の実行で得られた2つの指摘は、/review の出力をどう読むべきかをまさに示しています。指摘1は本物のバグなので今すぐ直す。指摘2はローカルには正しいがシステム全体のコンテキストを欠いているので、自動適用ではなくあなたの確認が必要、というわけです。

GitHub の PR をレビューする — gh が必要になるもの

ざっと読むと混同しやすい、2つの異なる GitHub の仕組みがあります。

1. PR のコンテキストをローカルで読む（gh が必要）。 CLI、アプリ、IDE から PR をレビューするとき、Codex は PR の情報（タイトル、説明、コメント）を取得するために gh がインストール・認証済みである必要があります。ドキュメントによれば、gh がない、または未認証の場合、PR の詳細がサイドバーやレビューペインに表示されないことがあります。セットアップはコマンド1つです。

gh auth login

2. コメントでクラウドレビューを起動する（ローカルの gh は不要）。 GitHub の PR に直接 @codex review とコメントすると、クラウド側で動作するレビューが起動します。これは上記のローカルでの PR コンテキスト読み取りとはまったく別の仕組みで、あなたのマシンに gh は必要ありません。条件は、リポジトリに対して Codex クラウドがすでに構成されていることです。この仕組みはより踏み込んだ Codex Cloud のセットアップに属します。この種の自動レビュー起動を構成したい場合は、Codex Cloud ガイド にまとまっています。ここでは2つの仕組みを混同しないよう、一行だけ触れておきます。

/review の指摘はどこまで信用すべきか

はっきり言うと、/review の指摘は優先順位付きの提案であって、自動的なマージのゲートではありません。 上記の指摘2がそれを明確に示しています。構文的にも正しく、ローカルのロジックとしても正しいのに、システム全体のコンテキストを欠いているために誤っていました。レビューが差分だけを見てリポジトリ全体を見ないとき、この種の誤検出は思いのほか頻繁に起こります。

ですから、実際のマージの判断をゲートするのは、依然として人間（あるいは AgentKit の Engineer Kit を導入していれば、その code-review スキル／エージェント）です。/review は機械的なスキャンの部分を短縮してくれるだけで、人間のレビュアーはより難しい部分に労力を注げます。AgentKit は Claude Code と Codex の両方で動作する、同様のレビューフローを持つ /ak:review コマンドを提供しており、自分で組み立てる代わりに用意済みのプロセスが欲しい場合に便利です。ただし念のため、これはその上に重ねる有料キットです。Codex 自身の /review はすでに無料で、個人のレビューには十分です。まだ設定していない場合は、まず Codex 内で AgentKit を使う方法 をご覧ください。

Codex の /review と Claude Code のレビューフローの比較

考え方は同じで、ツールが違うだけです。Claude Code にも独自の /review があり、「重大な指摘が残っている間はマージをブロックする」という同じワークフローを持ちます。3ステップのプロセスと実際の指摘例は Claude Code 向けの AI コードレビューガイド にあります（あちらの記事は Codex に一切触れておらず、本記事もその内容を繰り返しません）。両方のツールを使うなら、根底の原則はどちらでも変わりません。差分に対してレビューし、重大度で順位付けし、最終的なマージの判断は依然として人間が下す、ということです。

よくある質問

Codex の /review のプリセットは何ですか？

ベースブランチ（マージベースに対する差分全体をレビュー）、未コミット（ステージ済み + 未ステージ + 未追跡）、特定のコミット（そのコミットの変更セット）、そしてカスタム指示（自由形式で独自のレビュー基準を記述）です。

/review は私のコードを編集しますか？

いいえ。/review は読み取り専用のサブターンとして動作し、作業ツリーのファイルには一切触れません。優先順位付きの指摘リストを返すだけで、何を直すか、あるいは見送るかはあなたが決めます。

PR のレビューに gh は必要ですか？

はい。CLI／アプリ／IDE から PR のコンテキスト（タイトル、説明、コメント）をローカルで読むには、gh がインストール・認証済みである必要があり、そうでないと PR の詳細がサイドバーに表示されないことがあります。これは @codex review とコメントするのとは別で、そちらはローカルの gh を必要としません。

GitHub の @codex review とは何ですか？

PR に直接 @codex review とコメントしてクラウド側のレビューを起動する方法で、PR コンテキストをローカルで読むのとは別です。リポジトリに対して Codex クラウドがすでに構成されていることが必要で、より踏み込んだ詳細は Codex Cloud の領域であり、本記事の範囲外です。

スクリプトや CI からレビューを実行できますか？

はい。非対話型の codex review コマンドで --base、--commit、--uncommitted、または PROMPT／標準入力を使います。1回の実行につき範囲フラグはちょうど1つだけで、組み合わせは不可です。

/review は人間の承認を置き換えますか？

いいえ。/review の指摘は優先順位付きの提案であり、システム全体のコンテキストを欠いて誤ることがあります（上記の指摘2を参照）。最終的なマージの判断は、依然として人間、あるいは AgentKit の Engineer Kit が提供するような専用のレビューエージェントが下します。

まとめ

要するに、Codex の /review は4つのプリセットを持ち、CLI／IDE／アプリ／Web で動作し、自分からファイルを編集することはなく、ローカルで PR コンテキストが欲しいときには gh が必要です。一方でコメントとしての @codex review は別のクラウドの仕組みです。指摘は自動的なマージのゲートではなく、優先順位付きの提案として読みましょう。Claude Code も使っているなら Claude Code 向けの AI コードレビューフロー を、Codex が初めてなら OpenAI Codex とは何か から始めてください。