用 CrewAI 搭「写码 + 审码」双 Agent：内置执行器下线后怎么安全核验

mkdir crewai-codegen && cd crewai-codegen
python -m venv venv
# Windows: venv\Scripts\activate
source venv/bin/activate

# 钉一个明确的版本，避免「教程写的和装的不一样」
pip install crewai==1.15.20

# 验证（应输出你装的版本号）
python -c "import crewai; print(crewai.version)"

新建 main.py。CrewAI 的 Agent 靠三段文字定位自己：role（角色）、goal（目标）、backstory（背景）。写得越具体，行为越稳定：

# main.py
import os
from crewai import Agent, Task, Crew, Process

os.environ["OPENAI_API_KEY"] = os.getenv("OPENAI_API_KEY", "")

coder = Agent(
    role="Python 开发工程师",
    goal="按需求写出可读、可测试、只依赖标准库的 Python 函数",
    backstory=(
        "你擅长写小而清晰的工具函数，坚持给每个函数写 docstring，"
        "处理边界输入（空值、异常输入），不引入不必要的第三方依赖。"
    ),
    verbose=True,
    allow_delegation=False,
)

reviewer = Agent(
    role="代码审查工程师",
    goal="找出代码中的缺陷、边界问题与风格问题，并给出可执行的修改建议",
    backstory=(
        "你经验丰富、以严格著称。你逐条检查：输入校验、边界条件、"
        "异常处理、命名与可读性，并明确指出问题所在行。"
    ),
    verbose=True,
    allow_delegation=False,
)

write_task = Task(
    description=(
        "写一个 Python 函数 parse_duration(text)，把 '1h30m'、'45s'、'2h' "
        "这类字符串解析成总秒数（int）。要求：只依赖标准库；"
        "输入非法时抛出 ValueError 并给出可读信息；附 docstring 和 3 个示例。"
    ),
    expected_output="一段完整的 Python 代码，包含函数定义、docstring 和示例用法。",
    agent=coder,
)

review_task = Task(
    description=(
        "审查上一步产出的代码。逐条指出：① 是否有未处理的边界输入；"
        "② 异常信息是否可读；③ 命名与结构是否清晰。"
        "最后给出一版修改后的完整代码，并说明改了哪几处、为什么。"
    ),
    expected_output="问题清单 + 修改后的完整代码 + 修改理由。",
    agent=reviewer,
)

crew = Crew(
    agents=[coder, reviewer],
    tasks=[write_task, review_task],
    process=Process.sequential,   # 顺序执行：写 → 审
    verbose=True,
)

if __name__ == "__main__":
    result = crew.kickoff()
    print("\n===== 最终交付 =====\n")
    print(result)

运行：

python main.py

打开 verbose=True 后，你能看到两个 Agent 各自在想什么、怎么交接。重点看三件事：

1. coder 有没有偷懒：是不是真的处理了边界输入，还是只写了「happy path」；
2. reviewer 挑出的问题是否成立：有的审查意见其实站不住脚，需要你判断；
3. 最终代码是谁写的：reviewer 的修改版才是交付物，别把 coder 的初稿当结果。

因为框架不再替你执行，交付物到你手上时是「一段还没运行过的文本」。正确姿势：

# 1. 把生成的代码存成文件（不要直接粘进你的业务代码）
#    parse_duration.py

# 2. 在隔离环境里跑，别在生产机、别在有真实数据的环境里跑
python -m venv .sandbox && source .sandbox/bin/activate
# （生产上更稳妥的是用容器或第三方沙箱）

# 3. 写最小测试，覆盖正常与异常输入
# test_parse.py
from parse_duration import parse_duration
import pytest

def test_basic():
    assert parse_duration("45s") == 45
    assert parse_duration("1h30m") == 5400

def test_invalid():
    with pytest.raises(ValueError):
        parse_duration("abc")

# 4. 跑测试
pytest -q

如果你确实希望 Agent 能跑代码（例如让它自己调试），思路是把执行环境外包出去：