Quy trình phát triển với Claude Code: 10 bước VAON dùng
Tóm tắt: VAON dùng Claude Code trong 10 bước của dự án khách, từ phân tích yêu cầu đến phát hành. AI viết nháp, đọc lại, sinh test. Kỹ sư senior chốt đặc tả, duyệt kế hoạch, duyệt mã và quyết định phát hành. Khách kiểm thử theo checklist có ảnh chụp, và mỗi phiên bản qua kiểm tra bảo mật.
Mục lục
- Claude Code là gì, và vì sao cần quy trình chứ không chỉ công cụ?
- 10 bước VAON dùng từ yêu cầu đến phát hành
- Trước khi viết code: phân tích, chốt đặc tả, vẽ màn hình
- Vì sao kế hoạch phải bị phản biện trước khi code?
- Từ code đến pull request: test đi cùng code, ba lớp review
- Khách kiểm thử thế nào khi phần lớn mã do AI viết?
- Kiểm tra bảo mật trước mỗi phiên bản gồm những gì?
- Kỹ sư senior quyết định những gì?
- Khi nào quy trình này không phù hợp?
- Câu hỏi thường gặp
1. Claude Code là gì, và vì sao cần quy trình chứ không chỉ công cụ?
Claude Code là công cụ lập trình bằng AI của Anthropic, chạy trong terminal và trình soạn thảo. Nó đọc được cả kho mã, sửa file, chạy lệnh và tạo pull request. Công cụ này mạnh. Nhưng mạnh không có nghĩa là an toàn cho dự án của khách.
Một trong ba câu khách hỏi VAON nhiều nhất năm 2026 là: "Code AI viết thì ai kiểm tra?". Câu trả lời không nằm ở công cụ. Nó nằm ở việc ai duyệt gì, ở bước nào, và để lại hồ sơ gì.
Vì vậy VAON không trả lời bằng "chúng tôi dùng AI". VAON trả lời bằng một quy trình 10 bước, trong đó mỗi bước ghi rõ AI làm gì và người chịu trách nhiệm quyết gì. Đây là tiêu chuẩn VAON đang áp dụng cho phần lớn dự án, chưa phải cho tất cả.
2. 10 bước VAON dùng từ yêu cầu đến phát hành
Quy trình phát triển với Claude Code tại VAON chia làm 10 bước, và không bước nào để AI tự quyết. Bảng dưới là phiên bản rút gọn:
| # | Bước | AI làm | Người quyết | Bạn nhận được |
|---|---|---|---|---|
| 1 | Phân tích yêu cầu | Liệt kê câu hỏi, chỗ còn mơ hồ | Kỹ sư chọn câu hỏi cần hỏi khách | Danh sách câu hỏi |
| 2 | Chốt đặc tả với khách | Nháp tài liệu yêu cầu | Khách và VAON thống nhất | Tài liệu yêu cầu đã chốt |
| 3 | Vẽ màn hình (khi cần) | Nháp wireframe, mockup | Khách duyệt từng màn hình | Wireframe, mockup |
| 4 | Lập kế hoạch triển khai | Chia việc, liệt kê file, rủi ro | Tech Lead duyệt | Kế hoạch theo giai đoạn |
| 5 | Phản biện kế hoạch | Đóng vai người phá, đặt câu hỏi | Tech Lead sửa kế hoạch | Kế hoạch đã sửa |
| 6 | Lập trình | Viết mã theo kế hoạch | Kỹ sư kiểm tra từng phần | Mã kèm unit test, e2e test |
| 7 | Review pull request | Tự review, review bằng AI | Người khác đọc lại rồi mới merge | Hồ sơ review |
| 8 | Triển khai môi trường test | CI/CD tự chạy | Kỹ sư tự test trước | Môi trường để bạn thử |
| 9 | Khách kiểm thử | Soạn checklist theo góc người dùng | Bạn kiểm và chụp kết quả | Checklist có ảnh chụp |
| 10 | Kiểm tra bảo mật, phát hành | Rà bảo mật phần thay đổi | Người đọc kết quả, quyết phát hành | Ghi chú phát hành |
Cột "Người quyết" là phần quan trọng nhất của bảng. Nếu bỏ cột đó đi, quy trình chỉ còn là một chuỗi lệnh AI.
3. Trước khi viết code: phân tích, chốt đặc tả, vẽ màn hình
Giai đoạn trước khi viết code dùng AI để tìm chỗ thiếu trong yêu cầu, không dùng để đoán thay khách. Ba bước đầu trong quy trình VAON đều phục vụ một việc: hai bên hiểu cùng một thứ.
Ở bước phân tích, kỹ sư và Claude cùng đọc yêu cầu ban đầu. AI giỏi liệt kê câu hỏi: dữ liệu cũ ở đâu, ai được duyệt, khi lỗi thì sao. Kỹ sư lọc lại, bỏ câu thừa, giữ câu chỉ khách trả lời được.
Ở bước chốt đặc tả, AI nháp tài liệu yêu cầu từ biên bản trao đổi. Kỹ sư sửa, rồi gửi khách xác nhận bằng văn bản. Với dự án mới, VAON làm việc này trong Giai đoạn chốt đặc tả (仕様確定フェーズ, Spec Lock Phase), thường 1 đến 2 tuần.
Khi cần, AI vẽ nháp wireframe và mockup để khách nhìn thấy màn hình thật sớm. Một màn hình bạn nhìn thấy đáng giá hơn mười dòng mô tả. Lý do đặc tả là gốc rễ của nhiều dự án hỏng có ở bài offshore development thất bại vì đặc tả, không vì code.
4. Vì sao kế hoạch phải bị phản biện trước khi code?
Kế hoạch phải bị phản biện trước khi code vì sửa một dòng kế hoạch rẻ hơn nhiều so với sửa một module đã viết xong. Với AI, điều này càng đúng: AI viết mã rất nhanh, nên kế hoạch sai cũng thành mã sai rất nhanh.
Sau khi đặc tả chốt, kỹ sư dùng Claude lập kế hoạch triển khai. Kế hoạch chia giai đoạn, liệt kê file sẽ sửa, tiêu chí xong và rủi ro. Claude Code có plan mode, trong đó AI chỉ đọc và đề xuất, không sửa file nào cho tới khi người duyệt.
Sau đó là hai vòng phản biện:
- Red-team: AI đóng vai người tìm cách làm kế hoạch thất bại. Ví dụ: nếu chuyển dữ liệu dừng giữa chừng thì quay lại thế nào, quyền truy cập có bị mở rộng không.
- Validate: AI đặt câu hỏi kiểm tra kế hoạch với đặc tả. Câu nào không trả lời được thì quay lại hỏi khách, không tự đoán.
Tech Lead hoặc kỹ sư senior đọc kết quả hai vòng và quyết định sửa gì. Kế hoạch chỉ chuyển sang bước lập trình khi đã có người khác phản biện và xác nhận.
5. Từ code đến pull request: test đi cùng code, ba lớp review
Mã do AI viết ở VAON không vào nhánh chính nếu thiếu test hoặc chưa có người khác đọc lại. Nhánh chính bị khoá: không merge khi chưa review.
Ở bước lập trình, Claude viết mã theo từng giai đoạn của kế hoạch. Unit test và e2e test (kiểm thử toàn luồng như người dùng thật) nằm ngay trong cùng pull request với mã. Kỹ sư chạy, đọc và sửa trước khi đẩy lên.
Mỗi pull request đi qua ba lớp review:
- Tự review: người tạo pull request đọc lại toàn bộ thay đổi của mình.
- Review bằng AI: Claude đọc thay đổi theo bộ tiêu chí review của dự án.
- Người khác đọc lại: một kỹ sư khác duyệt, trưởng nhóm quyết định merge.
Song song đó, mọi pull request đều chạy cổng tự động: quét secret (khoá, mật khẩu lọt vào mã), quét thư viện phụ thuộc, phân tích tĩnh. Cổng này đang chạy ở mọi dự án. Cách đọc mã AI viết có ở bài quy trình review mã do AI viết.
6. Khách kiểm thử thế nào khi phần lớn mã do AI viết?
Khách kiểm thử theo một checklist viết từ góc người dùng, không phải từ góc lập trình viên, và mỗi mục có ảnh chụp kết quả. Bước này dễ bị xem nhẹ, vì nhiều người nghĩ test tự động đã đủ.
Sau khi merge, CI/CD tự triển khai lên môi trường kiểm thử. Kỹ sư VAON tự test trước. Chỉ khi ổn mới báo khách.
Checklist do Claude soạn từ tài liệu yêu cầu đã chốt, rồi kỹ sư sửa lại. Một mục điển hình có dạng:
| Mục | Thao tác | Kết quả mong đợi | Kết quả thực tế | Ảnh chụp |
|---|---|---|---|---|
| Tạo đơn | Nhập đơn thiếu số điện thoại, bấm Lưu | Báo lỗi ngay dưới ô số điện thoại | (bạn điền) | (đính kèm) |
Ảnh chụp kết quả có hai tác dụng. Lỗi được mô tả rõ ngay lần đầu, không cần hỏi lại "bạn bấm gì trước đó". Và sau này cả hai bên đều có bằng chứng phiên bản nào đã được nghiệm thu thế nào.
7. Kiểm tra bảo mật trước mỗi phiên bản gồm những gì?
Kiểm tra bảo mật trước phát hành ở VAON là một cổng riêng, chạy trước mỗi phiên bản trong các dự án áp dụng quy trình này. Claude Code có lệnh /security-review để rà bảo mật các thay đổi trên nhánh hiện tại.
Cổng trước phát hành gồm hai việc. AI rà bảo mật toàn bộ thay đổi của phiên bản. Sau đó người đọc kết quả, tách cảnh báo thật khỏi cảnh báo sai. Người đó quyết định phát hành hay sửa trước.
Cổng này đứng trên một lớp nền đang chạy ở mọi dự án:
- quét secret, quét thư viện phụ thuộc và phân tích tĩnh trên từng pull request;
- AI rà bảo mật phần thay đổi của từng pull request, người đọc kết quả (khi khách cho phép đưa mã vào AI);
- kiểm tra tên thư viện AI đề xuất trước khi cài, vì AI có thể bịa tên package;
- cấu hình Claude Code dùng chung do công ty quản lý (lệnh bị cấm, sandbox, MCP server đã duyệt);
- không đặt khoá thật ở môi trường phát triển.
AI rà bảo mật bổ sung cho người, không thay người. AI có cảnh báo sai, và cũng có thể bỏ sót. Quy trình này tham chiếu NIST SSDF (SP 800-218); VAON không tuyên bố tuân thủ khung nào.
8. Kỹ sư senior quyết định những gì?
Kỹ sư senior ở VAON quyết định những việc mà sai thì tốn kém: phạm vi, kiến trúc, đánh đổi và việc có phát hành hay không. CTO và Tech Lead tham gia mọi dự án.
| Việc | AI làm tốt | Senior giữ quyền quyết |
|---|---|---|
| Đặc tả | Liệt kê câu hỏi, tìm mâu thuẫn giữa tài liệu | Câu nào hỏi khách, phạm vi đến đâu |
| Kế hoạch | Chia việc, tìm rủi ro | Kiến trúc, thứ tự, đánh đổi |
| Mã | Viết nhanh, sinh test | Mã có đúng nghiệp vụ không |
| Bảo mật | Rà nhanh mọi thay đổi | Cảnh báo nào thật, có phát hành không |
Nói cách khác, AI tăng tốc độ. Senior giữ tiêu chuẩn. Mọi dự án đều lưu hồ sơ review và test mà khách xem được.
9. Khi nào quy trình này không phù hợp?
Quy trình 10 bước không phù hợp với mọi việc, và VAON không áp dụng cứng cho tất cả. Ba trường hợp cần nói rõ:
- Việc rất nhỏ. Sửa một dòng chữ không cần red-team kế hoạch. Quy trình rút gọn theo độ lớn thay đổi.
- Khách chưa cho phép đưa mã vào AI. Khi đó bước AI review và AI rà bảo mật không chạy. Chỉ còn cổng tự động và người đọc.
- Không có người phía khách để trả lời câu hỏi nghiệp vụ. AI không thay được người hiểu việc. Thiếu người đó, đặc tả sẽ phải đoán.
Ngoài ra, đội VAON có 15 nhân sự chính thức. Dự án cần vài chục người trong thời gian ngắn có thể vượt khả năng nhận của chúng tôi.
10. Câu hỏi thường gặp
Dùng Claude Code có làm dự án rẻ hơn không? Có phần rẻ hơn, có phần không. AI làm nhanh việc viết nháp, viết mã lặp lại và sinh test. Nhưng phân tích nghiệp vụ, chốt đặc tả, review và kiểm thử với khách vẫn cần người, và VAON không cắt các bước đó. Vì vậy VAON không hứa một tỷ lệ giảm chi phí chung. Báo giá dựa trên phạm vi trong tài liệu đặc tả.
Mã nguồn của tôi có bị dùng để huấn luyện AI không? VAON thống nhất với khách trước khi bắt đầu: dữ liệu nào được dùng, ai được xem, có được đưa mã vào công cụ AI không. Khi khách chưa cho phép, VAON không đưa mã hay dữ liệu vào công cụ AI. Cách Claude Code xử lý quyền và dữ liệu có ở bài quy tắc dùng Claude Code trong công việc.
Code AI viết lỗi thì ai chịu trách nhiệm? Trách nhiệm được xác định theo hợp đồng từng dự án. VAON không coi việc "AI viết" là lý do để trách nhiệm khác đi. Mã do AI viết vẫn qua cùng các bước review, test và kiểm tra bảo mật như mã do người viết. Khi có sự cố, hai bên có hồ sơ để đối chiếu.
Tôi có cần biết về Claude Code để làm việc với VAON không? Không cần. Bạn làm việc với tài liệu yêu cầu, mockup, môi trường kiểm thử và checklist, giống một dự án bình thường. Điểm khác là bạn nhận được nhiều hồ sơ hơn: kế hoạch đã duyệt, hồ sơ review, kết quả test có ảnh chụp, ghi chú phát hành. Bạn có thể xem các hồ sơ đó bất cứ lúc nào.
Quy trình này có dùng được với hệ thống đang chạy không? Dùng được, nhưng bước đầu khác. Với hệ thống đã có, VAON đọc mã nguồn, phỏng vấn người vận hành và đo hiện trạng trước khi chốt đặc tả cho phần sửa. AI giúp đọc mã nhanh hơn. Nhưng mã chỉ cho biết hệ thống đang làm gì, không cho biết vì sao, nên vẫn phải hỏi lại người dùng nghiệp vụ.
Việc làm được ngay: nếu đang làm việc với một đội có dùng AI, hãy hỏi họ một câu. "Ở bước nào người của các bạn đọc lại mã AI viết? Tôi xem hồ sơ đó ở đâu?" Câu trả lời cho bạn biết họ có quy trình hay chỉ có công cụ. Danh sách đầy đủ các câu nên hỏi có ở bài 12 điều cần kiểm tra trước khi thuê ngoài phát triển có dùng AI.
Nếu muốn xem quy trình này áp vào dự án của bạn thế nào, đặt lịch trao đổi 60 phút miễn phí. CEO tham dự, không cần chuẩn bị tài liệu, không ràng buộc.
Tác giả: Đặng Văn Luân, Founder & CEO, VAON. Tốt nghiệp HEDSPI (Đại học Bách khoa Hà Nội), từng làm tại FPT Software, 5 năm tại Digital Plus (Tokyo) với hệ thống 10 triệu người dùng, 8 năm làm COO một công ty ITO 120 nhân sự và xây hệ thống quản lý theo ISO 9001, ISO 27001. 15 năm làm nghề.
