github-review-pr

1仕組みと動作原理

中核となる前提：「レビュー結論」を、Web 上の diff や古いレビュースナップショットの印象ではなく、イミュータブルな Git オブジェクト（正確な base/head OID、マージ結果ツリー）に対するアサーションとして定義する。

デフォルトは読み取り専用：コメント、承認、変更要求、ブランチ更新、push、close、merge、auto-merge 有効化、保護のバイパス、ブランチ削除のいずれも、ユーザーによる「その具体的な外部変更 1 回」に対する明示的な承認が必須。

3 つのアイデンティティラインを分離管理：PR 記録の base OID（baseRefOid）、現在の base ブランチ OID、PR head OID を別個に記録し、baseRefOid をアクティブなブランチ先端とみなすことを禁止する。

オブジェクト取得時の隔離：独立した一時クローンを優先し、既存クローンの再利用時はリモートの一致と作業ツリーの安全性を必須とする。ユーザーの作業ツリーの切り替え、リセット、クリーン、復元は絶対に行わず、デフォルトで git worktree は作成しない。名前空間 ref refs/review-pr/<n>/… を使用して base と pull/<n>/head を取得し、rev-parse で取得した OID を検証する。

3 方向ビューの並行計算と相互代替の禁止：① PR 側パッチ候補（CURRENT_BASE_SHA と HEAD_SHA のマージベースから HEAD への差分）、② 現在の base に対する head の生ツリー差分（古いフォークで欠落している base の変更を露呈）、③ git merge-tree --write-tree --messages でドライランし終了コード、ツリー OID、競合情報を記録した真の 3 方向マージ結果。

ancestry を用いたトポロジの先行分類（通常の base ドリフト vs 履歴の不連続）を行い、正確な OID ペアによる GitHub compare API で「現在の base に対する head」の生ツリー差分をクロス検証する（PR files エンドポイントが古い記録 base に固定されている可能性があるため）。

汚染ブランチの隔離投影：使い捨てクローンで CURRENT_BASE_SHA に detach し、検証済み候補コミットを PR の順序で cherry-pick --no-commit して「現在の base 上の合成投影」を生成する。これはコントリビューション内容の分析専用であり、反事実的（counterfactual）、非マージツリー、マージ可能性の非証明として明示的にラベル付けされる。

キューモードは明示的エントリ（--all-open または全オープン PR の明示的指定）：createdAt の新しい順に処理し、PR ごとに独立した台帳、マージ結果、所見セット、決定を保持する。承認、修正、コメント、マージの権限は PR 間で一切引き継がれない。一連のスキャンはスナップショット epoch として扱い、いずれかの PR が反映された直後に新しい epoch を開始して後続の 3 方向結果を再計算する。

対抗レビュー（adversarial review）メカニズム：非自明な PR に対し、同一の正確な OID を対象とする 2〜3 の読み取り専用レビュアーを割り当てる（クリーンなマージはドライラン反映差分を、競合時は隔離意図パッチ＋競合証拠をレビュー）。プロンプトでは編集や GitHub への書き込みを禁止し、同一モデルのレビュアーは独立した権威ではなく「相関する証拠」としか位置付けない。

帰属を深刻度に優先させる：検証された各問題に対し、まず PR / BASE / SHARED の所有権タグを付与し（BASE の欠陥は別記しコントリビューターに修正を要求しない）、その後に P0/P1/P2 の深刻度と High/Medium/Low の信頼度を決定する。nit は省略し、信頼度の低い未確定の主張は欠陥と断定せず明確な質問へと変換する。

報告前のスナップショット再検証：REST PR オブジェクト、live base ref、および必須の checks を直ちに再確認する。HEAD_SHA または CURRENT_BASE_SHA に変更があった場合、関連する分析を即座に破棄してマージ、差分、テスト、レビューを再実行し、古いレビューを新しいコードへ「脳内パッチ」することを厳禁とする。

出力規律：所見優先（findings-first）＋固定テンプレート（[深刻度][所有権][信頼度] タイトル — パス:行 / Evidence / Impact / Correction）とし、その後に checks 実行結果、スコープとマージ結果、スナップショット台帳、唯一の決定、および「今回は読み取り専用であり GitHub を変更していない」旨の mutation statement を順次記述する。

書き込み操作は第 2 のリファレンスに分離され、アクション粒度の承認テーブルを内部で保持：コメント、正式レビュー提出（APPROVE/REQUEST_CHANGES/COMMENT）、PR ブランチ更新、修正コミットの push、PR クローズ、マージ、auto-merge 有効化、admin bypass、ブランチ削除のそれぞれに個別の明示的承認が必要。

personal-maintainer ポリシー層はオプトインのオーバーレイ：--personal-maintainer またはユーザーが自身のメンテナンス原則の適用を明示した場合にのみロードされる。メンテナー本人がコミット作成（authored）した先例のみから学習し、キュレーションの基準をコントリビューター指標より優先させ、PR ごとに個別のマージ確認を要求する。

信頼境界と認証情報の衛生管理：PR 側のコンテンツは信頼できないものとして扱う。リポジトリの指示（AGENTS.md/CLAUDE.md/CONTRIBUTING.md およびテストコマンド）は現在の base からのみロードし、これらのファイルへの変更は提案コード（proposed code）としてレビューする（レビュー手法、権限、セキュリティルールの再定義は許可しない）。テスト対象スクリプトの実行前にはスクリプトと依存関係を検査し、隔離されたクローンやサンドボックスで実行して無関係な認証情報を排除する。

2コア機能

3外部依存関係

4推奨統制措置と判定根拠

5二重目の独立検証

• [discrepancy] 任务假设：SKILL.md 是否明确指路 github-ops / git-safety-net — 在本 skill 目录内 grep 'github-ops|git-safety-net|skill://' 零命中。SKILL.md 不用「指名 sibling skill」的方式划边界，而是用两条排除清单：'Use a narrower workflow instead when the request is only one of these:'（含 Create or administer PRs, issues, repositories, or workflows / Diagnose CI without reviewing the code change / Address already-filed review comments without performing a fresh review / Merge an already-reviewed PR without performing a fresh review / Review an unpushed local branch or working-tree diff / Run a security-only diff audit）与 frontmatter description 末尾的 'Do not use for general GitHub CRUD, repository-wide audits, CI-only diagnosis, security-only diff audits, unpushed local diffs…'。实际分工出现在仓库级文档：README.md:3723-3726 'Use **github-ops** for verified PR, issue, Actions, repository, organization-access, and API operations.' / 'Use **github-review-pr** when a maintainer needs a current-base code review, ownership decision, or review-gated repair/landing…'；github-ops/SKILL.md 结尾亦有 'For local Git recovery, dirty worktrees, bundles, or lost commits, use `git-safety-net`. This skill owns GitHub-hosted state.'。结论：边界清楚且可查，但实现方式是「本 skill 的排除清单 + 仓库 README 导航」，不是任务描述预期的 SKILL.md 内显式指路。
• [ok] external_deps 反查：gh CLI 调用点是否真实存在 — 逐处定位：gh auth status(SKILL.md:144)、gh pr view --json …(145)、gh api repos/$BASE_REPO/pulls/$PR_NUMBER(146)、gh repo view --json nameWithOwner,visibility,isPrivate,stargazerCount,forkCount(147)、gh api --paginate …/issues/$PR/timeline(150 区域)、gh api repos/$BASE_REPO/commits/$ENCODED_BASE_SELECTOR(164 区域)、gh pr list …--jq(106-107)、gh api --paginate pulls/$PR/reviews|comments 与 issues/$PR/comments(279-281)、gh pr checks(376)、gh api --method POST …/reviews(remediation:68)、--method PUT …/update-branch(206)、gh pr merge …--match-head-commit(322 区域)、gh api repos/$BASE_REPO --jq 合并设置(298)、gh api user --jq .login(personal:37)。全部真实存在，无编造。
• [ok] external_deps 反查：git 子命令与版本前提 — git fetch --no-tags（含 refs/pull/<n>/head:refs/review-pr/<n>/head 与 recorded-base 回退取法）、git rev-parse、git cat-file -e "$SHA^{commit}"、git merge-base 与 --is-ancestor、git merge-tree --write-tree --messages、git log --right-only --cherry-pick --no-merges、git diff（含 --cached --check/--stat 与 <commit>^ 形式）、git switch --detach、git cherry-pick --no-commit、git patch-id --stable、git write-tree、git merge --no-ff -s ours 均在源码内定位到。版本前提只在仓库级文档声明（README.md:3234 '**Requirements**: authenticated `gh` CLI, `git` with `merge-tree --write-tree`, and `jq`.'），SKILL.md 正文未写版本号——即 git 过旧时会在第 3 步直接失败而非给出友好提示。
• [ok] external_deps 反查：网络端点与 jq — jq 两处用法真实：gh 的 --jq（pr list 排序与字段投影）与 ENCODED_BASE_SELECTOR=$(jq -rn --arg ref "heads/$BASE_REF" '$ref|@uri')(SKILL.md:166)。端点：唯一字面 URL 为 references/personal_maintainer_context.md:87 的 https://claude.com/contact-sales/claude-for-oss；api.github.com 与 github.com 全文无字面量，均由 gh/git 的认证/远端配置解析——已在 external_deps 的 endpoint 字段显式标注「隐式」，未伪装成源码里的显式端点。
• [ok] 安全结论反例搜索：有没有漏掉的网络调用 / 隐藏脚本 / 混淆内容 — find 全量（含隐藏文件）确认仅 4 个文件、无可执行位、无压缩包/二进制；token 扫描 curl|wget|scp|ssh|nc|eval|base64|subprocess|os.system|python|node|npm|npx|chmod|sudo 全部零命中；4 个文件均为可直接阅读的 markdown/JSON，无 base64 段、无编码或混淆内容。故「无自带脚本、无隐蔽外发」成立。识别到的唯一执行面是正文明确指示「在隔离克隆中运行被测仓库规定的测试」——属被测代码执行而非本 skill 自带脚本，已计入 security.scripts_executed 与 grade 理由。
• [ok] 安全结论反例搜索：凭证读取 — grep token|GH_TOKEN|GITHUB_TOKEN|secret|\.env|keychain|credential 仅命中风险条款（secret exposure、'semantic secret/PII review'、'token change'）与权限检查，没有任何读取或导出凭据值的指令。真实凭据接触只有两处：gh 以宿主已登录身份发起 API/写操作（gh auth status 是显式使用），以及写前查询仓库认证权限。结论：不存在把 token 值读入上下文或外发的路径；但需知晓所有评审/写操作都在维护者的 gh 身份下执行，权限等同于该登录态。
• [ok] 资产面核对：agents/openai.yaml 缺失是否异常 — 本 skill 无 agents/openai.yaml。仓库 104 个 SKILL.md 中仅 6 个带该文件（claude-usage-analyst、codex-image-gallery、design-style-picker、download-gemini-images、git-safety-net、wps-doc-scraper），故缺失属仓库常态，不构成差异。后果仅是该 skill 只有 Claude Code 侧 frontmatter（name/description/argument-hint），没有 Codex 侧的显式调用策略（如 allow_implicit_invocation）声明。
• [ok] 「实现原理」是否夸大：功能声明 vs 实际代码能力 — 逐条对照 frontmatter 声明（base drift / history discontinuities / polluted branches / ownership / curation / supersession / review-conditioned repair or landing / immutable Git snapshots / three-way merge results / isolated contribution projection / checks / tests / findings-first reporting）——正文各有对应步骤与命令，无越界承诺。两处属「需注记」而非夸大：(a) 「bounded newest-to-oldest sweep」的实现是 gh pr list --limit 100 加「分页可能超限时改用 API 直到每个 open PR 都被计入」并要求报出 verified count，边界由「显式 --all-open + 分页补齐」共同定义；(b) 技能主动限界，声明 GitHub 无 expected-base CAS、--match-head-commit 只守 head 不守 base，要求披露残余竞态——属自我约束而非能力吹嘘。

6結論