review-renovate について
GitHub Actions を更新する Renovate のプルリクエストを審査するスキルです。固定コミット SHA と上流タグを照合し、破壊的変更やワークフローとの互換性を調べて、マージの判断材料をまとめます。
主な機能
- 01PR のメタデータと差分を取得
- 02更新前後の Action SHA を検証
- 03変更履歴から破壊的変更を確認
- 04ワークフローとの互換性を確認
- 05結果とマージ判断を報告
活用シーン
- 01Renovate による GitHub Actions 更新の評価
- 02Action のタグと SHA の不一致検出
- 03ワークフローで使う入力の有効性確認
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/review-renovateを入力して読み込まれたか確認します。
詳細
Renovate の GitHub Actions PR をレビューする
GitHub Actions の依存関係を更新する Renovate bot の PR をレビューします。サプライチェーンの完全性を検証し、アップグレードによって CI/CD ワークフローが壊れないことを確認してください。
入力
PR 番号または URL が渡されます。gh CLI を使用して PR の詳細と差分を取得してください。
手順
1. PR のメタデータと差分を取得する
gh pr view <PR> --json title,body,files,commits,author,headRefName
gh pr diff <PR>
PR の作成者が app/renovate であることを確認してください。そうでない場合は、ただちにその旨を報告してください。自動化された依存関係の更新ではない可能性があります。
2. すべてのアクションのバージョン変更を特定する
差分から、変更された各アクションについて次の情報を抽出してください。
- アクションの完全な名前（例：
oven-sh/setup-bun） - 変更前のバージョンタグと固定 SHA
- 変更後のバージョンタグと固定 SHA
- 更新の種類（パッチ、マイナー、メジャー）
3. 固定 SHA を上流タグと照合して検証する
更新対象の各アクションについて、変更前と変更後の両方の SHA が、記載されたバージョンタグと一致することを確認してください。
gh api repos/{owner}/{repo}/git/ref/tags/{version} --jq '.object.sha'
各結果をワークフローファイル内の SHA と照合してください。SHA が一致しない場合は、サプライチェーンの完全性に関する問題として、確認を中止して報告してください。PR を承認しないでください。
4. 破壊的変更について変更履歴を確認する
PR の本文（Renovate はリリースノートを含めます）を確認し、更新された各アクションについて次の点を調べてください。
- ワークフローで現在使用している入力または出力の削除
- 依存する入力のデフォルト動作の変更
- 新たに必須となった入力
- メジャーバージョンの更新（ほとんどの場合、破壊的変更があります）
5. ワークフローとの互換性を確認する
影響を受けるワークフローファイルを読み、次の点を確認してください。
- 削除または名前変更された入力が使用されていないこと
- デフォルト値の変更が現在の動作に影響しないこと
- アクションのランタイム要件が引き続き満たされていること（例：Node.js のバージョン互換性）
6. 調査結果を報告する
次の要約テーブルを提示してください。
| アクション | 変更前 | 変更後 | 種類 | SHA の検証 |
|---|---|---|---|---|
| ... | ... | ... | パッチ／マイナー／メジャー | はい／いいえ |
次に、以下を明記してください。
- すべての SHA が検証済みかどうか
- 破壊的変更が見つかったかどうか
- ワークフローとの互換性が維持されているかどうか
- 安全にマージできる、またはマージしないという明確な推奨事項