mcpField
R
review-renovate

review-renovate

github.com/backnotprop安全9.7k286 次安装今天更新
代码仓库

关于 review-renovate

用于审查 Renovate 更新 GitHub Actions 的拉取请求的技能。它会核对固定提交 SHA 与上游标签、检查破坏性变更及工作流兼容性，再给出合并建议。

主要功能

  1. 01获取 PR 信息与差异
  2. 02核验新旧 Action SHA
  3. 03检查变更日志中的破坏性变更
  4. 04评估工作流兼容性
  5. 05汇总结果并给出合并建议

适用场景

  1. 01评估 Renovate 提交的 GitHub Actions 更新
  2. 02发现 Action 标签与 SHA 不匹配
  3. 03确认工作流所用输入仍然有效

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/backnotprop/plannotator --skill review-renovate

安装后在 Claude Code 中输入/review-renovate确认已加载。

详细介绍

审查 Renovate GitHub Actions PR

你正在审查 Renovate 机器人提交的、用于更新 GitHub Actions 依赖项的 PR。你的任务是验证供应链完整性，并确保升级不会破坏 CI/CD 工作流。

输入

你将收到一个 PR 编号或 URL。使用 gh CLI 获取 PR 详情和差异。

步骤

1. 获取 PR 元数据和差异
gh pr view <PR> --json title,body,files,commits,author,headRefName
gh pr diff <PR>

确认 PR 作者是 app/renovate。如果不是，请立即标记——这可能不是自动依赖更新。

2. 识别所有 Action 版本变更

从差异中提取每个发生变更的 Action：

  • 完整的 Action 名称（例如，oven-sh/setup-bun）
  • 旧版本标签和固定的 SHA
  • 新版本标签和固定的 SHA
  • 更新类型（patch、minor、major）
3. 根据上游标签验证固定的 SHA

对于每个要更新的 Action，验证旧 SHA 和新 SHA是否与所声明的版本标签匹配：

gh api repos/{owner}/{repo}/git/ref/tags/{version} --jq '.object.sha'

将每项结果与工作流文件中的 SHA 进行比较。如果任一 SHA 不匹配，请停止并报告供应链完整性故障。不要批准此 PR。

4. 检查更新日志中的破坏性变更

根据 PR 正文（Renovate 会包含发布说明），检查每个更新的 Action 是否存在以下情况：

  • 移除了工作流当前正在使用的输入或输出
  • 更改了工作流依赖的输入的默认行为
  • 新增了必需输入
  • 升级了主版本（这几乎总是会带来破坏性变更）
5. 检查工作流兼容性

阅读受影响的工作流文件并确认：

  • 没有使用已移除或重命名的输入
  • 默认值变更不会影响当前行为
  • 仍满足 Action 的运行时要求（例如，Node.js 版本兼容性）
6. 汇报调查结果

提供一张汇总表：

Action旧版本新版本类型SHA 已验证
.........patch/minor/majoryes/NO

然后说明：

  • 是否已验证所有 SHA
  • 是否发现任何破坏性变更
  • 工作流是否仍然兼容
  • 明确给出可以合并或不要合并的建议

评论

支持 Markdown