Habilidades github-code-review

📦

github-code-review

Name: github-code-review
Author: Claude Code Flow

v1.0.0 Revisión del contenido r1 Crítico ⚙️ Comandos externos🌐 Acceso a red🔑 Variables de entorno

Revisa pull requests de GitHub con agentes de IA

Las revisiones manuales de pull requests pueden pasar por alto problemas de seguridad, rendimiento y arquitectura. Esta skill proporciona flujos de trabajo estructurados de revisión en GitHub usando agentes de IA especializados y automatización con CLI.

Compatible con: Claude Codex Code(CC)

⚠️ 38 Deficiente

No instales este Skill automáticamente.

La política canónica exige la revisión de un operador antes de cualquier acción de instalación.

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "github-code-review" from https://skillstore.io/skills/dnyoussef-github-code-review.md and its manifest at https://skillstore.io/api/skills/dnyoussef-github-code-review/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/dnyoussef-github-code-review.md Manifest firmado GET /api/skills/dnyoussef-github-code-review/manifest Lockfile firmado GET /api/skills/dnyoussef-github-code-review/lockfile

Pruébalo

Usando "github-code-review". Revisa el PR 123 en busca de regresiones de seguridad y rendimiento.

Resultado esperado:

Resumen de revisión de seguridad con hallazgos de prioridad crítica, alta y baja.
Observaciones de rendimiento con benchmarks sugeridos o pruebas de seguimiento.
Comentarios de revisión y etiquetas listos para GitHub para el pull request.

Usando "github-code-review". Configura un flujo de trabajo de revisión automatizada para nuevos pull requests.

Resultado esperado:

Un esquema de flujo de trabajo para recopilar contexto del PR y ejecutar agentes de revisión.
Recomendaciones de controles de calidad para comprobaciones de seguridad, rendimiento, estilo y arquitectura.
Precauciones operativas sobre alcance de tokens, validación de webhooks y ejecución de comandos.

Usando "github-code-review". Genera un informe final de revisión para un PR grande de una funcionalidad.

Resultado esperado:

Un resumen conciso de decisión con estado de aprobación y bloqueadores restantes.
Hallazgos agrupados por tipo de agente y gravedad.
Próximas acciones para autores, revisores y responsables de release.

Auditoría de seguridad

Crítico

v10 • 9/7/2026 Abrir el informe versionado

The skill is a GitHub pull request review workflow that intentionally uses gh, npx, shell commands, and GitHub tokens. Most Markdown backtick findings are false positives, but webhook-driven execSync, authenticated automation, external command execution, and automated approval or merge examples are real risks that require controls before publication.

Archivos escaneados

1,141

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (2)

Crítico

SKILL.md:376-407

Untrusted PR Comment Command Execution

The skill presents PR comments such as /swarm commands as direct automation triggers and shows a webhook handler passing the comment body into a shell command. This can let untrusted repository users influence privileged review automation.

The command path is explicit: PR comments are accepted when they start with /swarm, then the full comment body is passed to execSync. Later checklist guidance does not remove the unsafe example.

Alto

SKILL.md:528-535 SKILL.md:996-1008 SKILL.md:1035-1038

Automated Approval and Merge Workflow Risk

The skill includes examples that approve pull requests based on generated review output and enable auto-merge after review counts. That can bypass human judgment if adopted without strict policy controls.

The cited examples issue gh pr review --approve and gh pr merge commands from automation flows. They are documented examples, but the business logic risk is clear if used directly.

Elementos de revisión de capacidades (26)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Crítico

SKILL.md:407

Synchronous process execution

execSync(`npx ruv-swarm github handle-comment --pr ${event.issue.number} --command "${command}"`);

The command embeds a PR comment body into execSync after only checking that it starts with /swarm. Untrusted comment text can influence shell execution.

Crítico

SKILL.md:407-414

Ruby/shell backtick execution

execSync(`npx ruv-swarm github handle-comment --pr ${event.issue.number} --command "${command}"`);

The backtick appears inside an execSync command template in the webhook example. The pattern is executable JavaScript command construction, not just documentation formatting.

Alto

SKILL.md:395

Node.js child_process module

const { execSync } = require('child_process');

The webhook example imports child_process to run local commands from GitHub webhook events. That enables privileged command execution if copied into production without strict validation.

Alto

SKILL.md:402

Synchronous process execution

execSync(`npx ruv-swarm github pr-init ${event.pull_request.number}`);

The webhook example synchronously runs an npx ruv-swarm command from event data. This is real command execution in response to webhook input and needs strong trust controls.

Alto

SKILL.md:402-407

Ruby/shell backtick execution

execSync(`npx ruv-swarm github pr-init ${event.pull_request.number}`);

The backtick appears inside an execSync command template in the webhook example. The pattern is executable JavaScript command construction, not just documentation formatting.

Alto

SKILL.md:512

Git platform tokens

run: echo "${{ secrets.GITHUB_TOKEN }}" | gh auth login --with-token

The workflow authenticates gh with secrets.GITHUB_TOKEN before running review automation. This is legitimate but exposes repository privileges to the surrounding automation path.

Medio

SKILL.md:39

Shell command substitution

PR_DATA=$(gh pr view 123 --json files,additions,deletions,title,body)

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:40

Shell command substitution

PR_DIFF=$(gh pr diff 123)

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:107

Shell command substitution

PR_DATA=$(gh pr view 123 --json files,additions,deletions,title,body)

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:108

Shell command substitution

PR_DIFF=$(gh pr diff 123)

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:138

Shell command substitution

CHANGED_FILES=$(gh pr view 123 --json files --jq '.files[].path')

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:141-145

Shell command substitution

SECURITY_RESULTS=$(npx ruv-swarm github review-security \

The shell substitution runs npx ruv-swarm and captures its output for later GitHub actions. This executes external tooling with PR context and should require explicit trust.

Medio

SKILL.md:518

Shell command substitution

PR_DATA=$(gh pr view $PR_NUM --json files,title,body,labels)

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:519

Shell command substitution

PR_DIFF=$(gh pr diff $PR_NUM)

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:522-526

Shell command substitution

REVIEW_OUTPUT=$(npx ruv-swarm github review-all \

The shell substitution runs npx ruv-swarm and captures its output for later GitHub actions. This executes external tooling with PR context and should require explicit trust.

Medio

SKILL.md:557

Shell command substitution

PR_DIFF=$(gh pr diff 123 --color never)

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:558

Shell command substitution

PR_FILES=$(gh pr view 123 --json files)

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:561-567

Shell command substitution

COMMENTS=$(npx ruv-swarm github review-comment \

The shell substitution runs npx ruv-swarm and captures its output for later GitHub actions. This executes external tooling with PR context and should require explicit trust.

Medio

SKILL.md:571

Shell command substitution

FILE=$(echo "$comment" | jq -r '.path')

The shell substitution parses generated review output for later API calls. The pattern is operationally legitimate but depends on untrusted or tool-generated data.

Medio

SKILL.md:572

Shell command substitution

LINE=$(echo "$comment" | jq -r '.line')

The shell substitution parses generated review output for later API calls. The pattern is operationally legitimate but depends on untrusted or tool-generated data.

Medio

SKILL.md:573

Shell command substitution

BODY=$(echo "$comment" | jq -r '.body')

The shell substitution parses generated review output for later API calls. The pattern is operationally legitimate but depends on untrusted or tool-generated data.

Medio

SKILL.md:574

Shell command substitution

COMMIT_ID=$(gh pr view 123 --json headRefOid -q .headRefOid)

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Medio

SKILL.md:814

Shell command substitution

PROGRESS=$(npx ruv-swarm github pr-progress 123 --format markdown)

The shell substitution runs npx ruv-swarm and captures its output for later GitHub actions. This executes external tooling with PR context and should require explicit trust.

Medio

SKILL.md:819

Shell command substitution

if [[ $(echo "$PROGRESS" | grep -o '[0-9]\+%' | sed 's/%//') -gt 90 ]]; then

The shell substitution parses generated review output for later API calls. The pattern is operationally legitimate but depends on untrusted or tool-generated data.

Medio

SKILL.md:1000

Shell command substitution

SWARM_STATUS=$(npx ruv-swarm github pr-status 123)

The shell substitution runs npx ruv-swarm and captures its output for later GitHub actions. This executes external tooling with PR context and should require explicit trust.

Medio

SKILL.md:1004

Shell command substitution

REVIEWS=$(gh pr view 123 --json reviews --jq '.reviews | length')

The shell substitution invokes gh to fetch pull request data from GitHub. This is expected for the skill but still performs authenticated external access.

Factores de riesgo

⚙️ Comandos externos (134)

SKILL.md:395 SKILL.md:402 SKILL.md:407 SKILL.md:28-34 SKILL.md:34-37 SKILL.md:37-49 SKILL.md:49-105 SKILL.md:105-120 SKILL.md:120-136 SKILL.md:136-156 SKILL.md:156-161 SKILL.md:161-180 SKILL.md:180-187 SKILL.md:187-199 SKILL.md:199-201 SKILL.md:201-206 SKILL.md:206-216 SKILL.md:216-223 SKILL.md:223-228 SKILL.md:228-246 SKILL.md:246-256 SKILL.md:256-263 SKILL.md:263-268 SKILL.md:268-286 SKILL.md:286-296 SKILL.md:296-302 SKILL.md:302-307 SKILL.md:307-325 SKILL.md:325-335 SKILL.md:335-345 SKILL.md:345-351 SKILL.md:351-362 SKILL.md:362-366 SKILL.md:366-372 SKILL.md:372-380 SKILL.md:380-387 SKILL.md:387-392 SKILL.md:392-402 SKILL.md:402-407 SKILL.md:407-414 SKILL.md:414-424 SKILL.md:424-459 SKILL.md:459-463 SKILL.md:463-486 SKILL.md:486-494 SKILL.md:494-547 SKILL.md:547-555 SKILL.md:555-585 SKILL.md:585-589 SKILL.md:589-596 SKILL.md:596-604 SKILL.md:604-614 SKILL.md:614-618 SKILL.md:618-628 SKILL.md:628-632 SKILL.md:632-639 SKILL.md:639-649 SKILL.md:649-657 SKILL.md:657-663 SKILL.md:663-676 SKILL.md:676-682 SKILL.md:682-689 SKILL.md:689-693 SKILL.md:693-699 SKILL.md:699-707 SKILL.md:707-757 SKILL.md:757-761 SKILL.md:761-767 SKILL.md:767-775 SKILL.md:775-798 SKILL.md:798-802 SKILL.md:802-808 SKILL.md:808-812 SKILL.md:812-822 SKILL.md:822-830 SKILL.md:830-838 SKILL.md:838-842 SKILL.md:842-850 SKILL.md:850-854 SKILL.md:854-862 SKILL.md:862-866 SKILL.md:866-873 SKILL.md:873-877 SKILL.md:877-884 SKILL.md:884-892 SKILL.md:892-897 SKILL.md:897-901 SKILL.md:901-908 SKILL.md:908-912 SKILL.md:912-918 SKILL.md:918-922 SKILL.md:922-928 SKILL.md:928-976 SKILL.md:976-994 SKILL.md:994-998 SKILL.md:998-1011 SKILL.md:1011-1027 SKILL.md:1027-1052 SKILL.md:1052-1064 SKILL.md:1064-1073 SKILL.md:1073-1081 SKILL.md:1081-1090 SKILL.md:1090-1098 SKILL.md:1098-1107 SKILL.md:1107-1116 SKILL.md:1116-1117 SKILL.md:1117-1118 SKILL.md:39 SKILL.md:40 SKILL.md:107 SKILL.md:108 SKILL.md:138 SKILL.md:141-145 SKILL.md:518 SKILL.md:519 SKILL.md:522-526 SKILL.md:557 SKILL.md:558 SKILL.md:561-567 SKILL.md:571 SKILL.md:572 SKILL.md:573 SKILL.md:574 SKILL.md:814 SKILL.md:819 SKILL.md:1000 SKILL.md:1004 SKILL.md:37-49 SKILL.md:105-120 SKILL.md:136-156 SKILL.md:494-547 SKILL.md:555-585 SKILL.md:812-822 SKILL.md:998-1011

🌐 Acceso a red (3)

SKILL.md:1121 SKILL.md:1122 SKILL.md:1123

🔑 Variables de entorno (1)

SKILL.md:512

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/dnyoussef-github-code-review/audits/10?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/dnyoussef-github-code-review/security.svg)](https://skillstore.io/skills/dnyoussef-github-code-review?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/dnyoussef-github-code-review?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dnyoussef-github-code-review/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/dnyoussef-github-code-review.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

Claude Code Flow. (2026). github-code-review security audit report (audit version 10) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/dnyoussef-github-code-review/audits/10

Cita BibTeX

@techreport{claude-code-flow-dnyoussef-github-code-review-2026,
  author = {Claude Code Flow},
  title = {github-code-review security audit report (audit version 10)},
  institution = {Skillstore},
  year = {2026},
  number = {10},
  url = {https://skillstore.io/skills/dnyoussef-github-code-review/audits/10},
  note = {Author version 1.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "github-code-review security audit report (audit version 10)"
version: "1.0.0"
type: report
authors:
  - name: "Claude Code Flow"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/dnyoussef-github-code-review/audits/10"
identifiers:
  - type: other
    value: "skillstore:dnyoussef-github-code-review:audit:10"
    description: "Skillstore immutable audit report identifier"

Comparar variantes

2 variantes instalables

Cada autor sigue siendo un skill instalable independiente. La variante recomendada se ordena según la evidencia de Skillstore.

Por qué esta variante es la primera

Mayor uso en Skillstore

Autor / fuente Puntuación de Skillstore Confianza de la evidencia Uso en Skillstore Actualizado

ruvnet Recomendado

ruvnet-github-code-review

Puntuación de Skillstore 38

Confianza de la evidencia Medio

Uso en Skillstore 12

Actualizado

2026-09-09

Claude Code Flow Actual

dnyoussef-github-code-review

Puntuación de Skillstore 38

Confianza de la evidencia Medio

Uso en Skillstore 7

Actualizado

2026-09-09

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Medio

Arquitectura

100

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Revisar pull requests críticos para la seguridad

Ejecuta flujos de trabajo de revisión enfocados en autenticación, autorización, secretos y cambios de dependencias antes de la aprobación.

Estandarizar flujos de trabajo de revisión del equipo

Usa agentes de revisión repetibles y controles de calidad para mejorar la consistencia entre pull requests.

Automatizar la recopilación de feedback en PR

Conecta GitHub Actions, comentarios de revisión, etiquetas y métricas en un único proceso de revisión.

Prueba estos prompts

Ejecutar una revisión básica de PR

Revisa el pull request 123 con la skill de revisión de código de GitHub. Céntrate en la corrección, las pruebas y el feedback claro.

Centrarse en hallazgos de seguridad

Revisa el pull request 123 en busca de problemas de seguridad. Prioriza autenticación, autorización, secretos, riesgos de inyección y cambios de dependencias.

Crear un plan de revisión multiagente

Crea un plan de revisión para el pull request 123 usando agentes de seguridad, rendimiento, arquitectura, estilo y accesibilidad. Incluye resultados esperados y controles de calidad.

Auditar un flujo de trabajo de automatización de revisiones

Evalúa el flujo de trabajo de revisión automatizada para el pull request 123. Comprueba la seguridad de webhooks, el alcance del token, la validación de comandos, las reglas de aprobación y los controles de merge.

Mejores prácticas

Ejecuta comandos solo en repositorios de confianza con aprobación explícita del usuario y alcances limitados del token de GitHub.
Valida comentarios de PR, firmas de webhooks y argumentos de comandos antes de que se ejecute cualquier automatización.
Usa la revisión generada como apoyo para la toma de decisiones y conserva la aprobación humana para cambios de riesgo.

Evitar

No permitas que comentarios arbitrarios en PR activen comandos de shell o automatización privilegiada.
No pases directamente salidas del modelo sin revisar a comandos de aprobación, merge o etiquetado en GitHub.
No ejecutes paquetes externos de npm con secretos del repositorio a menos que el paquete y la versión sean de confianza.

Preguntas frecuentes

¿Esta skill requiere acceso a GitHub?

Sí. La mayoría de los flujos de trabajo requieren autenticación de gh CLI y permisos del repositorio para datos y comentarios de pull requests.

¿Puede aprobar o fusionar pull requests automáticamente?

La skill incluye ejemplos de automatización de aprobación y merge, pero los equipos deberían exigir revisión humana para estas acciones.

¿Qué áreas de revisión cubre?

Cubre seguridad, rendimiento, arquitectura, estilo, accesibilidad, pruebas, controles de calidad y métricas de revisión.

¿Es seguro usarla con pull requests públicos?

Usa precaución. Los pull requests públicos pueden contener entradas no confiables, por lo que los tokens, webhooks y comandos necesitan controles estrictos.

¿Instala o ejecuta herramientas externas?

Los ejemplos usan gh, npx, ruv-swarm, claude-flow, jq, npm y comandos de shell. Verifica cada herramienta antes de usarla.

¿Puede reemplazar a un revisor humano?

No. Ayuda a organizar el trabajo de revisión y generar feedback, pero los revisores humanos deben tomar las decisiones finales.

Detalles del desarrollador

Autor

Claude Code Flow

Licencia

MIT

Versión del autor

v1.0.0

Revisión de Skillstore

Repositorio

https://github.com/DNYoussef/ai-chrome-extension/tree/main/.claude/skills/github-code-review

Ref.

d29bab7c799689e19147d92070e306a76db0a8a9

Actualidad del mantenimiento

28/7/2026

Uso

5 descargas · 343 vistas

Estructura de archivos

📄 SKILL.md