スキル github-code-review
📦

github-code-review

コンテンツリビジョン r1 重大 ⚙️ 外部コマンド🌐 ネットワークアクセス🔑 環境変数

AIエージェントでGitHubプルリクエストをレビュー

手作業のプルリクエストレビューでは、セキュリティ、パフォーマンス、アーキテクチャの問題を見落とす可能性があります。このスキルは、専門化されたレビューエージェントとGitHubワークフローを連携させ、体系的なレビュー範囲を提供します。

対応: Claude Codex Code(CC)
Maintain this Skill? Claim it ⚠️ 38 不十分

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト
Review the Skillstore skill "github-code-review" from https://skillstore.io/skills/ruvnet-github-code-review.md and its manifest at https://skillstore.io/api/skills/ruvnet-github-code-review/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/ruvnet-github-code-review.md 署名済み manifest GET /api/skills/ruvnet-github-code-review/manifest 署名済み lockfile GET /api/skills/ruvnet-github-code-review/lockfile

テストする

「github-code-review」を使用しています。 認証とセッション処理を変更するプルリクエストをレビューする。

期待される結果:

レビュープランでは、セキュリティエージェントとアーキテクチャエージェントを最初に割り当てます。想定される出力には、リスクサマリー、要求されるテスト、承認を妨げるブロッカーが含まれます。

「github-code-review」を使用しています。 リポジトリのCIパイプラインに自動レビューを追加する。

期待される結果:

このスキルは、PRコンテキストを収集し、ruv-swarmレビューコマンドを実行し、サマリーを投稿し、ラベルを適用するworkflowを提案します。

「github-code-review」を使用しています。 大規模なリファクタリングのプルリクエスト向けにコメントを生成する。

期待される結果:

このスキルは、メンテナーが承認前に修正の優先順位を付けられるよう、ファイル、重大度、エージェントタイプごとに指摘事項をグループ化します。

セキュリティ監査

重大
v9 • 2026/7/9 バージョン別レポートを開く

The audit confirmed a vulnerable webhook example that uses child_process.execSync with untrusted PR comment text. Most other static hits are Markdown code fences or expected GitHub CLI workflow examples. Documentation links and GitHub token login usage did not show exfiltration evidence.

1
スキャンされたファイル
1,126
解析済み行数
5
レビュー項目
0
誤検知を無視

確認済みのセキュリティ上の懸念 (1)

重大
SKILL.md:380-392
Remote PR Comment Command Injection
The webhook example accepts any PR comment starting with /swarm and places the comment body inside an execSync shell command. A crafted comment could execute unintended shell syntax on the webhook host.
The code imports child_process.execSync and passes event.comment.body into a shell command string. The surrounding handler shows no signature verification, allowlist, or escaping.
機能レビュー項目 (5)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

重大
SKILL.md:392
Synchronous process execution
execSync(`npx ruv-swarm github handle-comment --pr ${event.issue.number} --command "${command}"`);
The command places event.comment.body into an execSync shell string. A crafted PR comment can inject shell syntax into the webhook host command.
重大
SKILL.md:392-399
Ruby/shell backtick execution
execSync(`npx ruv-swarm github handle-comment --pr ${event.issue.number} --command "${command}"`);
Although the pattern name is broad, this line executes a shell command containing raw PR comment text. That is a direct command injection risk.
高
SKILL.md:380
Node.js child_process module
const { execSync } = require('child_process');
The webhook example imports child_process.execSync and uses it in the same handler. This enables shell execution in automation that processes GitHub webhook payloads.
高
SKILL.md:387
Synchronous process execution
execSync(`npx ruv-swarm github pr-init ${event.pull_request.number}`);
The command interpolates event.pull_request.number from a webhook payload into execSync. It appears intended for GitHub automation, but the value is not validated before shell execution.
高
SKILL.md:387-392
Ruby/shell backtick execution
execSync(`npx ruv-swarm github pr-init ${event.pull_request.number}`);
Although the pattern name is broad, this line is real execSync shell execution with an interpolated webhook value. The PR number should be validated and passed as an argument.

リスク要因

⚙️ 外部コマンド (50)
SKILL.md:380 SKILL.md:387 SKILL.md:392 SKILL.md:13-19 SKILL.md:19-22 SKILL.md:22-34 SKILL.md:34-90 SKILL.md:90-105 SKILL.md:105-121 SKILL.md:121-141 SKILL.md:141-146 SKILL.md:146-165 SKILL.md:165-172 SKILL.md:172-184 SKILL.md:184-186 SKILL.md:186-191 SKILL.md:191-201 SKILL.md:201-208 SKILL.md:208-213 SKILL.md:213-231 SKILL.md:231-241 SKILL.md:241-248 SKILL.md:248-253 SKILL.md:253-271 SKILL.md:271-281 SKILL.md:281-287 SKILL.md:287-292 SKILL.md:292-310 SKILL.md:310-320 SKILL.md:320-330 SKILL.md:330-336 SKILL.md:336-347 SKILL.md:347-351 SKILL.md:351-357 SKILL.md:357-365 SKILL.md:365-372 SKILL.md:372-377 SKILL.md:377-387 SKILL.md:387-392 SKILL.md:392-399 SKILL.md:399-409 SKILL.md:409-444 SKILL.md:444-448 SKILL.md:448-471 SKILL.md:471-479 SKILL.md:479-532 SKILL.md:532-540 SKILL.md:540-570 SKILL.md:570-574 SKILL.md:574-581
🌐 ネットワークアクセス (3)
SKILL.md:1106 SKILL.md:1107 SKILL.md:1108
🔑 環境変数 (1)
SKILL.md:497
監査者: codex 監査履歴を表示 →
このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く
セキュリティ評価

レポートリンクをコピー

https://skillstore.io/skills/ruvnet-github-code-review/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/ruvnet-github-code-review/security.svg)](https://skillstore.io/skills/ruvnet-github-code-review?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/ruvnet-github-code-review?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/ruvnet-github-code-review/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/ruvnet-github-code-review.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
学術引用 (APA · BibTeX · CFF)

APA形式の引用

ruvnet. (2026). github-code-review security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/ruvnet-github-code-review/audits/9

BibTeX形式の引用

@techreport{ruvnet-ruvnet-github-code-review-2026, author = {ruvnet}, title = {github-code-review security audit report (audit version 9)}, institution = {Skillstore}, year = {2026}, number = {9}, url = {https://skillstore.io/skills/ruvnet-github-code-review/audits/9}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "github-code-review security audit report (audit version 9)" version: "unspecified" type: report authors: - name: "ruvnet" date-released: "2026-07-09" url: "https://skillstore.io/skills/ruvnet-github-code-review/audits/9" identifiers: - type: other value: "skillstore:ruvnet-github-code-review:audit:9" description: "Skillstore immutable audit report identifier"

バリアントを比較

インストール可能なバリアント 2 件

各作者のスキルは個別のインストール項目として維持されます。推奨バリアントは Skillstore の証拠で順位付けされます。

このバリアントが首位の理由

Skillstore での利用が多い
ruvnet 推奨 現在

ruvnet-github-code-review

Skillstore スコア 38
証拠の信頼度 中
Skillstore 利用状況 16
更新済み

2026-09-09

Claude Code Flow

dnyoussef-github-code-review

Skillstore スコア 38
証拠の信頼度 中
Skillstore 利用状況 13
更新済み

2026-09-09

Skillstore スコア

このスコアの理由 証拠の信頼度: 中
55
アーキテクチャ
85
保守性
87
コンテンツ
70
コミュニティ
70
仕様準拠

作成できるもの

セキュリティに敏感なプルリクエストをレビュー

承認を依頼する前に、認証、認可、シークレット、依存関係のリスクに焦点を当てたレビューエージェントを実行します。

チームのプルリクエストレビューを標準化

リポジトリ全体で、スタイル、テスト、アーキテクチャ、アクセシビリティに関する一貫したレビュー基準を適用します。

CIにレビュー自動化を追加

PRコンテキストを収集し、レビューエージェントを実行し、レビューサマリーを公開するGitHub Actions workflows を構築します。

これらのプロンプトを試す

基本的なPRレビューを開始 
このスキルを使用して、プルリクエスト123をレビューしてください。変更されたファイル、想定されるリスク、最初に実行するレビューコマンドを要約してください。
セキュリティレビューを実行 
セキュリティ上の問題についてプルリクエスト123をレビューしてください。認証、認可、シークレット、依存関係、安全でない入力処理に重点を置いてください。
CIレビューゲートを準備 
このリポジトリ向けにGitHub Actionsレビュー workflow を設計してください。セキュリティ、テスト、カバレッジ、アーキテクチャの品質ゲートを含めてください。
高度なマルチエージェントレビューを調整 
セキュリティ、パフォーマンス、アーキテクチャ、スタイル、アクセシビリティの各エージェントを使って、プルリクエスト123の包括的なレビュープランを作成してください。マージ基準も含めてください。

ベストプラクティス

  • 自動化を有効にする前に、最小権限のGitHubトークンを使用し、webhook署名を検証してください。
  • 承認、マージ、生成された修正のプッシュを行う前に、自動コメントをレビューしてください。
  • ラベル、承認、自動修正を有効にする前に、読み取り専用のレビュー workflows から始めてください。

回避

  • コメント投稿者とコマンドの許可リストを検証せずに、PRコメントコマンドを実行しないでください。
  • GitHubトークン、diff、レビュー出力を公開ログに露出しないでください。
  • ブランチ保護と人間による監督なしに、自動承認やマージ flows を使用しないでください。

よくある質問

このスキルはどのツールを想定していますか？
対象のプルリクエストに対するGitHub CLI、npx、ruv-swarm、リポジトリ権限を想定しています。
人間によるコードレビューを置き換えられますか？
いいえ。レビュー範囲を構造化し、指摘事項を生成しますが、メンテナーは承認前に結果を検証する必要があります。
セキュリティレビューをサポートしていますか？
はい。OWASPの問題、シークレット、権限、依存関係、重大なブロッカーに対するセキュリティレビュー flows が含まれています。
GitHubコメントを投稿できますか？
はい。例では、コメント、インラインレビューのフィードバック、ラベル、レビュー状態のためのGitHub CLIコマンドを示しています。
CI自動化は含まれていますか？
はい。このスキルには、自動レビュー、品質ゲート、ステータス更新のためのGitHub Actions例が含まれています。
どの権限を使用すべきですか？
必要最小限のリポジトリ権限、スコープ付きトークン、webhook署名チェック、ブランチ保護ルールを使用してください。

開発者情報

作成者

ruvnet

ライセンス

MIT

Skillstore リビジョン

r1

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/ruvnet/claude-flow/tree/main/.claude/skills/github-code-review

参照

3e4b6c31a74a3bd1a291c98cf585d720cb9fbc88

メンテナンスの新しさ

2026/7/25

利用状況

9 ダウンロード · 188 閲覧

ファイル構成

📄 SKILL.md

ruvnet のその他のスキル

すべて表示

関連スキル

すべて表示