技能 github-pr-merge

📦

github-pr-merge

Name: github-pr-merge
Author: Bae-ChangHyun

内容修订 r1 高风险 ⚙️ 外部命令

安全合并 GitHub 拉取请求

在仓库发生更改之前，拉取请求合并需要一致的验证。此技能会引导 Claude、Codex 或 Claude Code 完成检查、确认、合并和清理。

支持: Claude Codex Code(CC)

⚠️ 38 差

安装前请停下并请求确认。

请审查安装计划，并在更改文件前获得用户明确同意。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "github-pr-merge" from https://skillstore.io/skills/bae-changhyun-github-pr-merge.md and its manifest at https://skillstore.io/api/skills/bae-changhyun-github-pr-merge/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/bae-changhyun-github-pr-merge.md 已签名 manifest GET /api/skills/bae-changhyun-github-pr-merge/manifest 已签名 lockfile GET /api/skills/bae-changhyun-github-pr-merge/lockfile

测试它

正在使用“github-pr-merge”。检查后合并当前 PR。

预期结果:

PR #42 已就绪：测试通过、lint 通过、CI 为绿色，且评审评论均已回复。
合并消息已起草，包含关键变更、评审数量和测试摘要。正在等待你确认后再合并。

正在使用“github-pr-merge”。检查此 PR 是否可以合并。

预期结果:

合并被阻止，因为有两条评审评论尚未回复。请在合并前运行评审工作流。

正在使用“github-pr-merge”。合并后，清理我的分支。

预期结果:

可以在合并期间删除远程分支。本地分支清理应仅在切换到目标分支并拉取更新后进行。

安全审计

高风险

v8 • 2026/7/6 打开版本化报告

The skill is a GitHub PR merge workflow that intentionally uses gh, git, and make commands. Most static hits are Markdown or read-only GitHub CLI checks, but merge, branch deletion, and repository-defined make targets are real risks. The frontmatter also contains prompt override wording that should be softened before marketplace publication.

已扫描文件

185

分析行数

复核项

已忽略误报

已确认安全问题 (1)

高

SKILL.md:3

Prompt Injection Attempt Detected

The skill description says "MUST use this skill" and "OVERRIDES default PR merge behavior," which attempts to force agent routing and override normal behavior.

The wording directly uses mandatory activation and override language in the skill frontmatter. It does not ask to skip security review, but it can manipulate agent behavior.

能力复核项 (9)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

高

SKILL.md:113-124

Ruby/shell backtick execution

```bash

The block instructs running gh pr merge with --delete-branch, which changes the GitHub repository and deletes the remote branch. The prior confirmation step reduces risk but does not remove the high-impact action.

高

SKILL.md:114-123

Shell command substitution

gh pr merge $PR --merge --delete-branch --body "$(cat <<'EOF'

This line is part of the gh pr merge command with --delete-branch. The heredoc body is quoted, but the surrounding command performs a repository write and branch deletion.

高

SKILL.md:113-124

Template literal with command substitution

```bash

The template wraps a gh pr merge command that writes to GitHub and deletes the remote branch. The command substitution forms the body safely but the operation remains high impact.

中

SKILL.md:12-32

Ruby/shell backtick execution

```bash

The quick start block includes external gh, make, and git commands that can merge a PR and delete branches. This is intended workflow behavior, but it has real repository impact if run in the wrong context.

中

SKILL.md:40-41

Ruby/shell backtick execution

| Tests passing | `make test` | Yes |

The inline make test command is a project-defined external command. It is legitimate validation, but running Makefile targets from an untrusted repository can execute arbitrary project code.

中

SKILL.md:41-42

Ruby/shell backtick execution

| Linting passing | `make lint` | Yes |

The inline make lint command is a project-defined external command. It is legitimate validation, but repository-controlled lint targets can execute arbitrary local scripts.

中

SKILL.md:77-86

Ruby/shell backtick execution

```bash

The validation block runs make test and make lint, which execute repository-defined commands. This is expected for PR validation but risky in untrusted workspaces.

中

SKILL.md:130-134

Ruby/shell backtick execution

```bash

The post-merge block runs git checkout, git pull, and git branch -d. These mutate the local workspace and delete a local branch, so they are real external-command risks.

中

SKILL.md:12-32

Template literal with command substitution

```bash

The quick start template includes command substitutions plus merge and cleanup commands. It is intended automation guidance, but it can alter GitHub and local git state.

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/bae-changhyun-github-pr-merge/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/bae-changhyun-github-pr-merge/security.svg)](https://skillstore.io/skills/bae-changhyun-github-pr-merge?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/bae-changhyun-github-pr-merge?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/bae-changhyun-github-pr-merge/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/bae-changhyun-github-pr-merge.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

Bae-ChangHyun. (2026). github-pr-merge security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/bae-changhyun-github-pr-merge/audits/8

BibTeX 引用

@techreport{bae-changhyun-bae-changhyun-github-pr-merge-2026,
  author = {Bae-ChangHyun},
  title = {github-pr-merge security audit report (audit version 8)},
  institution = {Skillstore},
  year = {2026},
  number = {8},
  url = {https://skillstore.io/skills/bae-changhyun-github-pr-merge/audits/8},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "github-pr-merge security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
  - name: "Bae-ChangHyun"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/bae-changhyun-github-pr-merge/audits/8"
identifiers:
  - type: other
    value: "skillstore:bae-changhyun-github-pr-merge:audit:8"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

可维护性

内容

社区

规范符合性

你能构建什么

完成已评审功能的合并

验证检查项，汇总就绪状态，并在明确批准后合并。

在合并前验证评审评论

在接受拉取请求之前，检查原始评审评论是否已有回复。

准备由助手引导的合并

让 AI 编码助手收集状态、起草合并摘要，并等待批准。

试试这些提示

检查当前 PR

检查当前 GitHub 拉取请求。运行所需的验证步骤，汇总结果，并在合并前询问我。

验证评审就绪状态

检查当前 PR 的测试、lint、CI 和评论状态。告诉我是否有任何阻止合并的问题。

合并指定 PR

对于 PR #123，验证 CI、测试、lint 和评审评论。准备合并正文，然后等待我的批准。

合并并清理

对 PR #123 使用 GitHub PR 合并工作流。验证每个关卡，仅在我确认后合并，然后准备清理步骤。

最佳实践

在运行任何合并命令之前，确认 PR 编号和仓库。
将项目验证命令视为仓库代码，并且仅在受信任的工作区中运行它们。
当分支为共享分支时，将分支删除作为单独的决策。

避免

当测试、lint、CI 或评审线程未解决时，不要合并。
不要使用此技能绕过分支保护或评审者批准。
在未验证上下文的情况下，不要从 fork 或不受信任的 checkout 运行合并命令。

常见问题

此技能会自动合并吗？

不会。它会指示助手在合并前请求明确确认。

需要哪些工具？

它需要 GitHub CLI、git、目标仓库的认证权限以及项目验证命令。

它可以回复评审评论吗？

不能。该工作流要求在存在未回复评论时停止，并使用评审工作流。

它支持 squash merges 吗？

此技能仅建议使用 merge commits。如果项目策略不同，请手动调整工作流。

为什么它要检查评论？

它会检查评论回复，以降低合并未解决评审反馈的可能性。

它对不受信任的仓库安全吗？

请谨慎使用。项目验证命令可能会在本地机器上执行仓库定义的代码。

开发者详情

作者

Bae-ChangHyun

许可证

MIT

Skillstore 修订

版本提示

作者未声明版本。

仓库

https://github.com/Bae-ChangHyun/cc-plugins-bch/tree/main/plugins/gitwf/skills/github-pr-merge

引用

c4231f0153ccd2a2ed62274c5a372bf8f2386d3f

维护新鲜度

2026/7/18

使用量

6 次下载 · 234 次浏览

文件结构

📄 SKILL.md

Bae-ChangHyun 的更多技能

查看全部

📦

creating-skills

创建 Claude Code 技能

构建有用的 AI 技能需要清晰的触发条件、结构和防护规则。本指南通过示例和质量检查，帮助作者编写简洁的 Claude Code 技能。

文档查看

📦

ocr

将 PDF 和图像转换为 Markdown

手动对 PDF 和截图进行 OCR 速度慢且结果不一致。此技能指导 Claude、Codex 和 Claude Code 将文档文本提取为结构化 Markdown 文件。

效率查看

📦

git-commit

创建符合 Conventional Commits 规范的 Git 提交

手动编写 commit 文案在不同仓库中可能不一致。此技能会指导 Claude、Codex 和 Claude Code 查看 diff，并创建带 emoji 的 Conventional Commit 消息。

编码与开发查看

📦

github-pr-creation

创建 GitHub 拉取请求

准备拉取请求时可能会遗漏上下文、测试和标签。此技能会收集 git 历史记录、验证测试、起草 Conventional Commits 内容，并指导使用 GitHub CLI 创建拉取请求。

编码与开发查看

📦

github-pr-review

处理 GitHub PR 审查评论

审查反馈可能分散在不同文件、严重级别和线程中。此技能会整理评论、指导修复、验证更改，并发布清晰的回复。

编码与开发查看

查看全部

📦

git-workflow

使用团队标准管理 Git 工作流

由 Atman36

团队需要一致的提交、分支和审查习惯，才能让历史记录保持可读。此技能为 Claude、Codex 和 Claude Code 提供一份实用的 Git 工作流检查清单。

DevOps 与基础设施查看

📦

github-pr

更快审查 GitHub 拉取请求

由 Bind

代码审查协调通常需要反复执行 GitHub CLI 检查并发表评论。此技能记录了用于分诊、指南查找和行内反馈的 PR 审查辅助工具。

编码与开发查看

📦

changelog

维护 IdeaVim 变更日志

由 JetBrains

IdeaVim 变更日志更新可能会遗漏跨提交、PR、标签和发布说明的用户可见变更。此技能会指导 Claude、Codex 和 Claude Code 进行结构化的变更日志调研与条目编写。

文档查看

📦

git-advanced

掌握高级 Git 工作流

由 AutumnsGrove

复杂的 Git 历史可能很难修复，且容易丢失工作成果。此技能为 rebase、冲突、bisect、恢复和分支管理提供引导式工作流。

编码与开发查看

📦

organizing-with-labels

使用标签整理 GitHub Issues

由 C0ntr0lledCha0s

大型仓库在议题使用不一致的标签和不清晰的里程碑时会浪费时间。此技能有助于创建分类体系、执行批量更新，并通过 GitHub 工作流报告进度。

效率查看

📦

creating-issues

创建一致的 GitHub Issue

由 C0ntr0lledCha0s

当不同仓库中的 issue 标题、标签和项目元数据不一致时，团队会浪费时间。此 skill 可指导 Claude、Codex 和 Claude Code 创建一致的 GitHub issue。

编码与开发查看

github-pr-merge

使用我的智能体安装

Agent 可读资源

测试它

安全审计

已确认安全问题 (1)

风险因素

复制报告链接

Markdown 徽章

HTML 徽章

嵌入卡片

APA 引用

BibTeX 引用

CITATION.cff

Skillstore 评分

你能构建什么

完成已评审功能的合并

在合并前验证评审评论

准备由助手引导的合并

试试这些提示

最佳实践

避免

常见问题

开发者详情

Bae-ChangHyun 的更多技能

creating-skills

ocr

git-commit

github-pr-creation

github-pr-review

相关技能

git-workflow

github-pr

changelog

git-advanced

organizing-with-labels

creating-issues