用 OpenClaw 自动化 GitHub PR 代码审查

# 1. GitHub 集成（基础能力）
npx clawhub@latest install github

# 2. PR Reviewer（代码分析）
npx clawhub@latest install pr-reviewer

# 3. Conventional Commits（提交格式化）
npx clawhub@latest install conventional-commits

clawhub list

# 查看当前认证状态
gh auth status

# 如需登录
gh auth login

# 查看默认配置
clawhub inspect pr-reviewer

git checkout -b feature/test-ai-review

// Bug：异步调用缺少 await
function getUserData(userId) {
  const response = fetch(`/api/users/${userId}`);  // 缺少 await
  return response.json();  // TypeError: response.json is not a function
}

# 安全问题：用户输入直接拼接到 SQL 查询中
def get_user(user_id):
    query = f"SELECT * FROM users WHERE id = '{user_id}'"  # SQL 注入风险
    return db.execute(query)

// 安全问题：API 密钥直接暴露在源码中
const stripe = require('stripe')('sk_live_abc123secretkey');

# 性能问题：N+1 查询——每个订单都触发一次数据库查询
def get_orders_with_items(user_id):
    orders = Order.objects.filter(user_id=user_id)
    for order in orders:
        order.items = OrderItem.objects.filter(order_id=order.id)  # N+1!
    return orders

git add .
# OpenClaw 自动生成符合 Conventional Commits 规范的提交信息
# 例如 "feat(api): add getUserData function for user data retrieval"

# OpenClaw 自动创建 PR 并生成 AI 描述
# PR Reviewer 随后自动分析 diff

🔒 安全问题 (第 14 行, auth.py):
  用户输入直接拼接到 SQL 查询字符串中，
  存在 SQL 注入攻击风险。
  建议修复：使用参数化查询。

  - query = f"SELECT * FROM users WHERE id = '{user_id}'"
  + query = "SELECT * FROM users WHERE id = %s"
  + return db.execute(query, (user_id,))

⚡ 性能问题 (第 8 行, orders.py):
  检测到 N+1 查询——OrderItem.objects.filter() 在循环内
  对每个 order 调用一次。请使用 select_related() 或
  prefetch_related() 将其合并为一次查询。

  - orders = Order.objects.filter(user_id=user_id)
  + orders = Order.objects.filter(user_id=user_id).prefetch_related('items')

🐛 Bug (第 3 行, api.js):
  fetch() 返回 Promise 但未使用 await。
  response.json() 会失败，因为 response 是一个
  pending 的 Promise，而不是 Response 对象。

  - const response = fetch(`/api/users/${userId}`);
  + const response = await fetch(`/api/users/${userId}`);

// 性能问题：每次渲染都创建新的对象引用，导致子组件重渲染
function ParentComponent({ items }) {
  return (
    <ChildComponent
      style={{ margin: 10 }}        // 每次渲染都是新对象
      onClick={() => doSomething()}  // 每次渲染都是新函数
    />
  );
}

name: AI PR Review
on:
  pull_request:
    types: [opened, synchronize]

jobs:
  ai-review:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: write
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0

      - uses: actions/setup-node@v4
        with:
          node-version: '20'

      - name: Install OpenClaw and skills
        run: |
          npm install -g clawhub@latest
          clawhub install pr-reviewer

      - name: Run AI Review
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          OPENCLAW_API_KEY: ${{ secrets.OPENCLAW_API_KEY }}
        run: |
          clawhub run pr-reviewer \
            --pr ${{ github.event.pull_request.number }} \
            --repo ${{ github.repository }} \
            --auto-comment

on:
  pull_request:
    types: [opened, synchronize]
    paths-ignore:
      - '*.md'
      - 'docs/**'
      - '.github/**'

- name: Check for review label
  if: contains(github.event.pull_request.labels.*.name, 'ai-review')
  run: clawhub run pr-reviewer --pr ${{ github.event.pull_request.number }}

# macOS
brew install gh

# Linux
sudo apt install gh

# Windows
winget install GitHub.cli

gh auth status

gh auth login --scopes repo

clawhub inspect pr-reviewer