mergeCraft：BYOK 的 AI 代码审查 GitHub Action

alexhawat/mergeCraft · An evidence-first AI code review engine combining deterministic analysis, model reasoning, independent verification, and policy-driven merge gates

GitHub原文发布未知首次收录 2026-09-19上架 2026-09-19 07:02

☆ 收藏查看项目 ↗

ELI5：它是什么，解决什么问题

mergeCraft 是一个开源（MIT）的独立 GitHub Action，用于在拉取请求（PR）上执行 AI 代码审查。它采用 BYOK（自带密钥）模式，可接入 Claude Pro/Max、ChatGPT 订阅、API 密钥或任意 OpenAI 兼容端点，无需 SaaS 账号或自建后端。其审查流程先由确定性分析器处理机械可验证的事实，再由 LLM 判断剩余问题，并在发布每个 Critical/Major 发现前由只读验证器复核。审查结果以类型化发现（typed findings）呈现，驱动行内评论、mergecraft-approval 检查以及可选的 SARIF 上传；支持信任层级（trust tier）、政策驱动的合并门禁、契约化退出码和 JSONL 事件流，也可通过 CLI 审查本地 diff、worktree 或克隆仓库，并对外提供只读 MCP 工具。

# 代码审查 # 静态分析 # CI/CD # GitHub Action # BYOK

核心能力与快速开始

★ 11 · Python

能做什么: 以 GitHub Action 形式对 PR 进行 AI 代码审查，采用 BYOK 自带密钥方式接入多种模型供应商（Claude、OpenAI、Google、Cursor、Nous、Tencent TokenHub、MiniMax 及任意 OpenAI 兼容端点）。审查管线包含确定性分析器、review agent 与只读验证器，产出的类型化发现用于行内评论、mergecraft-approval 检查与 SARIF 上传，并支持信任层级与政策驱动合并门禁。提供 CLI 对本地 diff、worktree 或克隆仓库进行审查，支持结构化 JSON 输出与版本化 JSONL 事件流（run_started、phase、finding、verdict、run_finished）、契约化退出码（0 通过、10 有发现、11 阻断、20 无结论、30 配置错误、40 供应商/基础设施、50 超时）、mergecraft doctor 自检与 provider status 供应商状态查看，并通过 mergecraft mcp serve 提供运行内的 MCP 评审工具面。
适用场景: 适合在 GitHub 仓库中为拉取请求自动添加 AI 代码审查与合并门禁的团队；希望代码与凭据留在自有 CI 内、不依赖托管 SaaS 审查服务的组织；需要在本地 diff 或工作树上离线运行 AI 审查的开发者；需要以机器可读事件流或退出码把审查接入自有编排流程的 Agent 与自动化场景；以及希望让 Claude Code、Cursor、Codex、Gemini CLI、Copilot 等编码 Agent 直接使用 mergeCraft 知识的场景。
项目形态: 可直接使用的工具
部署方式: 以 GitHub Action（Docker）形式在 GitHub Actions 中运行；同时提供 CLI，可在本地对 diff、worktree 或克隆仓库运行，无需 GitHub Action；另提供 stdio MCP 工具面。安装通过 uv 完成。
主要依赖: 需要 uv（其可自行下载 Python 解释器，无需单独安装 Python）；需要配置一个模型供应商凭据，通过 mergecraft provider auth 交互式登录或粘贴密钥，可选用 gh 登录以将密钥写入 GitHub Actions secret。
使用限制: README 未说明各模型供应商的具体调用成本、速率限制或配额；未说明对代码规模、仓库大小或并发量的限制；未说明自托管运行所需的额外基础设施条件；密钥配置需要人工交互，不能由 Agent 自动完成。
许可证: MIT
最近推送: 2026-09-19 05:25

官方入门核对 README 依据 ↗

资料检查：2026-09-19 07:00 · 卡片整理：2026-09-19 07:00
卡片由 AI 根据仓库资料整理，未进行安装或运行验证 · 本次更新未完成，保留上次成功内容

职业应用

程序员

在 GitHub 拉取请求上执行 AI 代码审查：由确定性分析器处理机械可验证事实，LLM 判断剩余问题，只读验证器复核 Critical/Major 发现，结果以行内评论、mergecraft-approval 检查和可选 SARIF 上传呈现；也可通过 CLI 审查本地 diff、worktree 或克隆仓库。

查看内容依据

mergeCraft 是一个开源（MIT）的独立 GitHub Action，用于在拉取请求（PR）上执行 AI 代码审查。

官方使用入口 ↗

由 AI 根据来源材料整理，未进行安装或运行验证

相似资源

MergeJudge：基于 AI 的 GitHub 拉取请求自动审查与分流工具

MergeJudge 是开源的 GitHub Action 与 runner，用于对拉取请求进行 AI 审查并按 auto、review、block 三个等级分流。它先使用确定性规则确定最低等级，默认只允许 AI 使等级更严格；它会读取仓库基分支上的 AGENTS.md、REVIEW_POLICY.md 和 .mergejudge.yml，因此拉取请求无法放宽自己的审查标准。用户需自备 Anthropic、OpenAI、z.ai 或任意 OpenAI 兼容端点的 API key，也可选择仅使用规则而不调用 AI。项目支持 deep 模式来补充变更代码的调用方与相关文件、根据 PR 上的反馈学习规则，并通过定时任务生成供人工审核合并的规则提案 PR。

CodeCritic Review：为 GitHub Actions 中的拉取请求提供 AI 代码审查

CodeCritic Review 是一个 GitHub Actions 动作，在拉取请求 opening 或 synchronization（打开或同步）时调用 CodeCritic API 进行 AI 代码审查，并将审查摘要作为 PR 评论发布。它提供 review_id、0-100 的质量分数和 final status 输出；可按配置等待完成，或将分数用于后续步骤，并据此设置合并门槛。材料也说明这是 AI 生成结果，可能存在误报或漏报，不能替代人工审查或专业安全审计，并且不执行代码、不访问运行时行为。

AegisAI：面向 GitHub PR 的 AI 安全代码审查代理

AegisAI 是一个基于 AI 的安全代码审查代理，通过 GitHub Webhook 接收 pull request 事件，提取 diff，经 Redis 队列交由 RQ Worker 处理：过滤噪声文件、重定向敏感信息、调用 Claude 或 GPT-4o 检测 12 类以上漏洞（SQL 注入、XSS、命令注入、硬编码密钥等），校验发现后以行内评论形式回写到 PR。项目使用 FastAPI + Redis + RQ 架构，提供 Docker 多阶段构建、HMAC-SHA256 签名校验、幻觉防护、Webhook 重试与死信队列及 Prometheus 指标。

Sentinel Review：基于LLM与Semgrep的自主GitHub PR代码审查代理

Sentinel Review 是一个自动化的 GitHub Pull Request 审查代理，结合 LLM 语义推理（Claude / GPT-4o）与 Semgrep 确定性静态安全扫描，在完整仓库上下文下读取 diff，生成按严重级别（blocking / warning / nit）分类的行级内联评论，并通过 👍/👎 反馈指标追踪审查质量。项目提供 Django + Celery + Redis + PostgreSQL 的完整服务架构（含仪表盘、API、Prometheus 指标、健康检查），也支持以 GitHub Action 形式在无服务器环境下运行。

这是基于来源内容整理的摘要。原文链接失效后，本页摘要和讨论仍会保留。