企业官网建设流程全解析

1. 这不是又一个“AI插件”，而是 GitHub 原生工作流的重新定义

你有没有过这样的时刻：在 GitHub PR 页面里，盯着一行可疑的空指针检查逻辑，心里清楚它漏掉了边界条件，但手停在键盘上——改？得切回本地 IDE，拉分支、写测试、提交、推送、再等 CI 跑完；不改？又怕这行代码哪天在生产环境悄悄崩掉。更别提那些重复性极高的操作：给新 PR 补充标准模板、自动校验 commit message 格式、把 issue 中的复现步骤转成可执行的测试用例……这些事，人做一次是流程，做十次是负担，做一百次，就是流程设计的失败。

“claude-code-action”这个标题，表面看是个工具名，实则指向一个被长期忽视的断层：大模型能力与 GitHub 原生协作场景之间，缺少一道真正“长在平台里”的桥。它不是让你在 VS Code 里调用 Claude 的另一个插件，也不是把 Claude API 封装成 CLI 工具再手动跑一遍——它是让 Claude 的推理能力，像actions/checkout或actions/setup-node那样，成为 GitHub Actions 工作流中一个可声明、可组合、可审计、可复用的原生构件。关键词里反复出现的pr、issues、github，不是偶然；它们共同锚定了一个极其具体、极其高频、却长期被“人工+脚本”粗糙处理的战场：PR Review 和 Issue Triaging。

我第一次在内部灰度环境部署claude-code-action时，没敢直接让它改代码。我只让它做一件事：在 PR 提交后，自动扫描 diff 中所有新增的if分支，检查是否包含对应的else或elif，并生成一条评论：“检测到新增条件分支if (user?.profile)，未发现显式else处理路径。建议补充空值兜底逻辑，避免后续调用user.profile.name时抛出TypeError。”——这条评论不是模板填充，它读了上下文（前后几行代码）、理解了变量语义（user?.profile是可选链）、推断了潜在风险（name属性访问）、并给出了符合团队编码规范的具体建议。整个过程耗时 8.3 秒，评论精准出现在 PR 的Files changed标签页下，和人工 Review 并列。那一刻我才意识到，我们不是在加一个 AI 功能，而是在给 GitHub 的协作协议，注入一种新的“理解力”。

这背后的技术锚点非常清晰：它必须深度绑定 GitHub 的事件驱动模型（pull_request,issues,issue_comment），必须能解析 GitHub 的原始 diff 格式（而非简单读取文件内容），必须能安全地访问仓库的完整上下文（包括.gitignore排除的配置文件、package.json中的依赖版本），并且所有输出必须严格遵循 GitHub 的评论 API 规范（支持@mention、支持code block语法高亮、支持suggestion块以一键采纳修改）。任何偏离这个锚点的设计，比如“先下载代码到本地再分析”，都会让延迟飙升、上下文丢失、权限失控——这正是绝大多数所谓“GitHub AI 工具”最终沦为摆设的根本原因。

2. 为什么不能用现有方案？一场关于“上下文主权”的硬仗

市面上并非没有类似尝试。VS Code 的 Claude 插件、各种基于 Claude API 的 CLI 工具、甚至一些开源的 GitHub Bot，都声称能“辅助代码审查”。但当我把它们逐一接入真实项目流水线时，几乎全部在第二轮 PR 测试中就暴露出致命缺陷。问题不在于模型能力，而在于上下文主权的归属权被粗暴转移。

2.1 VS Code 插件：本地孤岛，无法协同

VS Code 插件最大的幻觉，是以为开发者在编辑器里看到的，就是 PR 的全部真相。现实是残酷的：

• Diff 上下文缺失：插件看到的是当前打开的文件全量内容，但它完全不知道这个文件在本次 PR 中，是被新增、修改、还是删除？修改前后的关键差异在哪？它无法区分if (x > 0) { ... }是修复旧 bug，还是引入新逻辑。
• 跨文件关联断裂：一个 PR 修改了auth.service.ts，同时修改了user.controller.ts中的调用方。VS Code 插件若只打开auth.service.ts，它根本看不到user.controller.ts的变更，也就无法判断这次修改是否破坏了调用契约。
• 权限与审计真空：插件运行在开发者个人电脑上，它的所有请求、所有分析结果、所有生成的建议，都不进入 GitHub 的审计日志。当某条 AI 建议导致线上故障，你无法追溯：是哪个开发者、在什么时间、基于什么上下文、触发了哪条建议？

提示：VS Code 插件适合单点探索，但绝不能作为团队级 PR 审查的正式环节。它解决的是“我怎么写得更好”，而非“这个 PR 是否安全合入”。

2.2 CLI 工具：流程割裂，信任成本高

另一类常见方案是写个脚本，git clone仓库，cd进去，然后调用claude-cli analyze --file src/utils/date.ts。这种模式的问题在于流程的物理割裂：

• 环境漂移：CI 环境的 Node.js 版本、TypeScript 编译选项、.eslintrc配置，与你本地 CLI 运行的环境很可能不同。CLI 在本地分析出的“类型错误”，在 CI 里可能根本不存在；反之亦然。
• 状态不可靠：git clone下来的代码，是 PR 对应的base分支快照，还是head分支快照？如果 PR 有多个 commit，git clone默认只拿到最新 commit，丢失了增量演进的线索。而真正的 Review，往往需要理解“为什么这里要加这个空检查”，这需要看 commit message 和历史 diff。
• 集成成本爆炸：要把 CLI 输出的结果，以结构化方式（如 JSON）喂给 GitHub API 发评论，你需要自己处理 token 权限、HTTP 重试、速率限制、错误分类（是网络超时？是 Claude API 拒绝？还是 GitHub API 返回 403？）。这些胶水代码，比核心分析逻辑还复杂。

注意：CLI 工具的“灵活性”是假象。它把本该由平台统一解决的基础设施问题（环境一致性、事件驱动、权限管理），强行丢给每个使用者去重复造轮子。

2.3 通用 Bot：意图模糊，反馈失焦

一些开源 Bot（如基于 Probot 的实现）试图用规则引擎 + LLM 混合的方式工作。它们监听pull_request事件，然后调用 LLM API。但它们普遍犯了一个根本性错误：把 LLM 当作万能黑盒，而非一个需要被精确引导的协作者。

• Prompt 泛化失效：一个通用 Prompt “请审查这段代码” 在面对 React 组件、Python 数据处理脚本、Shell 部署脚本时，效果天差地别。没有针对语言特性的 tokenizer、没有针对框架的 AST 解析、没有针对团队规范的 fine-tuning，LLM 只能基于表面文本做概率推测，错误率极高。
• 反馈形式错配：Bot 生成的评论常常是大段文字描述，而不是 GitHub 原生支持的suggestion块。这意味着 Reviewer 必须手动复制粘贴修改，失去了“一键采纳”的效率优势，也切断了修改与原始 diff 的关联。
• 资源滥用风险：Bot 不加区分地对每一个 PR 的每一个文件发起分析请求，导致 Claude API 调用量激增，账单飙升，而实际有价值的分析可能只集中在 3 个核心文件上。

claude-code-action的破局点，恰恰在于它拒绝做“通用解决方案”。它从第一天起就明确：我的输入，必须是 GitHub 原生的pull_requestevent payload；我的输出，必须是 GitHub 原生的create commentAPI 调用；我的上下文，必须是 GitHub 提供的GITHUB_TOKEN所能访问的、经过严格权限控制的、实时的、完整的 PR diff 和文件树。它不试图替代人类，而是成为人类 Review 流程中，那个永远在线、永不疲倦、且严格遵循团队规范的“第一道哨兵”。

3. 核心架构拆解：如何让 Claude 在 GitHub 的“沙盒”里精准发力

claude-code-action的技术实现，并非魔法，而是一系列精密的工程选择。它的价值，不在于用了多大的模型，而在于如何用最小的、最可控的接口，撬动最大的协作效率。整个架构可以清晰地划分为三个层次：事件感知层、上下文编织层、指令编排层。每一层的设计，都直指前述痛点。

3.1 事件感知层：只响应真正需要的信号

Action 的入口，是 GitHub Actions 的on:配置。一个典型的claude-code-actionworkflow 文件开头是这样的：

name: Claude Code Review on: pull_request: types: [opened, synchronize, reopened] paths-ignore: - '**.md' - '**.txt' - 'docs/**' - 'scripts/deploy.sh'

这个配置本身，就是一次重要的意图声明。types: [opened, synchronize, reopened]确保 Action 只在 PR 状态发生实质性变化时触发，避免对review_requested这类纯社交事件浪费资源。paths-ignore则体现了对“上下文主权”的尊重——它明确告诉 Action：“这些文件的变更，不在你的分析职责范围内”。这不仅是性能优化（跳过 90% 的 markdown 文件），更是责任边界的划定。当一个 PR 同时修改了src/api/client.ts和README.md，claude-code-action只会聚焦于前者，因为后者不属于“代码逻辑”范畴。

更关键的是paths:的反向应用。许多团队会配置：

paths: - 'src/**' - 'lib/**' - 'packages/**'

这确保了 Action 的触发，与团队的代码目录结构强绑定。它不会因为某个 PR 意外地修改了node_modules/.bin/eslint（虽然不应该发生）而启动分析，从而杜绝了因路径误配导致的误报或资源浪费。这种“白名单”思维，是构建可靠自动化流程的基石。

3.2 上下文编织层：从 raw diff 到可推理的语义图谱

这是claude-code-action最具匠心的部分。它不直接把 GitHub 的 raw diff 字符串喂给 Claude，而是进行了一次深度的、面向代码理解的“上下文编织”。

第一步是Diff 解析与归一化。GitHub 的 diff 格式（Unified Diff）包含大量元信息：@@ -123,5 +123,7 @@表示行号偏移，+和-表示增删。Action 内置的解析器会：

• 提取所有被修改的文件路径；
• 对每个文件，识别出所有被修改的“hunk”（代码块）；
• 计算每个 hunk 的“上下文行数”（context lines），默认为 3 行，即修改前后的各 3 行代码；
• 将每个 hunk 转换为一个结构化的 JSON 对象，包含filename,old_start,new_start,old_lines,new_lines,context_before,context_after。

第二步是跨文件依赖推断。仅靠 diff 是不够的。Action 会利用 GitHub 的 REST API，在同一 workflow run 中，异步获取：

• GET /repos/{owner}/{repo}/contents/{path}?ref={sha}：获取被修改文件的完整内容（用于 AST 解析）；
• GET /repos/{owner}/{repo}/commits/{commit_sha}：获取 commit message，提取feat:,fix:等前缀，作为意图提示；
• GET /repos/{owner}/{repo}/contents/package.json?ref={base_sha}：获取 base 分支的package.json，确认依赖版本，避免因npm install差异导致的误判。

第三步是语义增强与裁剪。这才是真正的“编织”。Action 会将上述所有信息，按严格优先级注入 Prompt：

1. 最高优先级：当前 hunk 的完整上下文（context_before+old_lines+new_lines+context_after）；
2. 高优先级：当前文件的完整 AST 结构（通过tree-sitter解析，提取函数签名、参数类型、返回值、调用关系）；
3. 中优先级：commit message 的意图摘要（如 “fix: prevent null dereference in user profile loading”）；
4. 低优先级：相关依赖的版本信息（如axios: ^1.4.0，用于判断是否支持AbortController）。

这个过程，把原始的、扁平的、面向机器的 diff，转化成了一个富含语义、层级分明、意图明确的“代码理解图谱”。Claude 接收到的，不再是冰冷的+ if (user && user.profile) {，而是：“这是一个 TypeScript 文件src/services/user.service.ts的第 45 行。它位于loadUserProfile()函数内。该函数返回Promise<UserProfile>。user参数来自getUserById()的调用结果，其类型定义为User | null。本次修改的意图是修复空指针异常（见 commit message）。请检查此修改是否完备，并给出符合团队 TypeScript 编码规范的建议。”

3.3 指令编排层：用结构化输出驱动 GitHub 原生交互

最后一步，是确保 Claude 的“思考结果”，能以最高效、最合规的方式，回到 GitHub 的协作流中。claude-code-action强制要求 Claude 的输出格式为严格的 JSON Schema：

{ "analysis": [ { "file": "src/services/user.service.ts", "line": 45, "severity": "warning", "message": "检测到空值检查不完整。", "suggestion": "if (user?.profile) { ... } else { throw new Error('User profile is missing'); }", "explanation": "当前仅检查 user.profile 是否存在，但未处理 user 本身为 null 的情况。建议使用可选链并补充 else 分支。" } ] }

这个 Schema 的设计，是工程严谨性的体现：

• file和line字段，确保评论能精准锚定到 diff 的特定位置；
• severity字段（error/warning/info），决定了 GitHub UI 中的图标颜色和排序；
• suggestion字段，是 GitHubsuggestion块的直接来源，Reviewer 点击即可一键采纳；
• explanation字段，是评论正文的核心，它必须简洁、专业、无歧义。

Action 的后端逻辑，会严格验证这个 JSON 的合法性。如果 Claude 返回了格式错误的 JSON，或者suggestion字段为空，Action 会直接失败（fail-fast），并记录详细的 error log。这杜绝了“AI 乱说一气，人类还得花时间去解读”的尴尬局面。每一次成功的评论，都是一个可验证、可审计、可追溯的协作原子操作。

4. 实战配置指南：从零开始部署你的第一个 Claude Code Review

理论讲完，现在进入最硬核的部分：动手。下面是一个经过生产环境验证的、开箱即用的claude-code-action配置流程。它假设你已有一个 GitHub 仓库，并希望为所有 PR 自动启用基础代码审查。整个过程，我保证你不需要写一行自定义代码，只需复制、粘贴、修改三处关键参数。

4.1 前置准备：获取并配置 Claude API Key

claude-code-action本身不托管模型，它需要你提供一个有效的 Anthropic API Key。这不是一个可选步骤，而是安全模型的基石。

1. 访问 Anthropic 控制台：前往https://console.anthropic.com（注意：这是官方域名，非镜像或第三方站点）。
2. 创建新 API Key：在左侧导航栏，点击API Keys->Create Key。为 Key 命名，例如github-pr-review-prod。
3. 设置 Key 权限：在创建过程中，务必勾选Read和Write权限。claude-code-action需要调用messages.create接口，这属于Write权限范畴。
4. 保存 Key：创建完成后，页面会显示一次完整的 Key（以sk-ant-api03-开头）。立即复制并安全存储。页面关闭后，你将无法再次查看完整 Key，只能看到后缀。

提示：绝对不要将 API Key 硬编码在 workflow 文件中！这是严重安全风险。必须使用 GitHub Secrets。

5. 添加 Secret 到仓库：进入你的 GitHub 仓库 ->Settings->Secrets and variables->Actions->New repository secret。
   • Name:ANTHROPIC_API_KEY
   • Value: 粘贴你刚刚复制的完整 Key
   • 点击Add secret。

4.2 创建 Workflow 文件：定义自动化流水线

在你的仓库根目录下，创建一个新文件：.github/workflows/claude-code-review.yml。内容如下：

name: Claude Code Review on: pull_request: types: [opened, synchronize, reopened] # 可选：指定需要分析的文件路径，提高效率 # paths: # - 'src/**' # - 'lib/**' jobs: review: runs-on: ubuntu-latest steps: # 1. 检出代码（必须，提供基础环境） - uses: actions/checkout@v4 with: fetch-depth: 0 # 获取完整 commit history，用于分析 commit message # 2. 运行 claude-code-action（核心） - name: Run Claude Code Review uses: anthropic/claude-code-action@v1.2.0 with: # 必填：API Key，从 Secrets 中读取 api-key: ${{ secrets.ANTHROPIC_API_KEY }} # 必填：Claude 模型名称，推荐使用最新稳定版 model: claude-3-haiku-20240307 # 可选：设置分析超时时间（秒），默认 60 timeout: 90 # 可选：设置最大 token 数，控制输出长度，默认 4096 max-tokens: 2048 # 可选：自定义 Prompt 模板（高级用法，见下文） # prompt-template: | # You are a senior TypeScript developer reviewing code for a fintech application. # Focus on security, type safety, and performance. Ignore style guide comments. # 3. （可选）发送 Slack 通知 # - name: Notify on Slack # if: always() # uses: slackapi/slack-github-action@v1.23.0 # with: # channel-id: 'C012AB3CD' # 替换为你的 Slack channel ID # payload: | # { # "text": "Claude Code Review completed for PR #${{ github.event.number }}", # "blocks": [ # { # "type": "section", # "text": { # "type": "mrkdwn", # "text": "Review finished. <https://github.com/${{ github.repository }}/pull/${{ github.event.number }}|View PR>" # } # } # ] # } # env: # SLACK_BOT_TOKEN: ${{ secrets.SLACK_BOT_TOKEN }}

关键参数详解：

• uses: anthropic/claude-code-action@v1.2.0：指定了 Action 的官方发布版本。v1.2.0是当前稳定版，包含了对claude-3-haiku的完整支持和多项稳定性修复。强烈建议使用带版本号的引用，而非@main，以避免意外升级导致行为变更。
• model: claude-3-haiku-20240307：Haiku 模型是 Anthropic 的轻量级旗舰，专为低延迟、高吞吐场景设计。对于 PR Review 这种需要快速响应的场景，Haiku 的性价比远超 Sonnet 或 Opus。它的平均响应时间在 3-5 秒，完美匹配 GitHub 的 UX 期望。
• timeout: 90：将超时从默认的 60 秒提升到 90 秒。这是因为复杂的 PR（如涉及 10+ 文件、大量 diff）可能需要更多时间进行上下文编织和模型推理。90 秒是一个经过大量实测的平衡点，既能覆盖绝大多数场景，又不会让 PR 等待过久。

4.3 高级定制：用 Prompt Template 塑造你的“AI Reviewer”

claude-code-action的强大之处，在于它允许你用prompt-template参数，为 Claude 注入团队专属的“人格”。这不是简单的字符串替换，而是一次深度的领域知识注入。

假设你的团队开发一个医疗健康 App，对数据隐私和法规合规性要求极高。你可以在 workflow 中添加：

prompt-template: | You are a senior healthcare software engineer reviewing code for HIPAA compliance. Your primary focus is on: 1. Identifying any direct or indirect access to Protected Health Information (PHI) without proper encryption or anonymization. 2. Checking for insecure data transmission (e.g., HTTP instead of HTTPS, unencrypted logs). 3. Verifying that all third-party libraries used are vetted and approved by the security team. 4. Ensuring all user consent flows are correctly implemented and logged. Output format must be strict JSON as defined. Do not output any plain text outside the JSON.

这个 Prompt 的威力在于：

• 角色定义：You are a senior healthcare software engineer...直接设定了 Claude 的专业身份和知识背景，比泛泛的“请审查代码”有效百倍。
• 焦点排序：明确列出 4 个审查重点，并赋予其优先级（primary focus）。Claude 会据此调整其内部 attention 机制，将更多计算资源分配给 PHI 检查。
• 术语约束：使用HIPAA,PHI,anonymization等专业术语，激活 Claude 在该领域的知识图谱，使其能识别patient.ssn这样的高危字段，而不仅仅是ssn这个通用词。
• 输出强制：最后一句Output format must be strict JSON...是防止 Claude “自由发挥”的保险栓。它确保了无论 Prompt 多么复杂，最终输出始终是可被 Action 解析的结构化数据。

我曾在一个金融项目中使用类似的 Prompt，成功让 Claude 在 3 个 PR 中，主动识别出console.log(transaction.amount)这样的敏感日志泄露风险，并建议替换为logger.debug('Transaction processed', { maskedAmount: maskAmount(transaction.amount) })。这种深度的、领域化的洞察，是通用 LLM 无法企及的。

4.4 首次运行与调试：观察、验证、迭代

当你首次提交这个 workflow 文件后，GitHub Actions 会自动触发一次workflow_dispatch测试。但真正的考验，是等待第一个真实的 PR。

• 观察日志：进入Actions标签页，找到刚触发的Claude Code Reviewjob。点击它，展开Run Claude Code Review步骤的日志。你会看到清晰的阶段标记：

  • [INFO] Parsing diff for 3 files...
  • [INFO] Fetching context for src/api/payment.ts...
  • [INFO] Sending request to Claude API (model: claude-3-haiku)...
  • [SUCCESS] Received 2 suggestions from Claude.

• 验证评论：切换到 PR 页面，刷新。你应该能看到一条由claude-code-action[bot]发出的评论，其中包含结构化的suggestion块。点击Add suggestion，确认它能正确地将修改应用到你的代码上。

• 调试常见问题：

  • No comments appear?检查GITHUB_TOKEN权限。在Settings->Actions->General中，确保Workflow permissions设置为Read and write permissions。这是 Action 能够发表评论的必要条件。
  • Comments are generic or off-topic?检查prompt-template是否过于宽泛，或paths配置是否遗漏了关键源码目录。尝试在测试 PR 中，只修改一个非常小的、特征明显的文件（如一个if语句），观察输出是否精准。
  • Action fails with "API key invalid"?回到Secrets页面，确认ANTHROPIC_API_KEY的值没有被意外截断或包含空格。你可以临时在 workflow 中添加一个echo "Key length: $(echo ${{ secrets.ANTHROPIC_API_KEY }} | wc -c)"步骤来验证。

记住，一次完美的配置，往往需要 2-3 次迭代。不要期望第一次就达到 100% 满意。把每次调试，都当作一次对团队代码规范和审查重点的再梳理。

5. 效果评估与持续优化：从“能用”到“好用”的进化路径

部署完成只是起点。claude-code-action的真正价值，在于它能成为一个持续进化的、数据驱动的协作伙伴。我们需要一套方法论，来量化它的效果，并基于数据进行迭代优化。

5.1 定义核心指标：衡量“AI Reviewer”的生产力

不能只看“它发了多少条评论”。我们需要一组相互印证的、业务导向的指标：

这些指标，不能靠人工统计。claude-code-action的官方文档中，提供了配套的metrics-exporterAction，它可以自动将每次运行的详细日志（包括suggestion数量、timeout是否触发、model响应时间）推送到你的 Prometheus 或 Datadog。我建议至少配置Review Coverage Rate和Suggestion Adoption Rate，它们是优化工作的黄金罗盘。

5.2 建立反馈闭环：让每一次 PR 成为训练数据

claude-code-action本身不学习，但你可以构建一个简单的反馈闭环，让它“越用越懂你”。

1. 在 PR 模板中加入反馈钩子：修改你的.github/PULL_REQUEST_TEMPLATE.md，在末尾添加：

   ## AI Review Feedback - [ ] I found Claude's suggestions helpful and adopted them. (✅) - [ ] I found Claude's suggestions inaccurate or irrelevant. Please explain: _______________ - [ ] I have no feedback on Claude's review.

2. 创建一个专用 Issue Label：在仓库的Issues设置中，创建一个名为claude-feedback的 label。

3. 自动化 Issue 创建：编写一个简单的 GitHub Action，监听pull_request的closed事件。当 PR 关闭时，它会扫描 PR 的 description，如果用户勾选了第二项（“不准确”），则自动创建一个新 Issue，标题为Claude Feedback: #{PR_NUMBER}，内容包含 PR 的链接、用户填写的解释、以及该 PR 中 Claude 的所有原始评论。

这个闭环的价值在于：它把分散的、主观的、难以追踪的“我觉得不对”反馈，变成了结构化的、可搜索的、可分析的数据集。你可以每周花 15 分钟，浏览claude-feedbackIssues，从中提炼出共性问题：

• 是某个特定的代码模式（如 RxJS 的switchMap嵌套）总是被误判？
• 是某个团队特有的工具库（如@myorg/data-layer）的 API 调用，Claude 总是无法理解其副作用？
• 是prompt-template中对“性能”的定义，与团队实际的性能瓶颈（如 React 渲染卡顿）不一致？

这些问题，就是你下一次优化prompt-template或paths配置的精准靶心。

5.3 进阶场景拓展：超越基础 Review 的协作新范式

当基础 Review 稳定运行后，claude-code-action的潜力才真正开始释放。以下是几个已在多个团队落地的进阶场景：

场景一：Issue 自动 triage 与任务拆解

将on:事件从pull_request改为issues，并配置types: [opened]。当一个新 Issue 被创建时，Action 可以：

• 解析 Issue 的 title 和 description，识别其类型（bug,feature,question）；
• 如果是bug，自动提取复现步骤，并生成一个最小化的、可运行的测试用例代码块；
• 如果是feature，根据描述，自动生成一个初步的Acceptance Criteria列表，并建议相关的代码模块（src/components/Chart）；
• 将所有这些结构化信息，以suggestion块的形式，评论在 Issue 下，供 Assignee 直接采纳。

这极大地加速了 Issue 的分派和启动速度。一个原本需要 2 天才能明确需求的featureIssue，现在能在 5 分钟内，就产出一份可供开发直接参考的AC文档。

场景二：PR Description 自动补全

很多团队要求 PR Description 必须包含What,Why,How三部分。但开发者常常忘记。可以在pull_request的synchronize事件中，添加一个前置步骤：

- name: Auto-generate PR Description uses: anthropic/claude-code-action@v1.2.0 with: api-key: ${{ secrets.ANTHROPIC_API_KEY }} model: claude-3-haiku-20240307 # 专门为此场景设计的 Prompt prompt-template: | You are a technical writer. Generate a concise, professional PR description in Markdown. Use the following structure: ## What A one-sentence summary of the change. ## Why The business or technical reason for this change. ## How A brief explanation of the implementation approach. Do not include any code blocks or file paths. Input: Commit messages for this PR: ${{ github.event.commits }}

这个步骤会在 PR 创建后，自动填充一个高质量的 Description 模板，开发者只需在此基础上微调，就能满足团队规范。它解决了“流程要求”与“开发者体验”之间的永恒矛盾。

场景三：Security Hotspot 扫描

结合paths和prompt-template，可以创建一个专门的安全扫描 Action：

- name: Security Scan if: github.event.pull_request.head.repo.full_name == github.repository uses: anthropic/claude-code-action@v1.2.0 with: api-key: ${{ secrets.ANTHROPIC_API_KEY }} model: claude-3-haiku-20240307 # 只扫描高风险路径 paths: - 'src/api/**' - 'src/auth/**' - 'Dockerfile' - 'nginx.conf' prompt-template: | You are a security researcher. Identify critical security vulnerabilities: - Hardcoded secrets (API keys, passwords) in source code. - Insecure deserialization patterns. - SQL injection vectors in query building. - Missing input validation for external data sources. Output only JSON with severity 'critical' or 'high'.

这个 Action 会作为一个独立的 job 运行，它的评论会被标记为critical，在 GitHub UI 中以红色高亮，强制 Reviewer 优先处理。它不是替代 SAST 工具，而是作为一道快速、语义化的“人工智能哨兵”，在 SAST 报告出来之前，就揪出最显眼的“红线”。

6. 我的实战心得：那些文档里不会写的“血泪教训”

作为最早一批在生产环境大规模部署claude-code-action的团队之一，我踩过的坑、总结的经验，远比官方文档丰富得多。这些不是理论，而是用真金白银和无数个加班夜换来的。

6.1 关于模型选择：Haiku 不是“缩水版”，而是“精准版”

最初，我们为了追求“最强能力”，在所有 workflow 中都配置了model: claude-3-opus-20240229。结果是灾难性的：平均响应时间飙升到 25 秒，PR 等待区里积压了十几条，工程师们开始抱怨“AI Review 比人 Review 还慢”。我们紧急回滚，并进行了为期一周的 AB 测试。

结论令人惊讶：在 PR Review 这个特定任务上，claude-3-haiku的综合表现（准确率 + 速度 + 成本）全面碾压 Opus。原因在于：

• 任务粒度匹配：PR Review 是一个高度结构化、目标明确的任务（找 bug、提建议、给 snippet）。Haiku 的“短程推理”能力，恰好完美匹配这种“小而精”的需求。Opus 的“