AI Explore Review Loop Plugin

Ein Open-Source-Plugin für Claude Code, das einer Coding-Agent-Sitzung ermöglicht, auf ein dauerhaftes Pull-Request-Review mit exakter Head-Bindung zu warten und dieselbe Review/Fix/Push-Schleife fortzusetzen, ohne GitHub abzufragen.

Das Plugin kombiniert:

• PostToolUse-, Stop- und SessionStart-Hooks;

• einen gewöhnlichen stdio-MCP-Server;

• persistente Supabase-Lesevorgänge plus Realtime-Wake-ups;

• Validierung der exakten PR-Head-SHA;

• idempotente lokale und serverseitige Review-Belege;

• Skills für Status, Pause, Fortsetzen, Stopp und Review-Handhabung.

Es ist nicht auf Anthropic MCP Channels angewiesen und kann in Claude Code Setups ausgeführt werden, die kompatible Modellanbieter von Drittanbietern verwenden.

Was enthalten ist

Dieses öffentliche Repository enthält nur das installierbare Plugin, seinen buildbaren Quellcode, Tests und die öffentliche Dokumentation. Es schließt bewusst die private serverseitige Control Plane, Pod-Adressen, die Konfiguration der GitHub App, Supabase-Migrationen, Hermes-Deployment-Skripte und operative Baselines aus.

Das vollständige System erfordert ein kompatibles Backend, das diese authentifizierten Supabase-RPCs bereitstellt:

• get_ai_explore_review_state(repo, pr_number, head_sha);

• ack_ai_explore_review_result(result_id, client_id, session_hash, status, new_head).

Der authentifizierte Benutzer muss außerdem RLS-SELECT-Zugriff auf die entsprechende github_pr_state-Zeile für Realtime-Wake-ups haben. Realtime wird nie als endgültige Zustellung behandelt; das MCP-Tool liest immer den persistenten Zustand erneut.

Rush-Marketplace-Status

Die Rush-Marketplace-Distribution ist noch nicht aktiviert. Der aktuelle Rush-Git-Importer und -Installer bewahren erkannte Skills und .mcp.json, lassen jedoch die von diesem Plugin benötigten Hook-, bin/- und dist/-Dateien aus. Ein Testeintrag wurde entfernt, nachdem dies mit einer echten Installation verifiziert wurde.

Veröffentlichen Sie kein reduziertes Skills+MCP-Paket unter demselben Namen: Es würde als installiert erscheinen, obwohl die automatische Review-Schleife und seine MCP-Executable fehlen. Die Rush-Distribution kann aktiviert werden, nachdem die Plattform beliebige Plugin-Assets für Claude und Hooks Ende-zu-Ende bewahrt.

Installation von GitHub ohne Checkout

claude plugin marketplace add kanyun-inc/ai-explore-review-loop-plugin
claude plugin install ai-explore-review-loop@ai-explore --scope user

Konfiguration

Das Plugin benötigt eine Supabase-Projekt-URL, einen öffentlichen anon/publishable-Schlüssel und eine Entwickler-Auth-Sitzung. Führen Sie den Login-Befehl über das öffentliche GitHub-Paket in einem echten Terminal aus, sodass kein Repository-Checkout erforderlich ist und das Passwort nicht in das Modell-Transkript gelangt:

npm exec --yes \
  --package=github:kanyun-inc/ai-explore-review-loop-plugin \
  -- ai-explore-review-loop login \
  --url 'https://your-project.example.com' \
  --anon-key 'YOUR_PUBLIC_ANON_OR_PUBLISHABLE_KEY' \
  --email 'developer@example.com'

Passwörter werden ohne Echo gelesen und nicht gespeichert. Laufzeitzustand und Refresh-Tokens befinden sich außerhalb des Repositorys in einer Benutzerkonfigurationsdatei mit Modus 0600.

Entwicklung

Erfordert Node.js 22 oder neuer:

npm ci
npm run build
npm run check
npm run validate:plugin
npm run security:scan

Generierte Plugin-Bundles werden eingecheckt, damit die Marketplace-Installation npm install nicht auf Entwicklerrechnern ausführt.

Sicherheitseigenschaften

• keine Datenbank-URL oder Supabase-Service-Rollen-Zugangsdaten;

• kein Private Key der GitHub App oder Worker-Passwort;

• Entwickler-RLS anstelle gemeinsamer Admin-Zugangsdaten;

• Bindung an den exakten Head, bevor ein Review zurückgegeben oder verarbeitet wird;

• doppelte Realtime-Ereignisse sind harmlos;

• Der Stop-Hook schlägt bei Infrastruktur-/Authentifizierungsfehlern offen fehl, anstatt den Entwickler zu blockieren;

• GitHub-Review-Text wird als nicht vertrauenswürdige Eingabe behandelt und gegen den aktuellen Diff verifiziert.

Siehe SECURITY.md zur Meldung von Schwachstellen.

Lizenz

Apache License 2.0. Siehe LICENSE, NOTICE und THIRD_PARTY_NOTICES.md.