AI Explore Review Loop Plugin

Un plugin de Claude Code de código abierto que permite que una sesión de agente de codificación espere una revisión de pull request duradera y de head exacto, y continúe el mismo bucle de revisión/corrección/push sin sondeo de GitHub.

El plugin combina:

• Hooks de PostToolUse, Stop y SessionStart;

• un servidor MCP stdio estándar;

• lecturas duraderas de Supabase más avisos de Realtime;

• validación exacta de head-SHA del PR;

• recibos de revisión idempotentes locales y del lado del servidor;

• skills para estado, pausa, reanudación, detención y manejo de revisiones.

No requiere Anthropic MCP Channels y puede ejecutarse en configuraciones de Claude Code que usen proveedores de modelos de terceros compatibles.

Qué se incluye

Este repositorio público contiene únicamente el plugin instalable, su código fuente compilable, las pruebas y la documentación pública. Excluye intencionadamente el plano de control privado del lado del servidor, las direcciones de Pod, la configuración de GitHub App, las migraciones de Supabase, los scripts de despliegue de Hermes y las líneas base operativas.

El sistema completo requiere un backend compatible que exponga estas RPC autenticadas de Supabase:

• get_ai_explore_review_state(repo, pr_number, head_sha);

• ack_ai_explore_review_result(result_id, client_id, session_hash, status, new_head).

El usuario autenticado también debe tener acceso RLS SELECT a la fila github_pr_state correspondiente para los avisos de Realtime. Realtime nunca se trata como entrega final; la herramienta MCP siempre vuelve a leer el estado duradero.

Estado del marketplace de Rush

La distribución en el marketplace de Rush aún no está habilitada. El importador e instalador de Git de Rush actuales conservan las Skills reconocidas y .mcp.json, pero omiten los archivos de Hook, bin/ y dist/ que requiere este plugin. Se eliminó una entrada de prueba tras verificar esto con una instalación real.

No publiques un paquete reducido de Skills+MCP bajo el mismo nombre: parecería instalado pero carecería del bucle de revisión automática y de su ejecutable MCP. La distribución de Rush puede habilitarse cuando la plataforma pueda preservar activos de plugins de Claude y Hooks de extremo a extremo.

Instalación desde GitHub sin copia del repositorio

claude plugin marketplace add kanyun-inc/ai-explore-review-loop-plugin
claude plugin install ai-explore-review-loop@ai-explore --scope user

Configuración

El plugin necesita la URL del proyecto de Supabase, una clave pública anon/publishable y una sesión de Auth de desarrollador. Ejecuta el comando de inicio de sesión a través del paquete público de GitHub en una terminal real, para que no se necesite ninguna copia del repositorio y la contraseña no entre en la transcripción del modelo:

npm exec --yes \
  --package=github:kanyun-inc/ai-explore-review-loop-plugin \
  -- ai-explore-review-loop login \
  --url 'https://your-project.example.com' \
  --anon-key 'YOUR_PUBLIC_ANON_OR_PUBLISHABLE_KEY' \
  --email 'developer@example.com'

Las contraseñas se leen sin eco y no se almacenan. El estado en tiempo de ejecución y los tokens de actualización viven fuera del repositorio en un archivo de configuración de usuario con modo 0600.

Desarrollo

Requiere Node.js 22 o superior:

npm ci
npm run build
npm run check
npm run validate:plugin
npm run security:scan

Los paquetes de plugins generados se confirman para que la instalación del marketplace no ejecute npm install en las máquinas de los desarrolladores.

Propiedades de seguridad

• sin URL de base de datos ni credencial de rol de servicio de Supabase;

• sin clave privada de GitHub App ni contraseña de trabajador;

• RLS de desarrollador en lugar de credenciales de administrador compartidas;

• vinculación de head exacto antes de devolver o manejar una revisión;

• los eventos duplicados de Realtime son inofensivos;

• el Hook de Stop falla abierto ante errores de infraestructura/autenticación en lugar de atrapar al desarrollador;

• el texto de revisión de GitHub se trata como entrada no confiable y se verifica contra el diff actual.

Consulta SECURITY.md para informar vulnerabilidades.

Licencia

Licencia Apache 2.0. Consulta LICENSE, NOTICE y THIRD_PARTY_NOTICES.md.