AI Explore Review Loop Plugin

コーディングエージェントセッションが、永続的で正確なヘッドのプルリクエストレビューを待ち、GitHubをポーリングせずに同じレビュー/修正/プッシュのループを続行できるようにするオープンソースのClaude Codeプラグインです。

このプラグインは以下を組み合わせています：

• PostToolUse、Stop、SessionStartフック；

• 通常のstdio MCPサーバー；

• Supabaseの永続読み取りとRealtimeウェイクアップ；

• 正確なヘッドのPRヘッドSHA検証；

• 冪等なローカルおよびサーバーサイドのレビュー受領；

• ステータス、一時停止、再開、停止、レビュー処理のためのスキル。

これはAnthropic MCP Channelsを必要とせず、互換性のあるサードパーティのモデルプロバイダーを使用するClaude Codeセットアップで実行できます。

含まれるもの

この公開リポジトリには、インストール可能なプラグイン、そのビルド可能なソース、テスト、公開ドキュメントのみが含まれています。プライベートなサーバーサイドのコントロールプレーン、Podアドレス、GitHub App設定、Supabaseマイグレーション、Hermesデプロイスクリプト、運用ベースラインは意図的に除外されています。

完全なシステムには、これらの認証されたSupabase RPCを公開する互換性のあるバックエンドが必要です：

• get_ai_explore_review_state(repo, pr_number, head_sha)；

• ack_ai_explore_review_result(result_id, client_id, session_hash, status, new_head)。

認証されたユーザーは、Realtimeウェイクアップのために、対応するgithub_pr_state行へのRLS SELECTアクセスも持っている必要があります。Realtimeは最終的な配信として扱われることはなく、MCPツールは常に永続状態を再読み取りします。

Rushマーケットプレイスのステータス

Rushマーケットプレイスの配布はまだ有効になっていません。現在のRush Gitインポーターとインストーラーは、認識されたスキルと.mcp.jsonを保持しますが、このプラグインに必要なHook、bin/、dist/ファイルは省略されます。実際のインストールで確認された後、トライアルエントリは削除されました。

同じ名前で縮小されたSkills+MCPパッケージを公開しないでください。自動レビューループとそのMCP実行可能ファイルが欠如しているにもかかわらず、インストールされたように見えるからです。プラットフォームが任意のClaudeプラグインアセットとフックをエンドツーエンドで保持した後、Rush配布を有効にできます。

チェックアウトなしでGitHubからインストール

claude plugin marketplace add kanyun-inc/ai-explore-review-loop-plugin
claude plugin install ai-explore-review-loop@ai-explore --scope user

設定

プラグインには、SupabaseプロジェクトURL、公開anon/publishableキー、開発者Authセッションが必要です。公開GitHubパッケージを通じてログインコマンドを実際のターミナルで実行してください。リポジトリのチェックアウトは不要で、パスワードがモデルのトランスクリプトに入ることはありません：

npm exec --yes \
  --package=github:kanyun-inc/ai-explore-review-loop-plugin \
  -- ai-explore-review-loop login \
  --url 'https://your-project.example.com' \
  --anon-key 'YOUR_PUBLIC_ANON_OR_PUBLISHABLE_KEY' \
  --email 'developer@example.com'

パスワードはエコーなしで読み取られ、保存されません。ランタイム状態とリフレッシュトークンは、リポジトリの外のモード0600のユーザー設定ファイルに保存されます。

開発

Node.js 22以降が必要です：

npm ci
npm run build
npm run check
npm run validate:plugin
npm run security:scan

生成されたプラグインバンドルはコミットされているため、マーケットプレイスのインストールでは開発者マシンでnpm installが実行されません。

セキュリティプロパティ

• データベースURLやSupabaseサービスロールの資格情報はありません；

• GitHub Appの秘密鍵やワーカーパスワードはありません；

• 共有の管理者資格情報ではなく開発者RLS；

• レビューを返すか処理する前に正確なヘッドバインディング；

• 重複するRealtimeイベントは無害です；

• Stopフックは、開発者を閉じ込めるのではなく、インフラストラクチャ/認証エラーでオープンに失敗します；

• GitHubのレビューテキストは信頼できない入力として扱われ、現在の差分に対して検証されます。

脆弱性の報告についてはSECURITY.mdを参照してください。

ライセンス

Apache License 2.0。LICENSE、NOTICE、THIRD_PARTY_NOTICES.mdを参照してください。