AI Explore Review Loop Plugin

코딩 에이전트 세션이 지속적(durable)이고 정확한 헤드(exact-head) 기준의 풀 리퀘스트 리뷰를 기다렸다가, GitHub를 폴링하지 않고 동일한 리뷰/수정/푸시 루프를 계속할 수 있게 해주는 오픈소스 Claude Code 플러그인입니다.

이 플러그인은 다음 요소를 결합합니다:

• PostToolUse, Stop, SessionStart 훅(Hooks);

• 일반적인 stdio MCP 서버;

• Supabase 영속 읽기 및 Realtime 웨이크업;

• 정확한 PR 헤드 SHA 검증;

• 멱등성이 보장된 로컬·서버 측 리뷰 접수(receipt);

• status, pause, resume, stop 및 리뷰 처리를 위한 스킬.

Anthropic MCP Channels는 필요하지 않으며, 호환되는 타사 모델 제공자를 사용하는 Claude Code 환경에서도 실행할 수 있습니다.

포함 내용

이 공개 저장소에는 설치 가능한 플러그인, 빌드 가능한 소스, 테스트, 공개 문서만 포함되어 있습니다. 비공개 서버 측 컨트롤 플레인, Pod 주소, GitHub App 구성, Supabase 마이그레이션, Hermes 배포 스크립트, 운영 기준(operational baseline)은 의도적으로 제외되었습니다.

전체 시스템은 다음 인증된 Supabase RPC를 노출하는 호환 백엔드가 필요합니다:

• get_ai_explore_review_state(repo, pr_number, head_sha);

• ack_ai_explore_review_result(result_id, client_id, session_hash, status, new_head).

인증된 사용자는 Realtime 웨이크업을 위해 해당 github_pr_state 행에 대한 RLS SELECT 접근 권한도 가져야 합니다. Realtime은 최종 전달 방식으로 취급되지 않습니다. MCP 도구는 항상 영속(durable) 상태를 다시 읽습니다.

Rush 마켓플레이스 상태

Rush 마켓플레이스 배포는 아직 활성화되지 않았습니다. 현재 Rush Git 임포터와 설치 프로그램은 인식되는 Skills와 .mcp.json은 보존하지만, 이 플러그인에 필요한 Hook과 bin/, dist/ 파일을 생략합니다. 실제 설치로 확인한 뒤 평가용 항목(trial entry)은 제거되었습니다.

같은 이름으로 Skills+MCP 축소 패키지를 게시하지 마십시오. 자동 리뷰 루프와 MCP 실행 파일이 없는데도 설치된 것처럼 보일 수 있기 때문에 릴리즈하지 마세요. Rush 배포는 플랫폼이 임의의 Claude 플러그인 자산과 훅(Hooks)을 end-to-end로 보존한 이후에 활성화할 수 있습니다.

체크아웃 없이 GitHub에서 설치

claude plugin marketplace add kanyun-inc/ai-explore-review-loop-plugin
claude plugin install ai-explore-review-loop@ai-explore --scope user

구성

플러그인에는 Supabase 프로젝트 URL, 공개 anon/publishable 키, 개발자 인증(Auth) 세션이 필요합니다. 실제 터미널에서 공개 GitHub 패키지를 통해 로그인 명령을 실행하세요. 그러면 저장소 체크아웃이 필요 없고, 비밀번호가 모델 트랜스크립트(transcript)에 남지 않게 됩니다:

npm exec --yes \
  --package=github:kanyun-inc/ai-explore-review-loop-plugin \
  -- ai-explore-review-loop login \
  --url 'https://your-project.example.com' \
  --anon-key 'YOUR_PUBLIC_ANON_OR_PUBLISHABLE_KEY' \
  --email 'developer@example.com'

비밀번호는 드럼 반향(echo) 없이 입력되며 저장되지 않습니다. 런타임 상태와 새로고침 토큰(refresh token)은 저장소 외부의 모드 0600 사용자 구성 파일에 저장됩니다.

개발

Node.js 22 이상이 필요합니다:

npm ci
npm run build
npm run check
npm run validate:plugin
npm run security:scan

생성된 플러그인 번들은 커밋되어 있으므로, 마켓플레이스 설치 시 개발자 컴퓨터에서 npm install을 실행하지 않습니다.

보안 속성

• 데이터베이스 URL 또는 Supabase 서비스 관리자(service-role) 자격 증명을 사용하지 않음;

• GitHub App 개인 키나 worker 비밀번호 사용하지 않음;

• 공유 관리자 자격 증명 대신 개발자 수준 RLS 사용;

• 리뷰를 반환하거나 처리하기 전에 정확한 헤드(Exact HEAD) 기준으로 바인딩;

• 중복된 Realtime 이벤트는 무해;

• Stop 훅은 인프라/인증 오류 시 개발자를 잠그는(hard) 대신 열린 쪽으로 실패(fail-open);

• GitHub 리뷰 텍스트는 신뢰할 수 없는 입력으로 간주하고 현재 diff와 대조하여 검증합니다.

SECURITY.md를 참고하여 취약점을 신고하세요.

라이선스

Apache License 2.0.. LICENSE, NOTICE, THIRD_PARTY_NOTICES.md를 참고하십시오.