ci: test multi-review workflow

[Svtter]

Summary

• Add multi-review.yml workflow (4 parallel reviewers + coordinator)
• Remove redundant review.yml and architect-review.yml
• Fix action.yml YAML parsing error (quote descriptions with colons)
• Add multi-review smoke test to ci.yml and smoke-test.yml

Test plan

• smoke-actions passes
• multi-review workflow runs and posts coordinator-synthesized comment
• feature-missing still runs independently

🤖 Generated with Claude Code

[github-actions]

所有 PR 描述中的 4 项需求均已完整实现。

无遗漏

各项需求与实现的对照：

1. Add multi-review.yml workflow — architect-review.yml 重命名为 multi-review.yml，uses: ./multi-review 指向已有 action，action 源码包含 4 个 reviewer (quality/security/performance/architecture) + coordinator 综合生成评论 → 已实现
2. Remove redundant review.yml and architect-review.yml — review.yml 已删除，architect-review.yml 已重命名（旧文件不再存在）→ 已实现
3. Fix action.yml YAML parsing error — model, coordinator-prompt 两个 description 中带冒号的字段已用引号包裹 → 已实现
4. Add multi-review smoke test to ci.yml and smoke-test.yml — 两个文件均已添加对应 step → 已实现

所有 action.yml 中定义的 22 个 input 均已正确通过环境变量传递到对应代码逻辑，未被遗漏。测试计划中的 3 项也均已在 workflow/action 层面覆盖。

opencode session  |  github run

[github-actions]

发现遗漏

总结

PR 描述中的 4 项需求均已实现。但存在 reasoning-effort 和 enable-thinking 两个 input 被孤立的问题：它们仍在 multi-review/action.yml 中定义，却不再传递给 node 脚本，毫无效果。

---

MEDIUM

reasoning-effort 和 enable-thinking input 定义但未使用

• 描述：multi-review/action.yml:61-68 定义了 reasoning-effort 和 enable-thinking 两个输入（含默认值和帮助描述），但当前的 action.yml 运行 node 脚本的步骤中（第 192-224 行）不再将它们作为环境变量传递。multi-review/dist/index.cjs 中也完全没有引用这两个值。对比初始提交 bb7d46c，当时这两个输入通过 MULTI_REVIEW_REASONING_EFFORT / MULTI_REVIEW_ENABLE_THINKING 环境变量传递，并用于生成 opencode.json 配置文件，后续提交移除了该逻辑但未删除 input 声明。
• 影响：用户设置这两个参数不会产生任何效果，且无错误提示，属于静默失效。虽然 PR 描述未明确要求实现这两个功能，但它们作为 action 的公开 input 已经存在，应当要么正确连接，要么从 input 定义中移除。
• 建议修复位置：multi-review/action.yml — 在最后的 node 执行步骤的 env 中添加 MULTI_REVIEW_REASONING_EFFORT 和 MULTI_REVIEW_ENABLE_THINKING 的传递，并在 multi-review/src/index.ts（编译目标为 dist/index.cjs）中将它们传入 createOpencode 的 config；或者从 action.yml 的 inputs 中删除这两个参数。

opencode session  |  github run

[github-actions]

有条件合并

此 PR 将 architect-review 重命名为 multi-review、构建从 ESM 改为 CJS。存在 2 个跨 reviewer 确认的阻塞项需修复。

阻塞项

1. 输入参数 reasoning-effort 和 enable-thinking 为死代码（quality blocking + architecture suggestion → 已确认，取最严重决策）
   multi-review/action.yml 仍声明了这两个输入，但已移除使用它们的配置生成步骤和环境变量传递，用户设置后会被静默忽略。应在 action.yml 中删除这两个输入，或重新接入实际逻辑。

2. 移除了 AI agent 读写权限控制（security blocking + architecture suggestion → 已确认，取最严重决策）
   PR 删除了生成带权限限制（拒绝 git 操作、编辑等）的 opencode.json 的步骤，而新的 createOpencode() 调用未传入任何 permission 配置。这属于 OWASP A01（权限失效）/ A08（软件完整性失败） 的安全回归，AI agent 可修改仓库文件、执行 git 命令。必须在合并前恢复权限限制。

建议项

1. tsup 构建输出与 action.yml 引用路径不一致（quality）— multi-review/action.yml:224 引用 dist/index.cjs，但 tsup.config.ts 未设 outExtension，可能输出 dist/index.js。需确认 package.json 的 type 字段或显式指定 outExtension({ '.cjs': '.cjs' })。

2. default-team 默认值重复定义（quality + architecture → 已确认）— 默认值 "quality:1,security:1,performance:1,architecture:1" 同时硬编码在 multi-review.yml、action.yml 和 src/reviewers.ts（DEFAULT_TEAM）中，存在维护不一致风险。

3. parseExtraEnv() 无键名校验（security）— comment.ts:78-89 直接将 extra env 注入 process.env，可覆盖 PATH、LD_PRELOAD 等敏感变量。建议做键名白名单过滤。

4. coordinator-prompt 输入未消毒（security）— orchestrator.ts:106 接受自定义 prompt 直接发送给 LLM，存在 prompt injection 隐患。

5. parseTeam 未校验 key/value 格式（security）— reviewers.ts:14-16 中 name 未做字符白名单校验。

[github-actions]

最终决策：可合并

所有 reviewer 均未发现阻塞性问题。跨 reviewer 确认的发现是 opencode.json 权限约束被移除（security + architecture 共同关注），但按多数意见归为建议而非阻塞。

阻塞项：无

建议项

1. 权限约束移除（安全 · 架构 已确认）：被删除的 opencode.json 生成步骤曾设置 "permission": { "edit": "deny" } 阻止 AI agent 执行 git 操作。虽然 token 权限（contents: read）已限制远程写入，但移除此纵深防御机制缺少说明，建议补回或确认 SDK 已默认施加等价约束。

2. reasoning-effort / enable-thinking 输入移除（架构）：旧 workflow 若设置了这两个参数，迁移后会静默丢失。建议保留但标记 deprecated，或确保 SDK 内置了默认行为。

3. CI 中 continue-on-error: true 掩盖故障（架构）：ci.yml 和 smoke-test.yml 中 multi-review 步骤设此标记，可能导致 action 加载失败不被察觉，应尽快移除。

4. coordinator-prompt 自定义提示词注入风险（安全）：此输入允许自定义提示词模板，存在 prompt 注入可能，建议在文档中提示用户避免使用不可信来源的模板内容。

5. ESM → CJS 格式迁移（架构）：tsup.config.ts 将 format 改为 cjs 并将三大内置模块 external 化，若代码中隐式依赖 ESM 行为（如 import.meta.url），需验证无误。

[github-actions]

所有 PR 描述中的 4 项需求均已对照实现在各自文件中完整覆盖。无遗漏。

以下为逐项确认：

1. Add multi-review.yml workflow (4 parallel reviewers + coordinator) — architect-review.yml 重命名为 multi-review.yml；multi-review/action.yml 及 src/ 下的 index.ts、reviewers.ts、orchestrator.ts、comment.ts、types.ts 完整实现了 quality/security/performance/architecture 4 个 reviewer 并行运行 + coordinator 综合评论的完整逻辑，各组件间通过 main() 串接良好。

2. Remove redundant review.yml and architect-review.yml — .github/workflows/review.yml 已删除；architect-review.yml 已重命名为 multi-review.yml，旧文件不再存在，原 workflow 不复存在。

3. Fix action.yml YAML parsing error — model 和 coordinator-prompt 两个含冒号的 description 已用双引号包裹，解决了 YAML 解析问题。

4. Add multi-review smoke test to ci.yml and smoke-test.yml — 两个文件均已添加 uses: ./multi-review 的 smoke test step。

此外，上一轮 review 指出的 reasoning-effort 和 enable-thinking 孤立问题已在最新 commit 396b568 中修复（已从 action.yml 的 inputs 中移除）。所有 4 项需求均已完全实现。

opencode session  |  github run