Rork Max × AI自動コードレビュー：GitHub Actions + Claude APIで実現する継続的品質保証

# 設定するSecret（GitHub UIで設定）
Name: ANTHROPIC_API_KEY
Value: YOUR_ANTHROPIC_API_KEY

# .github/workflows/ai-code-review.yml
 
name: AI Code Review
 
on:
  pull_request:
    types: [opened, synchronize, reopened]
    paths:
      - 'app/**'
      - 'components/**'
      - 'hooks/**'
      - 'lib/**'
      - 'utils/**'
      - 'api/**'
      - '*.ts'
      - '*.tsx'
 
jobs:
  ai-code-review:
    name: AI Code Review with Claude
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: write
 
    steps:
      - name: Checkout repository
        uses: actions/checkout@v4
        with:
          fetch-depth: 0
 
      - name: Set up Node.js
        uses: actions/setup-node@v4
        with:
          node-version: '20'
 
      - name: Install dependencies for review script
        run: npm install @anthropic-ai/sdk @octokit/rest
 
      - name: Run AI Code Review
        env:
          ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          PR_NUMBER: ${{ github.event.pull_request.number }}
          REPO_OWNER: ${{ github.repository_owner }}
          REPO_NAME: ${{ github.event.repository.name }}
          BASE_SHA: ${{ github.event.pull_request.base.sha }}
          HEAD_SHA: ${{ github.event.pull_request.head.sha }}
        run: node .github/scripts/ai-review.js

// .github/scripts/ai-review.js
 
const Anthropic = require('@anthropic-ai/sdk');
const { Octokit } = require('@octokit/rest');
const { execSync } = require('child_process');
 
const anthropic = new Anthropic({ apiKey: process.env.ANTHROPIC_API_KEY });
const octokit = new Octokit({ auth: process.env.GITHUB_TOKEN });
 
// 変更差分を取得する関数
function getDiff() {
  try {
    const baseSha = process.env.BASE_SHA;
    const headSha = process.env.HEAD_SHA;
    const diff = execSync(
      `git diff ${baseSha}...${headSha} -- '*.ts' '*.tsx' '*.js' '*.jsx'`,
      { maxBuffer: 1024 * 1024 * 10 }
    ).toString();
 
    // 長すぎる差分は切り詰める（トークン節約）
    const maxLength = 15000;
    if (diff.length > maxLength) {
      return diff.substring(0, maxLength) + '\n\n... (差分が長すぎるため省略)';
    }
    return diff;
  } catch (error) {
    console.error('差分の取得に失敗:', error.message);
    return null;
  }
}
 
// Claude APIでコードレビューを実施する関数
async function reviewWithClaude(diff) {
  const systemPrompt = `あなたはReact Native / Expo / Rork Maxアプリ開発の専門家です。
以下の観点からコードレビューを実施してください：
 
1. バグ・ロジックエラー: nullアクセス、型の不一致、非同期処理の誤り、state更新の問題等
2. セキュリティリスク: APIキーのハードコード、不適切な権限設定、XSSリスク等
3. パフォーマンス: 不要な再レンダリング、useEffectの依存配列の誤り等
4. React Nativeベストプラクティス: Platform.OS分岐の適切さ、StyleSheetの使用方法等
5. TypeScript: any型の濫用、型定義の欠如等
 
レビュー結果は以下の形式で日本語で返してください：
 
## AIコードレビュー
 
### 重大な問題（必ず対処）
（問題の説明と該当箇所）
 
### 改善推奨
（改善すべき点）
 
### 提案・ベストプラクティス
（より良い実装方法）
 
### 良い点
（コードの良い部分）
 
問題がない場合は「問題は見つかりませんでした」と記載してください。
Markdownテーブルは使用しないでください。`;
 
  const response = await anthropic.messages.create({
    model: 'claude-opus-4-6',
    max_tokens: 2048,
    messages: [
      {
        role: 'user',
        content: `以下のコード差分をレビューしてください：\n\n\`\`\`diff\n${diff}\n\`\`\``,
      },
    ],
    system: systemPrompt,
  });
 
  return response.content[0].text;
}
 
// GitHubのPRにコメントを投稿する関数
async function postReviewComment(reviewText) {
  const owner = process.env.REPO_OWNER;
  const repo = process.env.REPO_NAME;
  const prNumber = parseInt(process.env.PR_NUMBER, 10);
 
  // 既存のAIレビューコメントを検索（重複防止）
  const { data: comments } = await octokit.issues.listComments({
    owner,
    repo,
    issue_number: prNumber,
  });
 
  const existingComment = comments.find(
    (comment) =>
      comment.user.login === 'github-actions[bot]' &&
      comment.body.includes('AIコードレビュー')
  );
 
  const commentBody = `${reviewText}\n\n---\n*このレビューはClaude AIによって自動生成されました。*`;
 
  if (existingComment) {
    // 既存コメントを更新
    await octokit.issues.updateComment({
      owner,
      repo,
      comment_id: existingComment.id,
      body: commentBody,
    });
    console.log('既存のAIレビューコメントを更新しました');
  } else {
    // 新規コメントを投稿
    await octokit.issues.createComment({
      owner,
      repo,
      issue_number: prNumber,
      body: commentBody,
    });
    console.log('AIレビューコメントを投稿しました');
  }
}
 
// メイン処理
async function main() {
  console.log('コード差分を取得中...');
  const diff = getDiff();
 
  if (!diff || diff.trim() === '') {
    console.log('差分が見つかりませんでした');
    return;
  }
 
  console.log(`差分サイズ: ${diff.length} 文字`);
  console.log('Claude APIでコードレビューを実施中...');
  const reviewText = await reviewWithClaude(diff);
 
  console.log('GitHubにレビューコメントを投稿中...');
  await postReviewComment(reviewText);
 
  console.log('AIコードレビューが完了しました！');
}
 
main().catch((error) => {
  console.error('エラーが発生しました:', error);
  process.exit(1);
});

// .github/scripts/security-scan.js
const { Octokit } = require('@octokit/rest');
const { execSync } = require('child_process');
const fs = require('fs');
 
const octokit = new Octokit({ auth: process.env.GITHUB_TOKEN });
 
// 危険なパターンのリスト
const DANGEROUS_PATTERNS = [
  {
    pattern: /api[_-]?key\s*=\s*["'][A-Za-z0-9+/]{20,}["']/gi,
    desc: 'APIキーのハードコード'
  },
  {
    pattern: /password\s*=\s*["'][^"']{8,}["']/gi,
    desc: 'パスワードのハードコード'
  },
  {
    pattern: /eval\s*\(/g,
    desc: 'eval()の使用（セキュリティリスク）'
  },
  {
    pattern: /dangerouslySetInnerHTML/g,
    desc: 'dangerouslySetInnerHTMLの使用（XSSリスク）'
  },
];
 
function getChangedFiles() {
  try {
    const baseSha = process.env.BASE_SHA;
    const headSha = process.env.HEAD_SHA;
    const output = execSync(
      `git diff --name-only ${baseSha}...${headSha} -- '*.ts' '*.tsx' '*.js' '*.jsx'`
    ).toString();
    return output.trim().split('\n').filter(Boolean);
  } catch {
    return [];
  }
}
 
function quickScan(files) {
  const issues = [];
  for (const file of files) {
    if (!fs.existsSync(file)) continue;
    const content = fs.readFileSync(file, 'utf8');
    const lines = content.split('\n');
    for (const { pattern, desc } of DANGEROUS_PATTERNS) {
      lines.forEach((line, index) => {
        if (pattern.test(line)) {
          issues.push({ file, line: index + 1, issue: desc, code: line.trim() });
        }
        pattern.lastIndex = 0;
      });
    }
  }
  return issues;
}
 
async function main() {
  const files = getChangedFiles();
  if (files.length === 0) {
    console.log('変更されたファイルがありません');
    return;
  }
 
  const quickIssues = quickScan(files);
 
  let reportBody = '## セキュリティスキャン結果\n\n';
  if (quickIssues.length > 0) {
    reportBody += '### 検出された問題\n\n';
    for (const issue of quickIssues) {
      reportBody += `- **${issue.file}** (行 ${issue.line}): ${issue.issue}\n`;
      reportBody += `  \`${issue.code.substring(0, 100)}\`\n`;
    }
  } else {
    reportBody += '### 明らかなセキュリティ問題は検出されませんでした\n\n';
  }
  reportBody += `スキャン対象ファイル数: ${files.length}\n`;
  reportBody += '\n---\n*このスキャンはAIによって自動実施されました。*';
 
  if (process.env.PR_NUMBER) {
    await octokit.issues.createComment({
      owner: process.env.REPO_OWNER,
      repo: process.env.REPO_NAME,
      issue_number: parseInt(process.env.PR_NUMBER, 10),
      body: reportBody,
    });
  }
 
  console.log('セキュリティスキャン完了');
 
  // 重大な問題がある場合はワークフローを失敗させる
  if (quickIssues.some((i) => i.issue.includes('APIキー') || i.issue.includes('パスワード'))) {
    console.error('重大なセキュリティ問題が検出されました');
    process.exit(1);
  }
}
 
main().catch((error) => {
  console.error('エラー:', error);
  process.exit(1);
});

// .github/scripts/performance-check.js
 
const fs = require('fs');
const { execSync } = require('child_process');
 
const PERF_PATTERNS = [
  {
    pattern: /console\.(log|warn|error)/g,
    desc: 'console文が本番環境に残っています - __DEV__で囲むか削除してください',
    severity: 'warning',
  },
  {
    pattern: /\.map\([^)]+\)\s*\.\s*filter/g,
    desc: '.map().filter()の順序 - filterを先にするとパフォーマンスが向上します',
    severity: 'info',
  },
  {
    pattern: /new\s+\w+\(\)/g,
    desc: 'レンダリング中のオブジェクト生成 - useMemoやuseRefへの移行を検討',
    severity: 'info',
  },
];
 
function getChangedFiles() {
  try {
    const baseSha = process.env.BASE_SHA;
    const headSha = process.env.HEAD_SHA;
    const output = execSync(
      `git diff --name-only ${baseSha}...${headSha} -- '*.tsx' '*.ts'`
    ).toString();
    return output.trim().split('\n').filter(Boolean);
  } catch {
    return [];
  }
}
 
function analyzeFile(filePath) {
  if (!fs.existsSync(filePath)) return [];
  const content = fs.readFileSync(filePath, 'utf8');
  const findings = [];
  for (const { pattern, desc, severity } of PERF_PATTERNS) {
    const matches = content.match(pattern);
    if (matches) findings.push({ file: filePath, count: matches.length, desc, severity });
    pattern.lastIndex = 0;
  }
  return findings;
}
 
function main() {
  const files = getChangedFiles();
  const allFindings = files.flatMap(analyzeFile);
 
  if (allFindings.length === 0) {
    console.log('パフォーマンス問題は検出されませんでした');
    return;
  }
 
  console.log('\nパフォーマンス分析結果:');
  for (const finding of allFindings) {
    const icon = finding.severity === 'warning' ? '[WARNING]' : '[INFO]';
    console.log(`${icon} [${finding.file}] ${finding.desc} (${finding.count}件)`);
  }
}
 
main();

# .github/workflows/ai-code-review.yml のサイズチェック部分
 
jobs:
  check-size:
    name: Check PR Size
    runs-on: ubuntu-latest
    outputs:
      should-review: ${{ steps.check.outputs.should-review }}
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
 
      - id: check
        run: |
          CHANGED_LINES=$(git diff \
            ${{ github.event.pull_request.base.sha }}...${{ github.event.pull_request.head.sha }} \
            --shortstat | grep -oP '\d+ insertion' | grep -oP '\d+' || echo 0)
          echo "Changed lines: $CHANGED_LINES"
          if [ "$CHANGED_LINES" -gt 2000 ]; then
            echo "should-review=partial" >> $GITHUB_OUTPUT
          else
            echo "should-review=full" >> $GITHUB_OUTPUT
          fi

// ai-review.js のシステムプロンプトにプロジェクト固有のルールを追加
const projectSpecificRules = `
また、このプロジェクト固有のルールも確認してください：
 
- Supabaseのクライアントは必ず lib/supabase.ts から import すること
- 環境変数はすべて .env.local に定義し、直接コードに書かないこと
- コンポーネントは components/ ディレクトリに配置すること
- APIレスポンスの型は必ず定義し、any型を使用しないこと
`;
 
// レビュー結果のログ記録（後で分析できるように）
const logEntry = {
  date: new Date().toISOString(),
  prNumber: process.env.PR_NUMBER,
  diffSize: diff.length,
  hasIssues: reviewText.includes('重大な問題'),
  model: 'claude-opus-4-6',
};
 
const fs = require('fs');
fs.appendFileSync('.github/review-logs.jsonl', JSON.stringify(logEntry) + '\n');