Azure DevOps pipeline CI 啟動 Claude Code 做 PR Code Review

1
① 拉取資料 (git diff) ── 憑證：System.AccessToken (只讀 ADO 資訊，組裝 prompt.md)
2
   │
3
② 安裝 CLI ───────────── 憑證：無 (npm install，不給任何 Token，防止惡意依賴偷抓環境變數)
4
   │
5
③ 跑 Claude Code ────── 憑證：只有 CLAUDE_CODE_OAUTH_TOKEN (只給 AI Token，不給 ADO Token)
6
   │                      - 拔除 Bash / Write，鎖定純唯讀工具
7
   │                      - 只輸出 JSON 檔案
8
   ▼
9
④ 貼回 PR 留言 ───────── 憑證：System.AccessToken (讀取 JSON，由腳本呼叫 ADO API 貼文)

1
trigger: none
2

3
pr:
4
  branches:
5
    include:
6
      - main
7

8
pool:
9
  vmImage: 'ubuntu-latest'
10

11
variables:
12
  - group: claude-review   # 內含 Secret 變數：CLAUDE_CODE_OAUTH_TOKEN
13

14
jobs:
15
  - job: aiReview
16
    displayName: 'Claude Code PR Review'
17
    steps:
18
      - checkout: self
19
        fetchDepth: 2      # 確保能拿到 HEAD^1 做比對
20
        persistCredentials: false
21

22
      # ── ① 準備 Diff 與 Prompt ──
23
      - bash: |
24
          set -euo pipefail
25

26
          # 取得 git diff（排除 lock 檔）
27
          git diff HEAD^1 HEAD -- . ':!package-lock.json' ':!pnpm-lock.yaml' > diff.patch
28

29
          if [ ! -s diff.patch ]; then
30
            echo "沒有需要審查的變更。"
31
            echo "##vso[task.setvariable variable=SKIP_REVIEW]true"
32
            exit 0
33
          fi
34

35
          # 組裝內嵌 Prompt（先用最簡單的結構，不外掛 Skill）
36
          cat << 'EOF' > prompt.md
37
          你是一位資深工程師，請針對以下 git diff 進行 Code Review。
38

39
          審查重點：
40
          1. 邊界條件與潛在邏輯錯誤
41
          2. 安全漏洞（注入、憑證洩漏）
42
          3. 是否有未處理的例外或資源洩漏
43

44
          請直接指出具體有問題的程式碼行數、錯誤情境與修改建議。若無重大問題請簡要總結。
45
          輸出請使用清晰的 Markdown 格式。
46

47
          === 以下為變更內容 ===
48
          EOF
49

50
          cat diff.patch >> prompt.md
51
        displayName: '1. Prepare diff and prompt'
52

53
      # ── ② 安裝 CLI（完全不給憑證）──
54
      - bash: |
55
          npm install -g @anthropic-ai/claude-code
56
        displayName: '2. Install Claude Code CLI'
57
        condition: ne(variables['SKIP_REVIEW'], 'true')
58

59
      # ── ③ 執行唯讀審查（只帶 Claude Token）──
60
      - bash: |
61
          set -euo pipefail
62

63
          # 執行非互動審查，輸出結果至 review.md
64
          claude -p \
65
            --model "sonnet" \
66
            --setting-sources user \
67
            --strict-mcp-config \
68
            --no-session-persistence \
69
            --disallowedTools Bash WebFetch WebSearch Write Edit NotebookEdit \
70
            < prompt.md > review.md
71
        displayName: '3. Run Claude Review'
72
        env:
73
          CLAUDE_CODE_OAUTH_TOKEN: $(CLAUDE_CODE_OAUTH_TOKEN)
74
        condition: ne(variables['SKIP_REVIEW'], 'true')
75

76
      # ── ④ 將審查結果貼回 PR 留言（只帶 ADO Token）──
77
      - bash: |
78
          set -euo pipefail
79

80
          COMMENT_CONTENT=$(cat review.md)
81

82
          # 組裝 ADO PR Thread 請求 Payload
83
          PAYLOAD=$(jq -n --arg content "### 🤖 Claude Code Review 報告\n\n$COMMENT_CONTENT" '{
84
            comments: [{
85
              parentCommentId: 0,
86
              content: $content,
87
              commentType: 1
88
            }],
89
            status: 1
90
          }')
91

92
          # 呼叫 ADO REST API 新增 PR Thread
93
          curl -sSf -X POST \
94
            -H "Authorization: Bearer $SYSTEM_ACCESSTOKEN" \
95
            -H "Content-Type: application/json" \
96
            -d "$PAYLOAD" \
97
            "${SYSTEM_COLLECTIONURI}${SYSTEM_TEAMPROJECT}/_apis/git/repositories/${BUILD_REPOSITORY_ID}/pullRequests/${SYSTEM_PULLREQUEST_PULLREQUESTID}/threads?api-version=7.1"
98
        displayName: '4. Post PR Comment'
99
        env:
100
          SYSTEM_ACCESSTOKEN: $(System.AccessToken)
101
        condition: and(succeeded(), ne(variables['SKIP_REVIEW'], 'true'))