必须选github app；因其支持跨仓库监听、高权限操作及长期稳定运行，而github actions仅适用于单仓库轻量自动化。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
让ChatGPT在GitHub上自动响应PR、审查代码、回复Issue，无需手动复制粘贴，不依赖IDE插件，直接在仓库事件触发时调用AI能力完成真实开发协作任务。
选择GitHub App还是GitHub Actions？先看你的使用场景
如果你希望机器人长期稳定运行、能跨多个仓库监听事件（如组织级issue创建）、需要写入评论或批准PR等高权限操作，【必须选GitHub App】。它拥有独立身份和细粒度权限控制，不会因用户token过期而中断。
如果你只针对单个仓库做轻量自动化（比如PR提交后调用ChatGPT生成commit message），且接受每次执行都走个人账户权限，GitHub Actions更简单——不用签发JWT、不用管理安装ID、配置文件即改即生效。
注意：OAuth App已不推荐用于生产级集成，它的token有效期短、权限绑定用户而非应用，一旦用户退出组织或重置密码，所有自动化立即失效。
用GitHub App实现PR自动审查（完整部署路径）
第一步：在GitHub Marketplace注册新App → 填写名称、主页URL、回调URL（留空也可）→ 上传私钥文件（.pem格式）→ 保存后记下App ID和私钥路径。
第二步：进入目标仓库 → Settings → Install App → 选择刚创建的App并授权 → 安装成功后，在Settings → Developer settings → GitHub Apps里找到该App → 点击“Installations”页签 → 复制当前安装ID（INSTALL_ID）。
第三步：在仓库Settings → Secrets and variables → Actions → New repository secret → 创建两个密钥：GH_APP_ID（填App ID数字）、GH_PRIVATE_KEY（粘贴.pem文件全文，含-----BEGIN RSA PRIVATE KEY-----头尾）。
第四步：在项目根目录新建main.py，填入含JWT签发、安装令牌获取、PR差异拉取、ChatGPT调用、评论提交的全链路代码；确保OPENAI_API_KEY也作为secret存入Actions变量中。这一步不能跳过环境校验，否则401错误会阻断整个流程。
第五步：部署到云服务器或Serverless平台（如Vercel、Cloudflare Workers），监听GitHub发送的webhook事件（Content-Type必须为application/json，X-Hub-Signature-256需校验）。服务启动后，在App设置页的“Webhook URL”填入你暴露的HTTPS地址，并勾选pull_request事件。
用GitHub Actions快速启用ChatGPT代码审查
方法一：直接复用现成Action
在仓库中创建.github/workflows/chatgpt-review.yml → 粘贴anc95/ChatGPT-CodeReview官方模板 → 将${{ secrets.OPENAI_API_KEY }}替换为已存入的密钥 → 提交后，任意新PR自动触发审查。
方法二：手写轻量workflow（适合调试Prompt）
创建.github/workflows/pr-review.yml → 使用actions/checkout@v4拉取代码 → 用peter-evans/compare-and-annotate@v1提取diff片段 → 通过curl向OpenAI API发送结构化请求（必须带model=gpt-4-turbo，temperature=0.2防止过度发挥）→ 将response解析为Markdown后，用actions/github-script@v7提交为PR评论。
注意：OpenAI返回的文本中若含未转义的_、*、`符号，直接提交会导致GitHub渲染错乱，必须在写入前用正则替换u005f → u005fu005f、* → \*、` → \`。
关键数据流向与安全边界
GitHub App模式下，所有代码内容经由GitHub官方API传输，不经过第三方服务器中转；私钥永远不出本地环境，JWT仅在内存中生成且540秒过期；安装令牌（installation token）按需申请，权限范围严格限定在所选仓库内。
GitHub Actions模式下，代码检出发生在GitHub托管的runner中，敏感信息（如API Key）由Actions加密保管，不会出现在日志里；但diff内容会在workflow步骤间以明文字符串传递，避免在step中echo ${{ steps.diff.outputs.diff }}这类调试写法。
两种方式都【禁止将源码完整上传至OpenAI API】，必须截取变更行附近最多200行上下文，超出部分用// ...省略标注，既控成本又防泄露。
