PipelineLint — CI/CD 流水线反模式分析器

PipelineLint 扫描代码库中的 CI/CD 流水线反模式，包括：硬编码密钥、缺失的缓存配置、跳过的测试、不安全的部署操作、缺少审批门禁、未固定版本的依赖项，以及环境配置问题。它基于正则表达式匹配 6 大类共 90 个流水线专属检测模式，通过 lefthook 集成 Git 钩子，并生成含可操作修复建议的 Markdown 报告。100% 本地运行，零遥测数据。

命令

免费版（无需许可证）

pipelinelint scan [file|directory]

对指定文件或目录执行一次性流水线质量扫描。

执行方式：

bash "/scripts/dispatcher.sh" --path [target]

功能说明：

1. 接受文件路径或目录路径（默认为当前目录）
2. 自动发现所有源码文件（跳过 .git、node_modules、二进制文件、图片、.min.js 等）
3. 对每个文件运行 30 个流水线质量检测模式（免费版上限）
4. 为每个文件及整体计算流水线质量分（0–100 分）
5. 评级标准：A（90–100）、B（80–89）、C（70–79）、D（60–69）、F（<60）
6. 输出结果包含：文件路径、行号、检查 ID、严重性等级、描述、修复建议
7. 若总分 ≥ 70，则退出码为 0；若流水线质量较差（总分 < 70），则退出码为 1
8. 免费版仅支持前 30 个模式（SE + CF 类别）

典型使用场景示例：

• “扫描我的流水线是否存在安全问题” → 执行 pipelinelint scan .
• “检查该工作流文件是否存在反模式” → 执行 pipelinelint scan .github/workflows/ci.yml
• “在 CI 配置中查找硬编码密钥” → 执行 pipelinelint scan .
• “审计我的 CI/CD 流水线配置” → 执行 pipelinelint scan .
• “检查是否缺失缓存配置” → 执行 pipelinelint scan .

专业版（$19/用户/月 —— 需设置 PIPELINELINT_LICENSE_KEY）

pipelinelint scan --tier pro [file|directory]

增强型扫描，覆盖 60 个模式，涵盖密钥管理、缓存策略、测试实践与依赖安全性。

执行方式：

bash "/scripts/dispatcher.sh" --path [target] --tier pro

功能说明：

1. 校验专业版及以上许可证有效性
2. 运行全部 60 个流水线检测模式（SE、CF、TS、AR 类别）
3. 检测被跳过的测试及被禁用的质量检查项
4. 识别不安全的依赖管理实践
5. 按类别提供完整检测结果分解报告

pipelinelint scan --format json [directory]

生成 JSON 格式输出，便于集成至 CI/CD 系统。

bash "/scripts/dispatcher.sh" --path [directory] --format json

pipelinelint scan --format html [directory]

生成 HTML 格式报告，适用于浏览器查看。

bash "/scripts/dispatcher.sh" --path [directory] --format html

pipelinelint scan --category SE [directory]

限定扫描范围至特定检查类别（SE、CF、TS、AR、DP、EN）。

bash "/scripts/dispatcher.sh" --path [directory] --category SE

团队版（$39/用户/月 —— 需配备团队版 PIPELINELINT_LICENSE_KEY）

pipelinelint scan --tier team [directory]

全量扫描，覆盖全部 90 个模式，涵盖六大类别，包括部署安全性与环境配置检查。

执行方式：

bash "/scripts/dispatcher.sh" --path [directory] --tier team

功能说明：

1. 校验团队版及以上许可证有效性
2. 运行全部 90 个检测模式（覆盖全部 6 个类别）
3. 包含部署安全性检查（如：无审批门禁、强制推送、破坏性操作等）
4. 包含环境配置检查（如：硬编码值、无超时设置、明文 HTTP 协议等）
5. 按类别提供完整结果分解，并附带每文件级详细结果

pipelinelint scan --verbose [directory]

启用详细输出模式，显示每一处匹配的代码行及其对应模式详情。

bash "/scripts/dispatcher.sh" --path [directory] --verbose

pipelinelint status

显示许可证状态与当前配置信息。

bash "/scripts/dispatcher.sh" status

检查类别

PipelineLint 在 6 大类别中共检测 90 种 CI/CD 流水线反模式：

按版本划分的模式访问权限

评分机制

PipelineLint 采用减分制评分模型，起始分为 100（满分）：

评级标准

• 通过阈值：70 分（即 C 级或以上）
• 退出码 0 = 通过（得分 ≥ 70）
• 退出码 1 = 不通过（得分 < 70）

配置方式

用户可在 ~/.openclaw/openclaw.json 中配置 PipelineLint：

{
  "skills": {
    "entries": {
      "pipelinelint": {
        "enabled": true,
        "apiKey": "YOUR_LICENSE_KEY_HERE",
        "config": {
          "severityThreshold": "medium",
          "ignorePatterns": ["**/test/**", "**/fixtures/**", "**/*.test.*"],
          "ignoreChecks": [],
          "reportFormat": "text"
        }
      }
    }
  }
}

重要说明

• 免费版开箱即用，无需任何配置
• 所有扫描均在本地完成 —— 不向任何外部服务器上传代码
• 许可证校验完全离线进行 —— 不发起“回传”（phone-home）或网络请求
• 仅基于正则表达式匹配 —— 不进行 AST 解析，除 bash 外无其他外部依赖
• 支持单次扫描多种文件类型
• Git 钩子依赖 lefthook，需预先安装（参见上方安装说明）
• 退出码定义：0 = 通过（得分 ≥ 70），1 = 不通过（适用于 CI/CD 集成）
• 输出格式支持：text（默认）、json、html

错误处理

• 若未安装 lefthook 且用户尝试启用钩子，提示用户安装
• 若许可证密钥无效或已过期，显示清晰错误信息并附上链接 https://pipelinelint.pages.dev/renew
• 若目标文件为二进制文件，自动跳过且不发出警告
• 若目标路径下未发现任何可扫描文件，返回“扫描干净”提示信息
• 若使用 --category 参数指定了无效类别，列出所有支持的类别供参考

适用场景

用户可能提出如下请求：

• “扫描我的 CI/CD 流水线是否存在潜在问题”
• “检查我的 GitHub Actions 工作流”
• “在流水线配置中查找硬编码密钥”
• “检测不安全的部署实践”
• “是否存在缺失的缓存配置？”
• “检查 CI 中是否跳过了测试”
• “审计我的流水线安全性”
• “在工作流中查找未固定版本的依赖项”
• “检查部署安全性相关问题”
• “扫描流水线反模式”
• “执行一次流水线质量审计”
• “生成一份流水线质量报告”
• “检查我的 Jenkinsfile 是否存在安全问题”
• “在 CI 配置中查找强制推送命令”
• “检查我的 GitLab CI 是否符合最佳实践”