GitHub Actions 部署风险审计

使用此技能对当前存在生产发布信任风险的部署工作流进行风险评级。

该技能的功能

• 读取 GitHub Actions 运行记录的 JSON 导出文件
• 筛选出部署/发布类工作流（支持通过正则表达式配置）
• 按 仓库 + 工作流 + 分支 进行分组
• 基于以下指标计算风险得分：
  • 失败率
  • 未解决的连续失败次数
  • 距最近一次成功运行的天数
• 依据可配置的得分阈值，标记警告（warning）或严重（critical）级别的分组
• 输出文本或 JSON 格式结果，供 CI 看板与发布门禁（release gates）使用

输入参数

可选：

• RUN_GLOB（默认值：artifacts/github-actions/*.json）
• TOP_N（默认值：20）
• OUTPUT_FORMAT（text 或 json，默认值：text）
• MIN_RUNS（默认值：2）
• DEPLOY_WORKFLOW_MATCH（默认值：(?i)(deploy|release|ship|production)）
• BRANCH_MATCH（正则表达式，可选）
• BRANCH_EXCLUDE（正则表达式，可选）
• REPO_MATCH（正则表达式，可选）
• REPO_EXCLUDE（正则表达式，可选）
• FAIL_WARN_PERCENT（默认值：20）
• FAIL_CRITICAL_PERCENT（默认值：40）
• STALE_SUCCESS_DAYS（默认值：7）
• WARN_SCORE（默认值：35）
• CRITICAL_SCORE（默认值：60）
• FAIL_ON_CRITICAL（0 或 1，默认值：0）

采集运行记录 JSON

gh run view  --json databaseId,workflowName,event,conclusion,headBranch,headSha,createdAt,updatedAt,startedAt,url,repository 
  > artifacts/github-actions/run-.json

运行方式

文本格式报告：

RUN_GLOB='artifacts/github-actions/*.json' 
DEPLOY_WORKFLOW_MATCH='(?i)(deploy|release)' 
MIN_RUNS=3 
bash skills/github-actions-deploy-risk-audit/scripts/deploy-risk-audit.sh

JSON 格式输出并启用失败门禁（fail gate）：

RUN_GLOB='artifacts/github-actions/*.json' 
OUTPUT_FORMAT=json 
FAIL_ON_CRITICAL=1 
bash skills/github-actions-deploy-risk-audit/scripts/deploy-risk-audit.sh

使用内置测试用例（fixtures）运行：

RUN_GLOB='skills/github-actions-deploy-risk-audit/fixtures/*.json' 
bash skills/github-actions-deploy-risk-audit/scripts/deploy-risk-audit.sh

输出契约（Output Contract）

• 报告模式（默认）下退出码为 0
• 当 FAIL_ON_CRITICAL=1 且存在一个或多个严重（critical）分组时，退出码为 1
• 文本模式输出摘要信息 + 按风险排序的部署风险分组列表
• JSON 模式输出摘要信息 + 所有已评分分组 + 严重分组的详细信息