检查工作流

[WhiteElephant-abc]

workflow

[WhiteElephant-abc]

@WhiteElephantIsNotARobot review一下仓库中的几个workflow

[WhiteElephantIsNotARobot]

Workflow 代码审查报告

已分析仓库中的 5 个 workflow 文件，以下是详细审查结果：

📋 Workflow 概览

文件	触发条件	主要功能	状态
build.yml	pull_request, push	Bazel 构建 + 失败时自动创建 issue	✅ 良好
check.yml	pull_request, push	检查重复 ID + 失败时自动创建 issue	✅ 良好
opencode.yml	issue_comment, pr_review_comment	AI 代码助手（通过 /oc 或 /opencode 触发）	✅ 良好
release.yml	push (tag *_v*)	自动发布 + 构建产物	✅ 良好
translate.yml	push (特定路径) + 手动触发	自动翻译 + 创建 PR	⚠️ 有改进空间

---

🔍 详细分析

1. build.yml - 构建工作流

触发: PR 或 push 到任意分支
权限: issues: write, contents: read

优点:

• ✅ 使用 ubuntu-24.04 最新 runner
• ✅ 配置了 Bazel 缓存（bazelisk-cache, disk-cache, repository-cache）
• ✅ 成功时上传构建产物（artifacts）
• ✅ 失败时上传 build.log 便于调试
• ✅ 自动创建 issue 报告构建失败（避免重复创建）

潜在问题:

• ⚠️ build 步骤将输出重定向到文件，这会隐藏实时输出
• ⚠️ handle-failure job 需要额外的 checkout，可以优化

---

2. check.yml - 重复 ID 检查

触发: PR 或 push 到任意分支
权限: issues: write, contents: read

优点:

• ✅ 使用 AWK 解析 BUILD.bazel 文件中的 modrinth_project_id 和 pack_id
• ✅ 检测重复 ID 并生成带链接的报告
• ✅ 失败时自动创建 issue（避免重复）
• ✅ 上传重复报告作为 artifact

潜在问题:

• ⚠️ check-ids job 的 if: failure() 条件可能不工作，因为前面的步骤没有显式失败

---

3. opencode.yml - AI 代码助手

触发: Issue 或 PR 评论包含 /oc 或 /opencode
权限: id-token: write, contents: read, pull-requests: read, issues: read

优点:

• ✅ 使用 anomalyco/opencode/github@latest action
• ✅ 支持 DeepSeek Reasoner 模型
• ✅ 有详细的 prompt 指导 AI 行为
• ✅ 避免交互式工具导致的超时

潜在问题:

• ⚠️ 依赖第三方 action anomalyco/opencode/github@latest（需要信任）
• ⚠️ 使用 secrets.DEEPSEEK_API_KEY 需要配置
• ⚠️ 没有明确的权限控制（任何评论者都可以触发）

建议:
添加权限检查，限制只有仓库成员可以触发：

if: |
  (contains(github.event.comment.body, '/oc') || startsWith(github.event.comment.body, '/oc')) &&
  (github.event.comment.author_association == 'OWNER' || github.event.comment.author_association == 'MEMBER')

---

4. release.yml - 自动发布

触发: Tag 推送（匹配 *_v*）
权限: contents: write, discussions: write

优点:

• ✅ 从 tag 提取项目名和版本号（如 project_v1.0.0）
• ✅ 从 NEWS.md 读取发布说明
• ✅ 使用 softprops/action-gh-release 创建 GitHub Release
• ✅ 自动发布到 Discussions 的 Announcements 分类

潜在问题:

• ⚠️ 如果 NEWS.md 不存在，使用默认文本可能不够信息丰富

---

5. translate.yml - 自动翻译

触发: subprojects/Localization-Resource-Pack/assets/** 路径的 push + 手动触发
权限: contents: write, pull-requests: write

优点:

• ✅ 支持手动触发（workflow_dispatch）并有配置选项
• ✅ 使用 Python 脚本进行翻译
• ✅ 上传翻译日志作为 artifact
• ✅ 自动提交并推送更改

⚠️ 严重问题:

1. 直接 push 到受保护分支可能失败

   git push origin ${{ github.ref_name }}

   如果分支有保护规则（如需要 PR、需要 review），这会失败。

2. 没有创建 Pull Request

   • 直接 push 到 main/master 分支可能违反工作流
   • 建议创建 Pull Request 而不是直接 push

3. git pull 策略问题

   git config --local pull.rebase false
   git pull origin ${{ github.ref_name }}

   在 CI 环境中，这可能导致不必要的合并提交。

建议修复:
使用 peter-evans/create-pull-request action 创建 PR 代替直接 push。

---

🎯 总体建议

优点总结

1. ✅ 所有 workflow 都有清晰的命名和结构
2. ✅ 失败处理机制完善（自动创建 issue）
3. ✅ 使用了最新的 actions 版本（v4, v6）
4. ✅ 缓存配置合理（Bazel 缓存）
5. ✅ artifact 上传便于调试

主要改进点

1. translate.yml 需要重大修改 - 直接 push 可能失败，应改为创建 PR
2. 添加权限检查 - 特别是 opencode.yml 的触发条件
3. 添加超时限制 - 防止某些步骤运行过久

安全建议

• opencode.yml 和 translate.yml 使用了 secrets.DEEPSEEK_API_KEY，确保密钥安全
• 考虑添加分支保护规则，防止直接 push 到 main 分支