OpenClaw 开发者指南：用 AI 自动化代码工作流（2026）

Payload URL: https://your-openclaw-instance.com/webhook/github
Content type: application/json
Events: Pull requests, Pull request reviews

skills:
  github:
    enabled: true
    token: ${GITHUB_PAT}
    repos:
      - owner/frontend-app
      - owner/backend-api
    review:
      auto_review: true
      focus_areas:
        - security_vulnerabilities
        - performance_regressions
        - error_handling
        - naming_conventions
        - test_coverage
      ignore_paths:
        - "*.lock"
        - "*.min.js"
        - "vendor/**"
        - "dist/**"

review_prompt: |
  审查这个 Pull Request 的 diff。重点关注：
  1. 安全问题（SQL 注入、XSS、鉴权绕过、暴露的密钥）
  2. Bug 和逻辑错误
  3. 性能问题（N+1 查询、不必要的重渲染、缺少索引）
  4. 缺失的错误处理
  5. 测试覆盖不足

  给出具体意见，引用行号，建议修复方案而不仅是指出问题。
  如果代码没问题，简短说明即可。不要对 linter 该管的风格问题吹毛求疵。

# .github/workflows/notify-openclaw.yml
name: Notify OpenClaw on CI Status

on:
  workflow_run:
    workflows: ["Build and Test", "Deploy to Staging"]
    types: [completed]

jobs:
  notify:
    if: ${{ github.event.workflow_run.conclusion == 'failure' }}
    runs-on: ubuntu-latest
    steps:
      - name: Notify OpenClaw
        run: |
          curl -X POST https://your-openclaw-instance.com/webhook/ci \
            -H "Content-Type: application/json" \
            -d '{
              "repo": "${{ github.repository }}",
              "workflow": "${{ github.event.workflow_run.name }}",
              "branch": "${{ github.event.workflow_run.head_branch }}",
              "conclusion": "${{ github.event.workflow_run.conclusion }}",
              "url": "${{ github.event.workflow_run.html_url }}",
              "commit": "${{ github.event.workflow_run.head_sha }}"
            }'

skills:
  ci-monitor:
    enabled: true
    on_failure:
      - fetch_logs      # 下载完整 CI 日志
      - analyze_error   # LLM 识别根因
      - notify_slack    # 发送摘要到 #dev-alerts
      - suggest_fix     # 如果修复方案明显，给出建议
    on_success_after_failure:
      - notify_slack    # "分支 X 的流水线已恢复"
    slack_channel: "#dev-alerts"
    log_analysis_model: claude-sonnet-4

🔴 CI 失败：feature/user-auth 分支（提交 a3f2b1c）

根因：UserService.authenticate() 在 user.email 为 null 时
抛出 NullPointerException。由 @alice 在提交 a3f2b1c 中引入。

测试 testAuthenticateWithNullEmail 已添加，但实现
未处理 null 的情况。

建议修复：在 UserService.java:142 行
调用 email.toLowerCase() 之前增加 null 检查

CI 日志：https://github.com/...

ci-monitor:
  auto_fix:
    enabled: true
    allowed_fixes:
      - lint_errors          # 自动格式化并推送
      - lockfile_conflicts   # 重新生成 lockfile
      - snapshot_updates     # 更新测试快照
    require_approval: false  # 仅对 lint/格式化问题
    max_attempts: 2

skills:
  dependency-manager:
    enabled: true
    schedule: "0 9 * * 1"  # 每周一早上 9 点
    package_managers:
      - npm
      - pip
      - cargo
    strategy:
      security_patches: auto_merge       # 安全补丁立即合并
      minor_updates: auto_pr             # 开 PR，跑测试
      major_updates: report_only         # 在 Slack 汇报
    changelog_summary: true
    breaking_change_detection: true

📦 每周依赖报告 — frontend-app

安全补丁（已自动合并）：
  ✅ next 15.1.3 → 15.1.4（修复 image 组件的 XSS 漏洞）
  ✅ axios 1.7.2 → 1.7.3（SSRF 缓解）

次版本更新（已开 PR）：
  🔀 react-query 5.28.0 → 5.30.0
     变更：新增 usePrefetchQuery hook，性能提升
     风险：低——无破坏性变更
  🔀 tailwindcss 4.1.0 → 4.2.0
     变更：新增 color-mix() 支持，容器查询改进
     风险：低——仅新增功能

大版本更新（需人工审查）：
  ⚠️ typescript 5.5 → 6.0
     变更：新增隔离声明、更严格的模板字面量类型
     破坏性变更：是——12 个文件可能需要修改
     迁移指南：https://...

skills:
  incident-responder:
    enabled: true
    log_sources:
      - type: elasticsearch
        url: ${ELASTICSEARCH_URL}
        index: "production-logs-*"
      - type: cloudwatch
        region: us-east-1
        log_group: "/app/production"
    alert_sources:
      - type: pagerduty
        integration_key: ${PAGERDUTY_KEY}
      - type: grafana_webhook
        url: /webhook/grafana
    on_alert:
      - fetch_recent_logs     # 获取错误前后最近 100 行日志
      - correlate_events      # 查找跨服务的相关错误
      - identify_root_cause   # LLM 分析
      - check_recent_deploys  # 是部署导致的吗？
      - notify_oncall         # 在 Slack 通知值班工程师
      - suggest_runbook       # 链接到相关运维手册

🚨 事件：支付服务错误率 15%（阈值：2%）

时间线：
  14:30 — 部署 payment-service v2.14.7（提交 d4e5f6）
  14:32 — 首次出现 /api/webhooks/stripe 的 503 错误
  14:33 — 错误率突破 2% 阈值
  14:35 — Grafana 告警触发

根因（高置信度）：
  提交 d4e5f6 修改了 Stripe Webhook 签名验证。新代码期望
  环境变量 STRIPE_WEBHOOK_SECRET_V2，但生产环境仍使用
  STRIPE_WEBHOOK_SECRET。

建议修复：
  方案 A：在生产环境添加 STRIPE_WEBHOOK_SECRET_V2
  方案 B：回滚到 payment-service v2.14.6

相关运维手册：https://wiki.internal/runbooks/payment-errors

skills:
  doc-generator:
    enabled: true
    triggers:
      - on_merge_to_main    # 代码合并时生成文档
      - schedule: "0 6 * * 5"  # 每周五全面更新
    targets:
      api_docs:
        source: "src/routes/**/*.ts"
        output: "docs/api/"
        format: markdown
        include:
          - endpoint_description
          - request_params
          - response_schema
          - error_codes
          - usage_examples
      changelog:
        source: git_log
        output: "CHANGELOG.md"
        format: keep-a-changelog
        since: last_release
      architecture:
        source: "src/**/*.ts"
        output: "docs/architecture.md"
        update_frequency: weekly

## [2.14.7] - 2026-03-20

### 新增
- Stripe Webhook 签名验证 v2 支持 (#423)
- /api/auth 接口添加速率限制 (#419)

### 修复
- 并发订单处理中的竞态条件 (#421)
- WebSocket 连接处理器的内存泄漏 (#418)

### 变更
- 支付处理超时从 10 秒增加到 30 秒 (#420)

skills:
  pr-summary:
    enabled: true
    trigger: on_pr_open
    summary_format: |
      ## 改了什么
      [变更的高层描述]

      ## 为什么改
      [业务背景/动机——从提交信息、PR 描述和关联 Issue 推断]

      ## 关键变更
      [最重要变更的要点列表]

      ## 测试
      [添加/修改了哪些测试，哪些地方可能需要手动测试]

      ## 风险评估
      [低/中/高，附说明]
    post_as: comment
    update_on_push: true

# 好的做法：限定范围的令牌，最小权限
github:
  token: ${GITHUB_PAT_READONLY}
  permissions:
    - repo:read
    - pull_request:write  # 用于发表评论
    - issues:read

# 坏的做法：管理员令牌，完全访问
github:
  token: ${GITHUB_ADMIN_TOKEN}  # 别这么做

incident-responder:
  log_preprocessing:
    redact_patterns:
      - "sk-[a-zA-Z0-9]{32,}"     # API 密钥
      - "Bearer [a-zA-Z0-9._-]+"  # 认证令牌
      - "password[=:][^\s]+"       # 密码
      - "[0-9]{4}-[0-9]{4}-[0-9]{4}-[0-9]{4}"  # 信用卡号

生产服务器 → 日志聚合器 → OpenClaw（只读）
              ↕
        （无直接访问）

audit:
  enabled: true
  log_to: /var/log/openclaw/audit.log
  track:
    - github_api_calls
    - pr_comments_posted
    - commits_pushed
    - ci_reruns_triggered
  retention: 90_days