工具集

GitHub 官方命令行：在终端里管理 PR、Issue、Release 与 Actions 工作流，多数命令支持 --json 输出便于 agent 解析，并提供官方 agent skill。需先 gh auth login 登录。

GitHub 官方 MCP 服务器：让 agent 读写仓库与代码，管理 Issue 和 PR，查看 Actions 工作流与代码扫描告警。可接托管远程服务或用 Docker 本地运行，需个人访问令牌或 OAuth 授权。

在本地用 Docker 运行 GitHub Actions 工作流，改完 .github/workflows 不必反复提交推送就能验证 CI，也能把工作流当作本地任务运行器。需要本机安装 Docker。

接入 GitHub 官方远程 MCP 服务器，在 Claude Code 里管理 Issue 与 PR、评审代码、搜索仓库并调用 GitHub API；需要配置 GITHUB_PERSONAL_ACCESS_TOKEN。

GitHub 官方仓库里的社区技能合集，400 多个遵循 Agent Skills 规范的技能，涵盖代码库梳理、测试、云与 DevOps、agent 安全等，可用 gh skills install 按需安装单个技能。

在 Git、GitHub、S3、文件系统等来源中查找泄露的凭据，可识别 800 多种密钥类型，并登录对应服务验证密钥是否仍然有效，减少误报。

GitHub 官方终端编码 Agent，与 Copilot 编码代理共用同一套 harness，默认内置 GitHub MCP，可用自然语言处理仓库、Issue 与 PR，每步操作执行前需确认。需要 Copilot 订阅。

Trail of Bits 出品的技能：审计接入 AI 编码 agent（Claude Code Action、Codex、Gemini CLI 等）的 GitHub Actions 工作流，检测提示注入、env 变量中转、危险沙箱配置与通配符 allowlist 等越权风险。

CI/CD 配置的安全静态分析工具：找出 GitHub Actions 工作流中的模板注入、凭据泄露、权限过大等问题，也覆盖 Dependabot 与 pre-commit 配置，部分问题可自动修复。

GitHub 官方 gh 扩展：用 Markdown 编写由 AI agent 执行的 Actions 工作流并编译为标准 Actions，可选 Copilot、Claude Code、Codex 等引擎，默认只读沙箱运行。需先安装 gh。

用 GitHub CLI 扩展 gh stack 管理堆叠式分支与相互依赖的 PR：把多部分工作拆成按依赖排列的分支层，每层一个 PR，并处理创建、推送、提交、同步、变基与合并；说明在非交互环境下必须带上的参数，避免命令卡在交互界面。GitHub 官方技能，需要安装该扩展。