Безопасная интеграция Claude Code с GitHub строится вокруг ветки, проверок и pull request, а не вокруг автоматической записи прямо в main.

Правильный процесс выглядит так: issue → отдельная ветка → план → изменения → тесты → diff → draft pull request → CI → человеческое review. Claude Code может помочь на каждом этапе, но не должен незаметно превращать запрос в изменения основной ветки.

Подготовьте репозиторий

  • защитите main от прямого push;
  • включите обязательные проверки CI;
  • определите владельцев review;
  • храните правила проекта в CLAUDE.md;
  • исключите .env, ключи и локальные выгрузки через .gitignore;
  • выдайте GitHub App доступ только к нужным репозиториям.

Шаг 1. Создайте понятную задачу

Issue должен содержать проблему, ожидаемый результат, ограничения и acceptance checks. Не поручайте агенту угадывать бизнес-логику.

Исправь мобильное меню по issue #42. Работай в отдельной ветке. Не меняй зависимости. Сначала предложи план. Готово, когда проходят существующие тесты, меню открывается с клавиатуры и diff не затрагивает другие страницы.

Шаг 2. Работайте в ветке или worktree

Сохраните чистое исходное состояние. Параллельные задачи держите в отдельных рабочих копиях. Это уменьшает конфликты и делает откат понятным.

Шаг 3. Проверьте план и права

Убедитесь, что агент понял issue и не собирается менять инфраструктуру. Сетевой доступ, установка пакетов, push и создание PR должны быть осознанными действиями.

Шаг 4. Просмотрите diff

Проверяйте не только нужный компонент, но и полный список файлов. Красные флаги:

  • неожиданная зависимость;
  • удаление тестов;
  • секрет в конфигурации;
  • изменение workflow CI;
  • большой рефакторинг вне задачи.

Шаг 5. Запустите тесты

Попросите перечислить команды и результаты, затем дайте CI повторить проверку в чистой среде. «На моей машине работает» не заменяет CI.

Шаг 6. Откройте draft PR

Claude Code on the web поддерживает diff, inline-комментарии и создание PR. Начинайте с draft: он показывает, что работа ещё проверяется.

Описание PR должно содержать:

  • что изменено;
  • почему выбран этот подход;
  • как проверить;
  • какие тесты прошли;
  • что не проверено;
  • риски и скриншоты UI.

Шаг 7. Человек принимает решение

Автоматический review и auto-fix могут помочь, но не заменяют владельца кода. Любой автоматический ответ в GitHub может публиковаться от связанного аккаунта — заранее определите политику команды.

GitHub Actions

Официальный Claude Code Action поддерживает реакции на issue/PR comments и заданные workflow. Храните API key только в GitHub Secrets, ограничивайте events и permissions, фиксируйте версию action и проверяйте внешний код до подключения.

Чеклист merge

  • PR не меняет лишние файлы.
  • Нет секретов и широких permissions.
  • CI зелёный.
  • Acceptance checks проверены.
  • UI просмотрен вручную.
  • Есть человеческое approval.
  • Понятен откат.

Итог

GitHub делает работу агента проверяемой: изменения видны, CI воспроизводим, а решение сохраняется в review. Начинайте с гайда Claude Code, затем превращайте повторяемый процесс в Skill.