mergemind

MergeMind 是一款集成于 CI 的合并请求分析器，旨在为需要提供代码变更审计证据的团队提供支持。它以 GitHub Action 或 GitLab CI 任务的形式运行，检查拉取/合并请求的 diff，并将结构化评估结果以评论或笔记的形式回贴至请求中。 ## 输出内容 针对每个拉取请求，该工具会生成： - 结构化的 PR 标题和摘要 - 风险等级评定（低 / 中 / 高） - 针对 SOX、SOC2 和 ISO 27001 控制项的合规映射（README 示例中，身份验证变更被映射至 SOX CC6.1、SOC2 CC6.1 和 ISO 27001 A.9.4） - 控制缺口分析 - 修复建议 README 展示了对比效果：将模糊的“更新了一些文件并修复了 bug”描述替换为带有标题的摘要、风险等级、控制映射、识别出的缺口（如 MFA 强制执行未被测试覆盖）以及在合并至 main 分支前建议采取的操作。 ## 运行方式 GitHub Actions：添加一个在 `pull_request`（opened, synchronize, reopened）时触发的工作流，使用 `fetch-depth: 0` 进行检出以解析 diff 范围，并调用 `gusinfosec/mergemind@v1`。必需的密钥为 `OPENAI_API_KEY`；许可密钥为可选。该 Action 需要 `contents: read` 和 `pull-requests: write` 权限，评论在首次推送时创建，随后在原位更新。 GitLab CI：README 指出 GitLab 路径目前仍需手动复制——将 `examples/gitlab-ci.yml` 复制到仓库中（或合并该任务），它会将 MergeMind 克隆到 `.mergemind` 目录并在其中运行分析。必需的 CI/CD 变量为 `OPENAI_API_KEY` 和具有 `api` 作用域的 `MERGEMIND_GITLAB_TOKEN` 个人访问令牌（用于发布 MR 笔记）；`MERGEMIND_GITLAB_HOST` 用于支持自托管实例，默认为 gitlab.com。单行 Action 封装仅适用于 GitHub Actions。 ## 许可与限制 免费层级涵盖 PR 标题、摘要及风险等级。合规映射、控制缺口分析、修复建议以及无令牌限制的全 diff 分析被列为仅限许可的功能。许可被描述为通过 Stripe 进行的一次性 29 美元购买，许可密钥存储为仓库/CI 密钥；README 同时声称存在无需密钥即可运行的免费层级。值得注意的是，仓库徽章显示为 MIT 许可证，而若干核心功能则受限于该付费密钥。 ## 描述的安全态势 处理过程在用户自己的 CI runner 中进行，API 密钥作为 CI 密钥保存，且 README 声称不会在外部存储代码。尽管如此，diff 仍会被发送至 OpenAI API 进行分析，用户应根据自身的数据处理要求对此进行确认。 ## 实际考量 在采用之前，请预留 OpenAI API 密钥及每次运行的模型成本预算，决定将 diff 发送给外部模型提供商是否符合相关仓库的安全要求，并将控制映射视为评审提示而非审计意见。该项目由 Cyber Global Technologies LLC 发布，支持联系方式为 team@mergemind.dev；企业咨询请发送至 info@cyberglobal.ai。