Отревьюить чужой MR или PR

Вам прислали MR или PR. Нужно разобрать его по коду, а не по заголовку, и оставить замечания там, где их увидит автор.


Ставлю	бандл `code-review`
Запускаю	`/dex-mr-reviewer:mr-review`
Нужно	`gh` для GitHub или `glab` для GitLab (либо MCP-сервер хостинга) с авторизацией

Шаги

./install-bundle/install-bundle.sh code-review

В сессии, внутри клона репозитория (или с адресом MR):

/dex-mr-reviewer:mr-review owner/repo#42

Для GitLab ссылка выглядит как group/project!42. Вместо short-id можно передать URL. Необязательно: описание задачи для сверки с критериями успеха и LAST_REVIEW_SHA, если sha прошлого ревью не выводится из истории комментариев.

Что произойдёт

Первая ревизия. Специалист mr-reviewer строит карту изменений, проходит diff по осям риска, пытается опровергнуть собственные находки и расставляет severity, confidence и scope.
Безопасность. Если diff трогает аутентификацию, авторизацию, внешний ввод, секреты или границу доверия, подключается security-reviewer с моделью угроз. Если не трогает, в отчёте появится строка «security: n/a» с пояснением.
Публикация. Находки идут отчётом, затем черновиками тредов. В MR ничего не пишется, пока вы не дали команды: оформляй, затем пушь.
После правок автора. Повторный вызов на том же MR запускает mr-check-reviewer: он смотрит только изменения с прошлого раза и называет статус прежних находок.

Ограничения и частые ошибки

Запись в MR только по пушь. До этой команды в MR не пишется ни одной строки. Approve и unapprove команда не делает, чужие треды не трогает.
Сбой публикации. При ошибке публикации команда останавливается и докладывает, что ушло, а что нет. Одним общим комментарием вместо тредов она не подменяет.
Повторный вызов смотрит дельту. После правок автора ревьюится только то, что изменилось с прошлого раза. Полный повторный разбор запускается командой полный.
Низкая уверенность. Находка, которую не удалось подтвердить, идёт в блок «перепроверить», а не в треды.
Нет доступа. Без авторизации в gh или glab (либо MCP-сервера хостинга) MR не прочитать и находки не опубликовать. Проверьте gh auth status или glab auth status.

Дальше

Если ревью получили вы: Разобрать полученное ревью.
Страница плагина: dex-mr-reviewer.