Prompt file imported from achimdehnert/platform (.windsurf/workflows/agent-review.md). Copyright stays with the author.

Agent Review Workflow

Name: agent-review
Author: achimdehnert

Rolle (ADR-100): Review Agent übernimmt systematische PR-Qualitätsprüfung. Cascade (Tech Lead) wird nur bei ADR-Compliance-Verstößen oder Gate-2-Decisions involviert.

Wann verwenden

Bei jedem PR gegen main (automatisch via GitHub Actions, sobald implementiert)
Manuell: wenn du einen PR vor dem Merge reviewen willst
Als Pre-Commit-Check für größere Änderungen

Step 1: Gate-0-Checks (blockierend — kein Merge ohne grün)

# Ruff
ruff check . --output-format=github

# Bandit
bandit -r . -ll -q

Bei Fehlern → sofort stoppen, Developer benachrichtigen. Kein Weiter.

Step 2: ADR-Compliance prüfen (Gate 1 — blockierend)

# Via platform-context MCP
<platform-context-mcp>_check_violations(code_snippet=<diff>, file_type=<file_type>)

Prüft gegen alle aktiven ADR-Regeln:

Keine Inline-Styles in Python-Views (ADR-048)
Kein hardcoded SQL (ADR-022)
Service-Layer-Pattern (ADR-041)
Keine os.environ direkt in Views (ADR-045)

Bei Verletzung → Kommentar auf PR + Block.

Step 3: Platform-Patterns (Gate 1 — blockierend)

<platform-context-mcp>_get_banned_patterns(context="all")

Prüft auf bekannte Anti-Patterns:

Direkter DB-Zugriff in Templates
print() statt logging
Hardcoded Credentials / URLs
except: ohne Exception-Typ

Step 4: Coverage-Delta (Warnung — kein Block)

# Coverage vor und nach dem Change vergleichen
coverage run -m pytest
coverage report --fail-under=0  # nur für Delta-Berechnung

Wenn Coverage sinkt → Warnung im PR-Kommentar, aber kein Block.

Step 5: Migration-Safety (Warnung)

Prüft neue Migrations auf:

RunPython ohne reverse_code → Warnung
ALTER TABLE auf großen Tabellen → Warnung
NOT NULL ohne Default auf existierende Spalten → Block

grep -r "RunPython" apps/*/migrations/*.py

Step 6: PR-Kommentar generieren

Review-Report als strukturierter PR-Kommentar:

## Review Agent Report

### Gate-0 (Pflicht)
- Ruff: ✅ / ❌ N Fehler
- Bandit: ✅ / ❌ N Issues

### Gate-1 (Pflicht)
- ADR-Compliance: ✅ / ❌ Verstöße
- Platform-Patterns: ✅ / ❌ Anti-Patterns

### Warnungen
- Coverage-Delta: +X% / -X%
- Migration-Safety: ✅ / ⚠️ Details

### Ergebnis
✅ **APPROVED** — bereit für Tech Lead Review
❌ **CHANGES REQUESTED** — blockierende Issues (siehe oben)

### Bericht-Schluss (Pflicht — evidence-discipline Punkt 7)
- **getan:** …
- **angenommen:** …
- **nicht verifizierbar:** …
- **offen geblieben:** …

Der Vierer ist nicht optional. Ein Report ohne ihn gilt als unvollständig, auch wenn alle Gates grün sind — er trennt „geprüft" von „unterstellt", und genau diese Trennung geht sonst in der Formulierung unter.

Null Befunde ⇒ Rechenschaft, nicht Haken (evidence-discipline Punkt 8). Meldet der Lauf keinen einzigen Befund, gehört unter angenommen bzw. nicht verifizierbar, was erfolglos versucht wurde — welche Datei-/Pattern-Klassen abgesucht wurden und welche nicht. Ohne das ist „nichts gefunden" nicht von „nicht hingesehen" zu unterscheiden.

Cascade-Involvement (Tech Lead Gate 2)

Cascade wird nur involviert bei:

ADR-Compliance-Verletzung die unklar ist (Grauzone)
Neues Pattern das noch nicht in ADRs erfasst ist
coverage_delta < -5% (signifikanter Rückgang)
Migrations mit potenziellem Datenverlust

Referenzen

ADR-100: Erweitertes Agent-Team
ADR-066: AI Engineering Squad
ADR-081: Agent Guardrails & Code Safety
agent_team_config.yaml → review_agent
/agentic-coding → Step 6 (Guardian) wird durch Review Agent ergänzt

# Agent Review Workflow > **Rolle (ADR-100)**: Review Agent übernimmt systematische PR-Qualitätsprüfung. > Cascade (Tech Lead) wird nur bei ADR-Compliance-Verstößen oder Gate-2-Decisions involviert. --- ## Wann verwenden - Bei jedem PR gegen `main` (automatisch via GitHub Actions, sobald implementiert) - Manuell: wenn du einen PR vor dem Merge reviewen willst - Als Pre-Commit-Check für größere Änderungen --- ## Step 1: Gate-0-Checks (blockierend — kein Merge ohne grün) ```bash # Ruff ruff check . --output-format=github # Bandit bandit -r . -ll -q ``` Bei Fehlern → **sofort stoppen**, Developer benachrichtigen. Kein Weiter. --- ## Step 2: ADR-Compliance prüfen (Gate 1 — blockierend) ```python # Via platform-context MCP <platform-context-mcp>_check_violations(code_snippet=<diff>, file_type=<file_type>) ``` Prüft gegen alle aktiven ADR-Regeln: - Keine Inline-Styles in Python-Views (ADR-048) - Kein hardcoded SQL (ADR-022) - Service-Layer-Pattern (ADR-041) - Keine `os.environ` direkt in Views (ADR-045) Bei Verletzung → Kommentar auf PR + Block. --- ## Step 3: Platform-Patterns (Gate 1 — blockierend) ```python <platform-context-mcp>_get_banned_patterns(context="all") ``` Prüft auf bekannte Anti-Patterns: - Direkter DB-Zugriff in Templates - `print()` statt `logging` - Hardcoded Credentials / URLs - `except:` ohne Exception-Typ --- ## Step 4: Coverage-Delta (Warnung — kein Block) ```bash # Coverage vor und nach dem Change vergleichen coverage run -m pytest coverage report --fail-under=0 # nur für Delta-Berechnung ``` Wenn Coverage sinkt → Warnung im PR-Kommentar, aber kein Block. --- ## Step 5: Migration-Safety (Warnung) Prüft neue Migrations auf: - `RunPython` ohne `reverse_code` → Warnung - `ALTER TABLE` auf großen Tabellen → Warnung - `NOT NULL` ohne Default auf existierende Spalten → **Block** ```bash grep -r "RunPython" apps/*/migrations/*.py ``` --- ## Step 6: PR-Kommentar generieren Review-Report als strukturierter PR-Kommentar: ```markdown ## Review Agent Report ### Gate-0 (Pflicht) - Ruff: ✅ / ❌ N Fehler - Bandit: ✅ / ❌ N Issues ### Gate-1 (Pflicht) - ADR-Compliance: ✅ / ❌ Verstöße - Platform-Patterns: ✅ / ❌ Anti-Patterns ### Warnungen - Coverage-Delta: +X% / -X% - Migration-Safety: ✅ / ⚠️ Details ### Ergebnis ✅ **APPROVED** — bereit für Tech Lead Review ❌ **CHANGES REQUESTED** — blockierende Issues (siehe oben) ### Bericht-Schluss (Pflicht — evidence-discipline Punkt 7) - **getan:** … - **angenommen:** … - **nicht verifizierbar:** … - **offen geblieben:** … ``` **Der Vierer ist nicht optional.** Ein Report ohne ihn gilt als unvollständig, auch wenn alle Gates grün sind — er trennt „geprüft" von „unterstellt", und genau diese Trennung geht sonst in der Formulierung unter. **Null Befunde ⇒ Rechenschaft, nicht Haken (evidence-discipline Punkt 8).** Meldet der Lauf keinen einzigen Befund, gehört unter `angenommen` bzw. `nicht verifizierbar`, **was erfolglos versucht wurde** — welche Datei-/Pattern-Klassen abgesucht wurden und welche nicht. Ohne das ist „nichts gefunden" nicht von „nicht hingesehen" zu unterscheiden. --- ## Cascade-Involvement (Tech Lead Gate 2) Cascade wird **nur** involviert bei: - ADR-Compliance-Verletzung die unklar ist (Grauzone) - Neues Pattern das noch nicht in ADRs erfasst ist - `coverage_delta < -5%` (signifikanter Rückgang) - Migrations mit potenziellem Datenverlust --- ## Referenzen - ADR-100: Erweitertes Agent-Team - ADR-066: AI Engineering Squad - ADR-081: Agent Guardrails & Code Safety - `agent_team_config.yaml` → `review_agent` - `/agentic-coding` → Step 6 (Guardian) wird durch Review Agent ergänzt

{ "prompt": "# Agent Review Workflow\n\n> **Rolle (ADR-100)**: Review Agent übernimmt systematische PR-Qualitätsprüfung.\n> Cascade (Tech Lead) wird nur bei ADR-Compliance-Verstößen oder Gate-2-Decisions involviert.\n\n---\n\n## Wann verwenden\n\n- Bei jedem PR gegen `main` (automatisch via GitHub Actions, sobald implementiert)\n- Manuell: wenn du einen PR vor dem Merge reviewen willst\n- Als Pre-Commit-Check für größere Änderungen\n\n---\n\n## Step 1: Gate-0-Checks (blockierend — kein Merge ohne grün)\n\n```bash\n# Ruff\nruff check . --output-format=github\n\n# Bandit\nbandit -r . -ll -q\n```\n\nBei Fehlern → **sofort stoppen**, Developer benachrichtigen. Kein Weiter.\n\n---\n\n## Step 2: ADR-Compliance prüfen (Gate 1 — blockierend)\n\n```python\n# Via platform-context MCP\n<platform-context-mcp>_check_violations(code_snippet=<diff>, file_type=<file_type>)\n```\n\nPrüft gegen alle aktiven ADR-Regeln:\n- Keine Inline-Styles in Python-Views (ADR-048)\n- Kein hardcoded SQL (ADR-022)\n- Service-Layer-Pattern (ADR-041)\n- Keine `os.environ` direkt in Views (ADR-045)\n\nBei Verletzung → Kommentar auf PR + Block.\n\n---\n\n## Step 3: Platform-Patterns (Gate 1 — blockierend)\n\n```python\n<platform-context-mcp>_get_banned_patterns(context=\"all\")\n```\n\nPrüft auf bekannte Anti-Patterns:\n- Direkter DB-Zugriff in Templates\n- `print()` statt `logging`\n- Hardcoded Credentials / URLs\n- `except:` ohne Exception-Typ\n\n---\n\n## Step 4: Coverage-Delta (Warnung — kein Block)\n\n```bash\n# Coverage vor und nach dem Change vergleichen\ncoverage run -m pytest\ncoverage report --fail-under=0 # nur für Delta-Berechnung\n```\n\nWenn Coverage sinkt → Warnung im PR-Kommentar, aber kein Block.\n\n---\n\n## Step 5: Migration-Safety (Warnung)\n\nPrüft neue Migrations auf:\n- `RunPython` ohne `reverse_code` → Warnung\n- `ALTER TABLE` auf großen Tabellen → Warnung \n- `NOT NULL` ohne Default auf existierende Spalten → **Block**\n\n```bash\ngrep -r \"RunPython\" apps/*/migrations/*.py\n```\n\n---\n\n## Step 6: PR-Kommentar generieren\n\nReview-Report als strukturierter PR-Kommentar:\n\n```markdown\n## Review Agent Report\n\n### Gate-0 (Pflicht)\n- Ruff: ✅ / ❌ N Fehler\n- Bandit: ✅ / ❌ N Issues\n\n### Gate-1 (Pflicht)\n- ADR-Compliance: ✅ / ❌ Verstöße\n- Platform-Patterns: ✅ / ❌ Anti-Patterns\n\n### Warnungen\n- Coverage-Delta: +X% / -X%\n- Migration-Safety: ✅ / ⚠️ Details\n\n### Ergebnis\n✅ **APPROVED** — bereit für Tech Lead Review\n❌ **CHANGES REQUESTED** — blockierende Issues (siehe oben)\n\n### Bericht-Schluss (Pflicht — evidence-discipline Punkt 7)\n- **getan:** …\n- **angenommen:** …\n- **nicht verifizierbar:** …\n- **offen geblieben:** …\n```\n\n**Der Vierer ist nicht optional.** Ein Report ohne ihn gilt als unvollständig, auch\nwenn alle Gates grün sind — er trennt „geprüft\" von „unterstellt\", und genau diese\nTrennung geht sonst in der Formulierung unter.\n\n**Null Befunde ⇒ Rechenschaft, nicht Haken (evidence-discipline Punkt 8).** Meldet der\nLauf keinen einzigen Befund, gehört unter `angenommen` bzw. `nicht verifizierbar`, **was\nerfolglos versucht wurde** — welche Datei-/Pattern-Klassen abgesucht wurden und welche\nnicht. Ohne das ist „nichts gefunden\" nicht von „nicht hingesehen\" zu unterscheiden.\n\n---\n\n## Cascade-Involvement (Tech Lead Gate 2)\n\nCascade wird **nur** involviert bei:\n- ADR-Compliance-Verletzung die unklar ist (Grauzone)\n- Neues Pattern das noch nicht in ADRs erfasst ist\n- `coverage_delta < -5%` (signifikanter Rückgang)\n- Migrations mit potenziellem Datenverlust\n\n---\n\n## Referenzen\n\n- ADR-100: Erweitertes Agent-Team\n- ADR-066: AI Engineering Squad\n- ADR-081: Agent Guardrails & Code Safety\n- `agent_team_config.yaml` → `review_agent`\n- `/agentic-coding` → Step 6 (Guardian) wird durch Review Agent ergänzt", "variables": [], "notes": "Review Agent — automatisierter PR-Review gegen ADRs, Ruff, Bandit, Platform-Patterns (ADR-100)", "metadata": { "source": { "provider": "github-windsurf-workflows", "repository": "https://github.com/achimdehnert/platform", "path": ".windsurf/workflows/agent-review.md", "ref": "f87117d3d18ba25bf9a796dce5dee294fbf89b79", "url": "https://github.com/achimdehnert/platform/blob/f87117d3d18ba25bf9a796dce5dee294fbf89b79/.windsurf/workflows/agent-review.md", "key": "achimdehnert/platform/.windsurf/workflows/agent-review.md" } } }

agent-review

About