Claude Code HTTP Hooks × GitHub Actions 完全統合ガイド — 自動コードレビュー・テスト・デプロイを実現する本番設計パターン

// webhook-server/src/index.ts
import { Hono } from "hono";
import { cors } from "hono/cors";
import { bearerAuth } from "hono/bearer-auth";
import { Octokit } from "@octokit/rest";
 
type Bindings = {
  CLAUDE_HOOK_SECRET: string;
  GITHUB_TOKEN: string;
  REPO_OWNER: string;
  REPO_NAME: string;
};
 
const app = new Hono<{ Bindings: Bindings }>();
 
// CORS設定（必要な場合のみ）
app.use("*", cors({ origin: "https://claude.ai" }));
 
// ─── ファイル変更フック ───────────────────────────────────
app.post("/hooks/file-changed", bearerAuth({ token: (c) => c.env.CLAUDE_HOOK_SECRET }), async (c) => {
  const payload = await c.req.json();
 
  // ペイロードの型チェック
  const { tool_name, tool_input, tool_response, session_id } = payload;
  if (!tool_name || !session_id) {
    return c.json({ error: "Invalid payload" }, 400);
  }
 
  // 変更されたファイルパスを取得
  const filePath: string = tool_input?.path || tool_input?.file_path || "";
  const content: string = tool_response?.content || "";
 
  // .ts / .tsx ファイルの変更のみ処理
  if (!filePath.match(/\.(ts|tsx|js|jsx)$/)) {
    return c.json({ decision: "proceed", message: "Non-JS file, skipping check" });
  }
 
  // 簡易品質チェック（本番ではより高度なチェックを実装）
  const issues: string[] = [];
 
  // console.log の検出
  if (content.includes("console.log(")) {
    issues.push("⚠️ console.log が残っています");
  }
  // TODO コメントの検出
  const todoCount = (content.match(/\/\/ TODO/g) || []).length;
  if (todoCount > 3) {
    issues.push(`⚠️ TODO コメントが ${todoCount} 個あります`);
  }
  // ハードコードされたシークレットの簡易検出
  if (content.match(/["']([A-Za-z0-9+/]{40,})["']/)) {
    issues.push("🚨 ハードコードされたシークレットの可能性があります");
  }
 
  if (issues.length > 0) {
    return c.json({
      decision: "block",
      reason: `コード品質の問題を検出しました:\n${issues.join("\n")}`,
    });
  }
 
  return c.json({ decision: "proceed" });
});
 
// ─── セッション完了フック ──────────────────────────────────
app.post("/hooks/session-complete", bearerAuth({ token: (c) => c.env.CLAUDE_HOOK_SECRET }), async (c) => {
  const payload = await c.req.json();
  const { session_id, transcript_path } = payload;
 
  // GitHub PR へのコメント投稿（PR番号は環境変数経由）
  const prNumber = parseInt(process.env.GITHUB_PR_NUMBER || "0");
  if (prNumber > 0) {
    const octokit = new Octokit({ auth: c.env.GITHUB_TOKEN });
    await octokit.issues.createComment({
      owner: c.env.REPO_OWNER,
      repo: c.env.REPO_NAME,
      issue_number: prNumber,
      body: `## 🤖 Claude Code レビュー完了\n\nセッション ID: \`${session_id}\`\n\n自動レビューが完了しました。詳細はトランスクリプトを確認してください。`,
    });
  }
 
  return c.json({ success: true });
});
 
export default app;

# .github/workflows/claude-code-review.yml
name: Claude Code Review
 
on:
  pull_request:
    types: [opened, synchronize]
 
jobs:
  review:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: write
 
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with:
          fetch-depth: 0
 
      - name: Set up Node.js
        uses: actions/setup-node@v4
        with:
          node-version: "22"
 
      - name: Install Claude Code
        run: npm install -g @anthropic-ai/claude-code
 
      - name: Get changed files
        id: changed-files
        run: |
          CHANGED=$(git diff --name-only origin/${{ github.base_ref }}...HEAD | head -20)
          echo "files<<EOF" >> $GITHUB_OUTPUT
          echo "$CHANGED" >> $GITHUB_OUTPUT
          echo "EOF" >> $GITHUB_OUTPUT
 
      - name: Run Claude Code review
        env:
          ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
          CLAUDE_HOOK_SECRET: ${{ secrets.CLAUDE_HOOK_SECRET }}
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          GITHUB_PR_NUMBER: ${{ github.event.pull_request.number }}
        run: |
          # レビュー対象ファイルのリストを生成
          CHANGED_FILES="${{ steps.changed-files.outputs.files }}"
 
          # Claude Code によるレビュー実行（HTTP Hooks 付き）
          claude --dangerously-skip-permissions \
            --print \
            --settings .claude/settings.json \
            "以下の変更されたファイルをコードレビューしてください。
            バグ・セキュリティ問題・パフォーマンス問題・コーディング規約違反を重点的に確認し、
            改善点を具体的に指摘してください。
 
            変更ファイル:
            $CHANGED_FILES
 
            レビュー完了後、github_pr_comment ツールを使って結果をPRに投稿してください。" \
            2>&1 | tee review-output.txt
 
      - name: Post review results
        if: always()
        uses: actions/github-script@v7
        with:
          script: |
            const fs = require('fs');
            const output = fs.readFileSync('review-output.txt', 'utf8').slice(-3000);
            github.rest.issues.createComment({
              issue_number: context.issue.number,
              owner: context.repo.owner,
              repo: context.repo.repo,
              body: `## 🤖 Claude Code 自動レビュー\n\n\`\`\`\n${output}\n\`\`\``
            });

# .github/workflows/claude-auto-fix.yml
name: Claude Code Auto Fix
 
on:
  workflow_run:
    workflows: ["Tests"]
    types: [completed]
 
jobs:
  auto-fix:
    if: github.event.workflow_run.conclusion == 'failure'
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: write
      issues: write
 
    steps:
      - name: Checkout
        uses: actions/checkout@v4
 
      - name: Download test logs
        uses: actions/download-artifact@v4
        with:
          name: test-results
          run-id: ${{ github.event.workflow_run.id }}
          github-token: ${{ secrets.GITHUB_TOKEN }}
 
      - name: Analyze failures with Claude Code
        env:
          ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
          CLAUDE_HOOK_SECRET: ${{ secrets.CLAUDE_HOOK_SECRET }}
        run: |
          TEST_LOG=$(cat test-results.txt 2>/dev/null || echo "テストログを取得できませんでした")
 
          claude --dangerously-skip-permissions \
            --print \
            "以下のテスト失敗ログを解析してください。
 
            ===テストログ===
            $TEST_LOG
            ===
 
            1. 失敗の根本原因を特定してください
            2. 修正方法を具体的に説明してください
            3. 可能であれば修正コードのスニペットを提示してください
 
            回答は GitHub の PR コメントとして読みやすいマークダウン形式で出力してください。" \
            > fix-suggestion.txt 2>&1
 
      - name: Post fix suggestion
        uses: actions/github-script@v7
        with:
          script: |
            const fs = require('fs');
            const suggestion = fs.readFileSync('fix-suggestion.txt', 'utf8');
 
            // 最初のオープンな PR を探す
            const prs = await github.rest.pulls.list({
              owner: context.repo.owner,
              repo: context.repo.repo,
              state: 'open',
              head: context.ref
            });
 
            if (prs.data.length > 0) {
              await github.rest.issues.createComment({
                issue_number: prs.data[0].number,
                owner: context.repo.owner,
                repo: context.repo.repo,
                body: `## 🔧 Claude Code テスト失敗分析\n\n${suggestion}`
              });
            }

# .github/workflows/claude-version-bump.yml
name: Claude Code Version Bump
 
on:
  push:
    branches: [main]
 
jobs:
  version-bump:
    runs-on: ubuntu-latest
    permissions:
      contents: write
 
    steps:
      - name: Checkout
        uses: actions/checkout@v4
        with:
          fetch-depth: 10
          token: ${{ secrets.GITHUB_TOKEN }}
 
      - name: Determine version bump
        env:
          ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
        run: |
          COMMITS=$(git log --oneline -10)
          DIFF=$(git diff HEAD~5..HEAD --stat)
 
          BUMP_TYPE=$(claude --dangerously-skip-permissions --print \
            "以下のコミット履歴と差分から、セマンティックバージョニングに基づいて
            バージョンバンプの種別を判断してください。
            必ず 'patch', 'minor', 'major' のいずれか1語だけを出力してください。
 
            ルール:
            - 破壊的変更（Breaking Change）→ major
            - 新機能追加（後方互換あり）→ minor
            - バグ修正・リファクタリング → patch
 
            コミット履歴:
            $COMMITS
 
            変更ファイル統計:
            $DIFF" 2>&1 | tr -d '[:space:]')
 
          # 想定外の出力の場合はデフォルトを patch に
          if [[ "$BUMP_TYPE" != "patch" && "$BUMP_TYPE" != "minor" && "$BUMP_TYPE" != "major" ]]; then
            BUMP_TYPE="patch"
          fi
 
          echo "BUMP_TYPE=$BUMP_TYPE" >> $GITHUB_ENV
          echo "決定されたバージョンバンプ: $BUMP_TYPE"
 
      - name: Bump version
        run: |
          npm version ${{ env.BUMP_TYPE }} --no-git-tag-version
          git config user.email "bot@example.com"
          git config user.name "Claude Code Bot"
          git add package.json package-lock.json
          git commit -m "chore: bump version [${{ env.BUMP_TYPE }}] by Claude Code"
          git push

// Webhook ペイロードを受信する前にトークンを検証
const authHeader = request.headers.get("Authorization");
if (!authHeader || authHeader !== `Bearer ${env.CLAUDE_HOOK_SECRET}`) {
  return new Response("Unauthorized", { status: 401 });
}

import { createHmac, timingSafeEqual } from "crypto";
 
function verifyHmacSignature(
  payload: string,
  signature: string,
  secret: string
): boolean {
  const hmac = createHmac("sha256", secret);
  hmac.update(payload);
  const expected = `sha256=${hmac.digest("hex")}`;
  // タイミング攻撃を防ぐため timingSafeEqual を使用
  return timingSafeEqual(Buffer.from(expected), Buffer.from(signature));
}
 
// 使用例
const signature = request.headers.get("X-Claude-Signature") || "";
const body = await request.text();
if (!verifyHmacSignature(body, signature, env.CLAUDE_HOOK_SECRET)) {
  return new Response("Invalid signature", { status: 401 });
}

// ✅ 正しい：環境変数を参照
{
  "hooks": {
    "PostToolUse": [
      {
        "matcher": "Write",
        "hooks": [
          {
            "type": "http",
            "url": "${WEBHOOK_URL}",
            "headers": {
              "Authorization": "Bearer ${CLAUDE_HOOK_SECRET}"
            }
          }
        ]
      }
    ]
  }
}

// ❌ 誤り：シークレットをハードコード（GitHub Secret Scanning に検出される）
{
  "headers": {
    "Authorization": "Bearer YOUR_SECRET_TOKEN_HERE"
  }
}

// 高度な品質チェック例：ESLint + TypeScript 型チェック
async function runQualityCheck(filePath: string, content: string): Promise<{
  pass: boolean;
  issues: string[];
}> {
  const issues: string[] = [];
 
  // 1. ESLint チェック（メモリ上で実行）
  const eslintResult = await runEslint(content, filePath);
  if (eslintResult.errorCount > 0) {
    eslintResult.messages
      .filter((m) => m.severity === 2)
      .forEach((m) => issues.push(`ESLint エラー (L${m.line}): ${m.message}`));
  }
 
  // 2. TypeScript 型チェック（incremental）
  const tsResult = await runTsc(filePath, content);
  if (tsResult.errors.length > 0) {
    tsResult.errors
      .slice(0, 3) // 最大3件まで返す（過多なフィードバックを防ぐ）
      .forEach((e) => issues.push(`TypeScript エラー: ${e.messageText}`));
  }
 
  // 3. セキュリティパターンチェック
  const securityIssues = checkSecurityPatterns(content);
  issues.push(...securityIssues);
 
  return { pass: issues.length === 0, issues };
}

// Notification フックのハンドラー
app.post("/hooks/notification", bearerAuth(...), async (c) => {
  const { message, session_id } = await c.req.json();
 
  // Slack の Incoming Webhook に転送
  await fetch(c.env.SLACK_WEBHOOK_URL, {
    method: "POST",
    headers: { "Content-Type": "application/json" },
    body: JSON.stringify({
      text: `🤖 *Claude Code 進捗通知*\nセッション: \`${session_id}\`\n\n${message}`,
      channel: "#dev-automation",
    }),
  });
 
  return c.json({ success: true });
});

# wrangler.toml
name = "claude-hooks-server"
main = "src/index.ts"
compatibility_date = "2026-03-01"
 
[vars]
REPO_OWNER = "your-org"
REPO_NAME = "your-repo"
 
# シークレットは wrangler secret put で設定
# CLAUDE_HOOK_SECRET
# GITHUB_TOKEN
# SLACK_WEBHOOK_URL

# デプロイコマンド
wrangler deploy
 
# シークレットの設定
wrangler secret put CLAUDE_HOOK_SECRET
wrangler secret put GITHUB_TOKEN

# ローカルサーバーを起動
npm run dev  # localhost:8787 で起動
 
# ngrok でトンネル作成
ngrok http 8787
 
# .claude/settings.json の URL を ngrok URL に変更
# "url": "https://xxxx.ngrok-free.app/hooks/file-changed"

// webhook-server/src/logger.ts
type LogLevel = "info" | "warn" | "error" | "debug";
 
interface LogEntry {
  timestamp: string;
  level: LogLevel;
  event: string;
  session_id?: string;
  tool_name?: string;
  decision?: string;
  duration_ms?: number;
  [key: string]: unknown;
}
 
export function log(level: LogLevel, event: string, meta: Partial<LogEntry> = {}) {
  const entry: LogEntry = {
    timestamp: new Date().toISOString(),
    level,
    event,
    ...meta,
  };
  // Cloudflare Workers では console.log が Workers Logs にストリーム出力される
  console.log(JSON.stringify(entry));
}
 
// 使用例
const start = Date.now();
const result = await runQualityCheck(filePath, content);
log("info", "quality_check_complete", {
  session_id,
  tool_name,
  filePath,
  decision: result.pass ? "proceed" : "block",
  issue_count: result.issues.length,
  duration_ms: Date.now() - start,
});

// session_id を下流サービスへのヘッダーとして伝播する
async function callDownstreamService(
  url: string,
  payload: unknown,
  sessionId: string
) {
  return fetch(url, {
    method: "POST",
    headers: {
      "Content-Type": "application/json",
      "X-Session-Id": sessionId,
    },
    body: JSON.stringify(payload),
  }).then((r) => r.json());
}

# ヘルスチェックジョブ
check-webhook-health:
  runs-on: ubuntu-latest
  outputs:
    healthy: ${{ steps.health.outputs.healthy }}
  steps:
    - id: health
      run: |
        STATUS=$(curl -s -o /dev/null -w "%{http_code}" \
          https://your-webhook-server.example.com/health)
        if [ "$STATUS" = "200" ]; then
          echo "healthy=true" >> $GITHUB_OUTPUT
        else
          echo "healthy=false" >> $GITHUB_OUTPUT
          echo "⚠️ Webhook サーバー障害（ステータス $STATUS）— フックなしで続行"
        fi