MergePilot

自托管的多 Agent PR 审查工作台。审查留痕，合并由维护者决定。

官网 · 快速开始 · 使用文档 · 下载与校验

MergePilot 接入你的仓库（GitHub App + Gitee 连接），把 PR 事件、审查发现（静态规则 + LLM 第二阶段）、修复建议与验证证据汇集到你自己的 Console。维护者可在 Console 内逐次 「预览 → 确认」完成三类受控远端写：发布审查评论、应用修复（机器人以自己的身份向 PR 分支提交修复 commit，新 head 自动重审）、**确认合并（统一资格门：当前 head 审查完成

• 真实 CI 通过 + mergeable 已知，缺一不放行）**。系统不自动改代码、不自动合并、不设 required check、不绕过平台保护。当前为 Developer Beta（rc.35.6-rc8 口径）， 能力边界见能力矩阵。维护者生产实例已受控换版至该版本（真实浏览器 OAuth 登录验收与连续观察通过；auditor 等其余角色的登录验收尚未执行）。

界面

rc.16 测试环境的真实历史数据；账号、组织与角色信息已打码。阻断与异常为演练状态，不代表所有部署的运行情况。

它如何工作

PR 事件接入 → 审查发现 → 按策略进入修复与验证 → Console 展示结果。

四个 Agent 角色各司其职，不代表四个 LLM，也不代表每个 PR 都执行全部环节：

角色	职责
Reviewer	审查代码，产出发现与建议
Fixer	生成修复建议与验证证据（此阶段零远端写入）
Verifier	独立验证，记录判定与证据
Leader	编排与裁决；内部确定性策略保留管线终裁权

内部 Leader 决定的是管线状态，维护者决定的是是否应用与合并。高危 finding 的修复需人工审批； 机器人提交与合并各自独立确认；Agent 的建议与可执行验证证据应分开看待。

• 团队协作：GitHub OAuth + 邀请制登录、五角色 RBAC、应用层多租户隔离与审计。
• 修复验证：AgentTeams 执行器独立部署（deploy/agentteams/qwenpaw-v124/install-agentteams-full.sh 一键安装，console 侧经 docker-compose.agentteams.yml 声明式网络接线，重建免手工 connect）；未配置或不就绪时，该环节 fail-closed。
• 可选知识库：本地 RAG 检索团队规范，结果仅作为参考，不自动成为审查结论。

开始使用

Console、数据库和部署配置由你自行管理；官网是文档入口，不是托管版 Console 或登录入口。

1. 阅读快速开始，准备 Docker Compose、Node.js ≥ 20、GitHub App、OAuth App 和审查用的 LLM 端点。
2. 选择 rc.35.6-rc8.4.1 部署包（安全修复版；镜像 OCI index ghcr.io/nghqqa/mergepilot-console@sha256:c874b4d88ef67387401caf5b04d94ee9d4aa2fd9c6254301fc167a9d5505cbd3；离线 tar、SHA256SUMS、SBOM 和扫描记录见该 Release 与下载与校验），或使用下面的仓库部署方式。
3. 按部署指南完成配置和首管理员初始化，再登录你自己的 Console。**觉得安装手续太多？**把仓库里的 INSTALL-WITH-AI.md 整段复制给你的 AI 编码助手，让它带你逐步执行（每步都有可校验判据），或遇到卡点把该文件与报错一起交给 AI 排障。
4. 日常使用与验收：用户指南（含受邀用户/自托管管理员两条首次使用路径）、验收清单。

从仓库部署

以下使用 main 的部署文件；deploy/selfhost/docker-compose.yml 当前已 pin 到 rc.35.6-rc8.4.1 官方 index digest（pgvector 与 bge-sidecar digest 亦已钉死）——升级时按 目标 Release 说明改到对应不可变 digest。

git clone https://github.com/nghqqa/MergePilot.git
cd MergePilot/deploy/selfhost
cp .env.example .env
# 按部署指南填写 .env；Linux/macOS 下执行 chmod 600 .env
node preflight.mjs
docker compose --env-file .env up -d
node preflight.mjs --live

本机登录地址：http://127.0.0.1:48500/login。容器健康不等于审查链路就绪：还需核实身份初始化、 Webhook 接收、LLM 调用，以及可选的修复验证执行器。

• 首次管理员：生产关闭 fixture 登录；首个 platform_admin 需部署者在数据库初始化。见首管理员步骤。
• 成员邀请：管理员绑定成员的 GitHub 数字 ID、租户、角色与有效期；成员打开自己部署实例的 /login?invite=<invite_id>。无公共注册，邀请不能授予 platform_admin。
• 网络入口：OAuth callback 和邀请地址需由登录者浏览器访问；127.0.0.1 只适用于本机。自动 Webhook 需 GitHub 服务端可达的 HTTPS 入口。Console 与 Webhook 的地址、端口和反代配置见部署指南。

使用前的边界

• 自托管不等于零出站：配置外部 LLM 后，脱敏 PR 元数据、finding 摘要与相关 diff 片段会发送到你配置的端点。详见数据出站说明。
• 写操作全部受控：机器人提交与合并都需维护者逐次「预览 → 确认」；平台分支保护照常生效、不被绕过；容器/镜像回滚不能撤销已发生的远端提交或合并（远端回退只能在平台上 revert）。外部执行器应独立审查其权限和配置。
• 能力边界如实标注：Gitee 当前连接器不支持读取 CI 状态（Gitee 仓库的合并会被资格门阻塞）；审查完成 ≠ CI 通过；可应用 ≠ 修复正确；旧 head 的审查与验证不能证明新 head 合格。详见能力矩阵。
• Beta 不含企业能力：无 PostgreSQL RLS、SSO/SCIM、HA 或配额限流；当前多租户隔离在应用层实施。
• 扫描结果有时效：Release 中的 SBOM 与安全扫描是该制品的发布时点记录，不构成永久无漏洞保证。

数据出站说明

数据出站说明

默认 MU_LLM_PROVIDER=disabled 时，LLM 调用不发起网络请求。显式配置 OpenAI 兼容端点后， Reviewer 审查上下文包含脱敏 PR 元数据、最多 50 条 finding 摘要及相关 diff 片段，总载荷不超过 24KB； 常见密钥格式会被掩码，但部署者仍需审查所选服务的数据处理政策。

AgentTeams 是独立执行器，不是所有角色统一走外部 LLM。可选 cchain 用于部署自证； BLOCKED 默认为状态呈现，仅显式启用 MERGEPILOT_CCHAIN_ENFORCE=1 时门控修复验证启动。 配置、审计和运行细节见部署指南与AgentTeams 手册。

文档与反馈

要做什么	入口
浏览产品与文档	官网 · 文档索引
安装、配置、登录与邀请	自托管部署指南 · 分步部署指南 · BETA-GUIDE
日常使用 / 排障 / 验收	用户指南 · 排障手册 · 验收清单
部署修复验证执行器	AgentTeams RUNBOOK
配置本地知识库	本地 RAG 指南
深入架构、API 与能力限制	技术文档目录
查看发布与变更	Releases · CHANGELOG
报告问题或参与贡献	Issues · CONTRIBUTING

安全问题请勿在公开 Issue 披露漏洞细节或凭据；可仅留下联系方式，由维护者接洽。 安全设计见 SECURITY。

Apache-2.0 · LICENSE

比赛与演示时代的资料仅作历史记录，不作为当前安装或能力承诺依据。