OpenQodex 푸시 전 코드 리뷰

무엇을 해주나

• npx openqodex review 한 줄로 아직 푸시하지 않은 커밋 + 미커밋/미추적 변경분을 한꺼번에 검사합니다.
• 변경된 파일 종류에 맞는 스캐너만 선별 실행합니다: gitleaks(시크릿), semgrep, bandit(파이썬), hadolint(Dockerfile), shellcheck, actionlint, osv-scanner(의존성 취약점) 등.
• 스캐너 결과를 그대로 뿌리지 않고, 별도의 Claude Code/Codex 리뷰어 프로세스가 모든 발견 항목과 변경 라인을 다시 검토해 오탐을 걸러냅니다.
• 결과는 짧은 영수증(verdict + 항목별 한 줄)과 report.html / report.md / report.json / report.sarif 전체 리포트로 나옵니다.
• 에이전트 동작 규칙이 명확합니다: 리뷰 중 코드 수정 금지, 사용자가 지목한 항목만 수정, blocked 판정 시 동의 없이 푸시 금지, 종료 코드 0/1/2별 대응.

이런 분께 추천

• 푸시 전에 시크릿 유출·명백한 취약점을 자동으로 걸러내고 싶은 개발자
• AI 에이전트에게 코드를 맡기면서 "에이전트가 스스로 리뷰했다"는 자기검증 문제를 피하고 싶은 팀
• PR 리뷰 전에 1차 자동 점검 게이트를 두고 싶은 소규모 팀 (block_on_severity 설정으로 차단 기준 지정 가능)

활용 예시

1. 푸시 직전 점검 — "푸시하기 전에 리뷰해줘" → review 실행 → 영수증 확인 → "1번, 3번만 고쳐줘" → findings 1,3로 상세 내용 확인 후 수정 → 재검사.
2. PR 리뷰 — npx -y openqodex@0.10.0 review '#42' 로 남의 PR을 임시 폴더에 체크아웃해 베이스 대비 추가분만 검토(해당 코드의 테스트·빌드는 절대 실행하지 않음).
3. 사내망/샌드박스 환경 — 에이전트 샌드박스에서 스캐너 다운로드가 막히면 개발자가 직접 터미널에서 doctor --install 한 번 실행해 ~/.openqodex/tools/에 스캐너를 미리 설치.

전제조건: Node(npx) 실행 환경, Claude Code 또는 Codex 로그인. brakeman/rubocop은 Ruby, golangci-lint는 Go 런타임이 필요하며 OpenQodex가 런타임을 설치해주지는 않습니다. semgrep은 룰팩을, osv-scanner는 의존성 이름·버전을 외부로 보내므로 민감한 환경에서는 --offline을 쓰세요.

이 파일의 지시를 읽고 그대로 따라서 나를 도와줘:
https://raw.githubusercontent.com/openqodex/openqodex/HEAD/plugins/codex/skills/openqodex/SKILL.md

내가 원하는 것: (여기에 하고 싶은 일을 쓰세요)

클로드스킬마트에서 찾은 스킬을 설치해줘.
GitHub 저장소 openqodex/openqodex 의 plugins/codex/skills/openqodex 폴더를 내 ~/.claude/skills/openqodex-openqodex/ 에 그대로 복사해줘.
설치가 끝나면 이 스킬로 무엇을 할 수 있는지 한 줄로 알려줘.