GitHub Actions에서 Claude Code로 PR 자동 리뷰 만들기토큰과 워크플로 설정

안녕하세요, muaco입니다.

이 글로 할 수 있는 일

이 글을 따라 하면 PR을 열 때마다 Claude Code가 코드를 읽고 리뷰 댓글을 자동으로 남깁니다. 문제를 찾으면 해당 줄에 댓글을 달고, 찾지 못하면 요약 댓글 하나로 끝냅니다.

PR(풀 리퀘스트)은 회사의 결재 요청서와 닮았습니다. 바꾼 코드를 본 줄기에 합쳐 달라고 올리는 서류입니다. 이렇게 코드가 올라올 때마다 정해 둔 검사를 자동으로 돌리는 방식을 CI(지속적 통합)라고 부릅니다.

GitHub에서 그 검사를 맡는 당번이 GitHub Actions이고, 당번에게 건네는 지시서가 워크플로 파일입니다.

미리 갖춰야 할 준비물

• GitHub 저장소와 관리자(admin) 권한. 권한이 없다면 저장소 주인에게 먼저 부탁하세요.
• Claude 인증 수단 하나. Claude Console(platform.claude.com)에서 만든 API 키와 Pro, Max, Ultra, Team, Enterprise 요금제 구독 가운데 하나를 고르세요. 구독을 쓴다면 토큰을 뽑을 Claude Code가 내 컴퓨터에 깔려 있어야 합니다.
• 실행 비용. 한 번 돌 때마다 GitHub Actions 실행 시간(분 단위)과 Claude API 사용량이 함께 듭니다. 구독 토큰으로 인증하면 API 요금 대신 구독에서 쓰입니다.

Claude Code를 이미 쓰고 있다면 지름길 명령을 써 보세요. claude를 켜고 /install-github-app을 입력하면 앱 설치부터 워크플로 PR 준비까지 대신 해 줍니다. 다만 github.com 저장소 전용이고, GitHub CLI와 gh auth login 로그인이 먼저 필요합니다.

그런데 이 글은 왜 같은 일을 손으로 하나씩 할까요? 토큰과 지시서가 각각 무슨 일을 하는지 알아야, 막혔을 때 스스로 풀 수 있습니다. 전체 흐름은 이렇습니다.

따라 하기: 리뷰 당번 세우기

준비: 출입증과 열쇠

설정: 워크플로 파일

name: Code Review
on:
  pull_request:
    types: [opened, synchronize, ready_for_review, reopened]
jobs:
  review:
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: read
      issues: read
      id-token: write
    steps:
      - uses: actions/checkout@v6
        with:
          fetch-depth: 1
      - uses: anthropics/claude-code-action@v1
        with:
          anthropic_api_key: ${{ secrets.ANTHROPIC_API_KEY }}
          plugin_marketplaces: "https://github.com/anthropics/claude-plugins-official.git"
          plugins: "code-review@claude-plugins-official"
          prompt: "/code-review:code-review --comment ${{ github.repository }}/pull/${{ github.event.pull_request.number }}"
          claude_args: '--allowedTools "mcp__github_inline_comment__create_inline_comment"'

지시서에서 눈여겨볼 줄은 둘입니다. 나머지는 손대지 않아도 됩니다.

• --comment: 리뷰를 PR에 댓글로 올립니다. 빼면 댓글이 달리지 않고 실행 기록에만 남습니다.
• claude_args 줄: 줄마다 댓글을 다는 도구를 켭니다. 플러그인 쪽에 같은 도구가 적혀 있어도 이 줄이 있어야 도구가 시작됩니다.

점검: 12월 2일 규칙

PR이 열리거나 댓글이 달리는 일처럼 당번을 깨우는 신호를 이벤트라고 부릅니다. 2026년 12월 2일부터 GitHub는 공개 저장소에서 pull_request_target 이벤트로 실행되는 워크플로를 기본으로 막습니다.

내 저장소도 해당할까요? Actions 이벤트 정책을 따로 정해 두지 않았고, 정식 출시(GA) 전부터 pull_request_target 기본 정책을 써 온 공개 저장소가 대상입니다. 비공개·내부 저장소는 해당하지 않습니다.

확인: 시험 PR 열기