用 n8n 自动审查 Terraform PR：GitHub + GPT-4.1 + Postgres + Slack

GitHub PR 触发 → AI Agent 调用工具（plan/安全扫描/成本估算/标准检索）→ 结构化评审 → Postgres 存档 + PR 评论 → 自动通过或 Slack 人工复核

给谁

需要为 Terraform 基础设施变更建立自动化代码审查与合规门禁的平台/安全工程师

你会得到

PR 提交后自动触发多维度评审（计划差异、安全、成本、组织标准），结果写入数据库并评论到 PR；无风险自动批准，高风险转 Slack 人工确认

你需要

n8n · github · openai · memory · ai-agent · slack

步骤

1. 配置 GitHub 触发器

   在 n8n 中导入工作流模板，配置 GitHub Trigger 节点：选择目标仓库的 owner 和 repository，事件类型选择 pull_request。确保 GitHub 凭证具有 repo 权限和 PR 读写访问权。

2. 提取 PR 元数据并获取差异

   工作流触发后，Set - Config 节点从 webhook payload 提取 prNumber、repoOwner、repoName、branch、prAuthor、prTitle，并生成 sessionId（格式：owner/repo#prNumber）。随后 Get - PR Diff 节点调用 GitHub API 获取该 PR 的完整信息作为评审上下文。

3. 运行 AI Agent 多工具评审

   AI Agent - Terraform Reviewer 节点接收 PR 上下文，绑定 OpenAI Chat Model（gpt-4.1）和 Window Buffer Memory（sessionId 作为会话键，保留 20 轮上下文）。Agent 按需调用四个工具：run_terraform_plan（HTTP 工具，只读 plan，禁止 apply）、run_security_scan（静态安全扫描）、estimate_cost_impact（月度成本增量）、search_iac_standards（向量存储 RAG 检索组织规范）。Agent 必须基于工具返回结果撰写评审，禁止猜测。

   运行提示词 · 来源原文。AI Agent - Terraform Reviewer 节点的 text 参数（promptType=define）

   复制提示词

   =You are a senior Platform/Security engineer reviewing a Terraform pull request before it can merge.
   
   Repo: {{ $json.repoOwner }}/{{ $json.repoName }} | Branch: {{ $json.branch }}
   PR #{{ $json.prNumber }} by {{ $json.prAuthor }}: "{{ $json.prTitle }}"
   
   You have four tools: run_terraform_plan (resource-level diff), run_security_scan (static security findings), estimate_cost_impact (monthly cost delta), search_iac_standards (org conventions/precedent). Use whichever combination is relevant — call multiple tools, and call them again with different parameters if needed — before writing your review. Do not guess plan output, scan findings, or cost numbers; only state what the tools returned.
   
   If earlier turns exist in this conversation (same PR), treat this as a re-review after a new push and note what changed since the prior review.
   
   Categorize findings under: security, cost, correctness (will the plan do what the PR claims), and standards (naming/tagging/module conventions). Assign each finding a severity ('low'|'medium'|'high'|'critical'). Set overallRisk to the highest severity present. List any 'critical' or 'high' security finding, or any plan output showing a destroy of a stateful resource (database, volume) as a blockingIssue requiring human sign-off.
   
   Return ONLY a JSON object (no markdown fences, no commentary) with keys: summary (2-4 sentences), findings (array of {category, description, severity}), overallRisk ('low'|'medium'|'high'|'critical'), verdict ('pass'|'flag_for_review'), blockingIssues (array of strings, empty if none), costImpactSummary (string).

4. 解析输出并发布评审结果

   Set - Parse Agent Output 节点用 JSON.parse 提取 agent 返回的结构化数据。Postgres - Log PR Review 节点将评审记录插入 terraform_pr_reviews 表（字段：pr_number, repo, author, findings, overall_risk, verdict, blocking_issues, cost_impact_summary, created_at）。GitHub - Post Review Comment 节点将格式化评审评论发布到 PR。

   运行提示词 · 来源原文。GitHub - Post Review Comment 节点的 body 参数

   复制提示词

   =### 🤖 Terraform Review — Verdict: {{ $json.parsedOutput.verdict.toUpperCase() }} (risk: {{ $json.parsedOutput.overallRisk }})
   
   {{ $json.parsedOutput.summary }}
   
   **Findings**
   {{ $json.parsedOutput.findings.map(f => '- [' + f.severity + '] (' + f.category + ') ' + f.description).join('\n') }}
   
   **Cost impact:** {{ $json.parsedOutput.costImpactSummary }}
   
   {{ $json.parsedOutput.blockingIssues.length ? '**Blocking issues requiring human sign-off:**\n' + $json.parsedOutput.blockingIssues.join('\n') : 'No blocking issues.' }}

5. 条件审批或安全升级

   IF - Review Passed 节点判断 verdict。若为 pass，GitHub - Approve PR (auto) 自动批准合并。若为 flag_for_review，Slack - Request Security Review 发送告警到指定频道（如 #terraform-security-review），Wait - For Security Sign-Off 暂停等待人工回调。人工通过 webhook 回复 securityApproved=true 后，IF - Security Approved 路由至 GitHub - Approve PR (delayed)；否则 GitHub - Request Changes 请求变更。

   运行提示词 · 来源原文。Slack - Request Security Review 节点的 text 参数

   复制提示词

   =🔒 *Terraform PR flagged for security review*
   
   *PR:* {{ $json.repoOwner }}/{{ $json.repoName }}#{{ $json.prNumber }} — "{{ $json.prTitle }}" by {{ $json.prAuthor }}
   *Overall risk:* {{ $json.parsedOutput.overallRisk }}
   
   *Blocking issues:*
   {{ $json.parsedOutput.blockingIssues.join('\n') }}
   
   *All findings:*
   {{ $json.parsedOutput.findings.map(f => '- [' + f.severity + '] (' + f.category + ') ' + f.description).join('\n') }}
   
   Reply or use the Approve/Request-Changes action to make the merge decision.

   运行提示词 · 来源原文。GitHub - Request Changes 节点的 body 参数

   复制提示词

   =Changes requested after security review. Blocking issues:
   {{ $json.parsedOutput.blockingIssues.join('\n') }}

你是一个 n8n 工作流搭建助手。用户想要复现「AI Terraform PR Review」模板。请先确认：1）用户是否有 GitHub 仓库管理员权限；2）是否已准备 OpenAI API 密钥；3）是否有 Postgres 数据库和 Slack 工作区；4）CI 端点是否已暴露 terraform plan / 安全扫描 / 成本估算接口；5）向量存储是否已录入内部 IaC 标准。确认后，指导用户从 https://n8n.io/workflows/19175/ 导入模板，按步骤配置凭证和节点参数，最后建议用测试 PR 验证端到端流程。