Human-gated AI development workflows

Worker dispatch ready

KAN-7Review gate

Support GitHub classic token auth and Jira workflow transitions

Repository

danubii/openclaw-orchestrator

ai/KAN-7-support-github-classic-token-auth-and-jira-workf

Created

Apr 25, 08:39 PM UTC

Updated Apr 26, 12:51 PM UTC

Owner

dev-user

Cross Repository Integration Test / Review approval

Mode

Feature

PlanWaitForApproval

Run timeline

8/14 steps complete

Ticket Intake

Apr 25, 08:39 PM UTCDuration 2s

Completed

Context Build

Apr 25, 08:45 PM UTCDuration 4m 16s

Completed

Codex Plan

Apr 25, 08:45 PM UTCDuration 4m 16s

Completed

Plan Approval

Apr 26, 09:00 AM UTCDuration 0s

Completed

Codex Implementation

Apr 26, 12:42 PM UTCDuration 2m 46s

Completed

Test Run

Apr 26, 12:44 PM UTCDuration 2m 00s

Completed

Cross Repository Integration Test

Queued

Pending

Smoke Test

Apr 26, 12:47 PM UTCDuration 2m 38s

Completed

Claude Review

Apr 26, 12:51 PM UTCDuration 3m 51s

Completed

Review Approval

Apr 26, 12:51 PM UTCElapsed 3h 02m 04s

Pending

Git Push Branch

Queued

Pending

Test Deploy

Queued

Pending

Manual Qa

Queued

Pending

Pull Request

Queued

Pending

Artifact viewer

claude-agent-log.txt · v8

Loading artifact

Lifecycle

Active workflow

Gate control

Cross Repository Integration Test

PlanningImplementation

Decision comment

3 medium review finding(s) will be overridden by approval.

Approval history

ReviewChanges requested

dev-user / Apr 26, 12:17 PM UTC

Fix next medium

ReviewChanges requested

dev-user / Apr 26, 11:45 AM UTC

Fix the two medium issues. - Then no more edits after that.

ReviewChanges requested

dev-user / Apr 26, 11:29 AM UTC

Fix medium and high blockers

QualityGateOverrideApproved

dev-user / Apr 26, 11:18 AM UTC

SmokeTest: Just skip

ReviewChanges requested

dev-user / Apr 26, 09:54 AM UTC

Fix the medium findings and the missing tests.

PlanApproved

dev-user / Apr 26, 09:00 AM UTC

Repositories

1 target

danubii/openclaw-orchestrator

ai/KAN-7-support-github-classic-token-auth-and-jira-workf

Completed

Target: main

Review findings

10 total / 3 priority

Double Jira transition fires back-to-back at PR completion

Medium

src/OpenClaw.Orchestrator.Infrastructure/Services/WorkflowOrchestrator.cs:1219-1234

WorkflowOrchestrator.CreateOrUpdatePullRequestAsync calls NotifyAsync with PullRequestsCreated and then immediately with Completed before any intervening state change. If both event keys are mapped to Jira transitions, the second transition may be unavailable from the state the first moved the ticket to, causing a logged error and a duplicate Jira comment.

Either combine the two events into a single call (e.g. Completed only), or document in README/env.example that both fire simultaneously and users should map only one to a transition.

IJiraIssueUpdater passes JiraOptions, leaking infrastructure into the abstraction

Medium

src/OpenClaw.Orchestrator.Application/Abstractions/IJiraIssueUpdater.cs:7-9

The Application-layer interface IJiraIssueUpdater declares AddCommentAsync and TransitionIssueAsync with a JiraOptions parameter, coupling the interface to the Infrastructure options model and complicating mocking.

Remove JiraOptions from the interface signature. Have RuntimeJiraIssueUpdater or JiraWorkflowNotifier resolve options internally, or pass only the minimal credentials the interface needs.

PR description redaction cannot be verified from the diff

Medium

src/OpenClaw.Orchestrator.Infrastructure/Services/WorkflowOrchestrator.cs:1143-1150

WorkflowOrchestrator.CreateOrUpdatePullRequestAsync passes the result of BuildPullRequestDescriptionAsync directly as the GitHub PR body. The method is not in the diff, so it cannot be confirmed that its output is free of secrets. The IMPLEMENTATION_REPORT claims redaction was added in a prior pass.

Read BuildPullRequestDescriptionAsync and confirm it applies SecretRedactor.Redact to any dynamic content. Add a unit test that asserts token-shaped strings in artifact content are redacted before the PR body reaches IGitHubClient.

BuildComment does not redact the summary parameter

Low

src/OpenClaw.Orchestrator.Infrastructure/Services/JiraWorkflowNotifier.cs:83-95

JiraWorkflowNotifier.BuildComment applies SecretRedactor.Redact to the details parameter but not to summary. All current callers pass literal strings, but future callers could include token-derived content.

Add SecretRedactor.Redact(summary) when appending the summary line in BuildComment.

No test for Jira v2 comment format

Low

tests/OpenClaw.Orchestrator.Application.Tests/Services/JiraRestClientTests.cs

JiraRestClient.AddCommentAsync sends a plain { body: string } payload for API version 2 and ADF for version 3. Only the v3 path is tested.

Add a test that configures JiraOptions with ApiVersion=2 and asserts the POST body contains a plain 'body' string rather than an ADF document.

No test for numeric transition-ID bypass

Low

tests/OpenClaw.Orchestrator.Application.Tests/Services/JiraRestClientTests.cs

JiraRestClient.IsTransitionId returns true for all-digit strings, bypassing the name-lookup GET. This code path has no test.

Add a test that calls TransitionIssueAsync with a numeric string such as '31' and asserts no GET request to the transitions endpoint is made.

SafeGitHubStatus does not redact the extracted GitHub message field

Low

src/OpenClaw.Orchestrator.Infrastructure/Services/GitHubClient.cs:242-255

Both GitHubClient.SafeGitHubStatus and GitHubAppInstallationTokenProvider.SafeGitHubStatus include the raw 'message' field from GitHub error JSON in exception text that is later stored in database columns and workflow logs. GitHub messages are typically safe, but applying SecretRedactor.Redact defensively closes the gap.

Apply SecretRedactor.Redact(message) before composing the returned string in SafeGitHubStatus.

TryResolveHostPath catches Exception broadly

Low

src/OpenClaw.Orchestrator.Infrastructure/Services/IntegrationSettingsService.cs:439-449

TryResolveHostPath uses catch (Exception) when (configuredPath is not null), which swallows fatal exceptions such as OutOfMemoryException. ResolveHostPath only throws path-related exceptions.

Narrow the catch to IOException, ArgumentException, or InvalidOperationException to avoid masking fatal CLR exceptions.

IJiraIssueUpdateClient indirection could be removed

Suggestion

src/OpenClaw.Orchestrator.Infrastructure/Services/IJiraIssueUpdateClient.cs:1-9

IJiraIssueUpdateClient is an internal mirror of IJiraIssueUpdater and RuntimeJiraIssueUpdater delegates every call unchanged. The double interface adds complexity without meaningful isolation.

Consider injecting JiraRestClient directly into RuntimeJiraIssueUpdater or collapsing RuntimeJiraIssueUpdater into JiraWorkflowNotifier in a follow-up refactor.

workers: 1 in playwright.config.ts should be explained

Suggestion

web/playwright.config.ts:9

workers: 1 was added to prevent races on the mock server's shared mutable settings state. Without a comment this constraint is invisible to future contributors who might try to speed up the suite by increasing workers.

Add a comment: '// workers: 1 required because mock-web-server.mjs holds mutable settings state'.

Live logs

100 entries / offline

12:46:10smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 50% of 112 MiB

12:46:10smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 60% of 112 MiB

12:46:10smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 70% of 112 MiB

12:46:11smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 80% of 112 MiB

12:46:11smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 90% of 112 MiB

12:46:11smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■| 100% of 112 MiB

12:46:13smokeChrome Headless Shell 147.0.7727.15 (playwright chromium-headless-shell v1217) downloaded to /root/.cache/ms-playwright/chromium_headless_shell-1217

12:46:13smoke> web@0.1.0 test:e2e

12:46:13smoke> node scripts/run-e2e.mjs

12:46:13smoke> /workspace/repo-10-danubii-openclaw-orchestrator/web/node_modules/.bin/playwright install --with-deps chromium

12:46:13smokeInstalling dependencies...

12:46:16smokeHit:1 http://archive.ubuntu.com/ubuntu noble InRelease

12:46:16smokeHit:2 http://security.ubuntu.com/ubuntu noble-security InRelease

12:46:16smokeHit:3 http://archive.ubuntu.com/ubuntu noble-updates InRelease

12:46:16smokeHit:4 http://archive.ubuntu.com/ubuntu noble-backports InRelease

12:46:17smokeReading package lists...

12:46:18smokeBuilding dependency tree...

12:46:18smokeReading state information...

12:46:18smokelibasound2t64 is already the newest version (1.2.11-1ubuntu0.2).

12:46:18smokelibatk-bridge2.0-0t64 is already the newest version (2.52.0-1build1).

12:46:18smokelibatk1.0-0t64 is already the newest version (2.52.0-1build1).

12:46:18smokelibatspi2.0-0t64 is already the newest version (2.52.0-1build1).

12:46:18smokelibcairo2 is already the newest version (1.18.0-3build1).

12:46:18smokelibcups2t64 is already the newest version (2.4.7-1.2ubuntu7.9).

12:46:18smokelibdbus-1-3 is already the newest version (1.14.10-4ubuntu4.1).

12:46:18smokelibdrm2 is already the newest version (2.4.125-1ubuntu0.1~24.04.1).

12:46:18smokelibgbm1 is already the newest version (25.2.8-0ubuntu0.24.04.1).

12:46:18smokelibglib2.0-0t64 is already the newest version (2.80.0-6ubuntu3.8).

12:46:18smokelibnspr4 is already the newest version (2:4.35-1.1build1).

12:46:18smokelibnss3 is already the newest version (2:3.98-1ubuntu0.1).

12:46:18smokelibpango-1.0-0 is already the newest version (1.52.1+ds-1build1).

12:46:18smokelibx11-6 is already the newest version (2:1.8.7-1build1).

12:46:18smokelibxcb1 is already the newest version (1.15-1ubuntu2).

12:46:18smokelibxcomposite1 is already the newest version (1:0.4.5-1build3).

12:46:18smokelibxdamage1 is already the newest version (1:1.1.6-1build1).

12:46:18smokelibxext6 is already the newest version (2:1.3.4-1build2).

12:46:18smokelibxfixes3 is already the newest version (1:6.0.0-2build1).

12:46:18smokelibxkbcommon0 is already the newest version (1.6.0-1build1).

12:46:18smokelibxrandr2 is already the newest version (2:1.5.2-2build1).

12:46:18smokexvfb is already the newest version (2:21.1.12-1ubuntu1.5).

12:46:18smokefonts-noto-color-emoji is already the newest version (2.047-0ubuntu0.24.04.1).

12:46:18smokefonts-unifont is already the newest version (1:15.1.01-1build1).

12:46:18smokelibfontconfig1 is already the newest version (2.15.0-1.1ubuntu2).

12:46:18smokelibfreetype6 is already the newest version (2.13.2+dfsg-1ubuntu0.1).

12:46:18smokexfonts-cyrillic is already the newest version (1:1.0.5+nmu1).

12:46:18smokexfonts-scalable is already the newest version (1:1.0.3-1.3).

12:46:18smokefonts-liberation is already the newest version (1:2.1.5-3).

12:46:18smokefonts-ipafont-gothic is already the newest version (00303-21ubuntu1).

12:46:18smokefonts-wqy-zenhei is already the newest version (0.9.45-8).

12:46:18smokefonts-tlwg-loma-otf is already the newest version (1:0.7.3-1).

12:46:18smokefonts-freefont-ttf is already the newest version (20211204+svn4273-2).

12:46:18smoke0 upgraded, 0 newly installed, 0 to remove and 1 not upgraded.

12:46:18smokeDownloading Chrome for Testing 147.0.7727.15 (playwright chromium v1217) from https://cdn.playwright.dev/builds/cft/147.0.7727.15/linux64/chrome-linux64.zip

12:46:25smoke| | 0% of 170.4 MiB

12:46:26smoke|■■■■■■■■ | 10% of 170.4 MiB

12:46:27smoke|■■■■■■■■■■■■■■■■ | 20% of 170.4 MiB

12:46:27smoke|■■■■■■■■■■■■■■■■■■■■■■■■ | 30% of 170.4 MiB

12:46:27smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 40% of 170.4 MiB

12:46:28smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 50% of 170.4 MiB

12:46:28smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 60% of 170.4 MiB

12:46:29smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 70% of 170.4 MiB

12:46:29smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 80% of 170.4 MiB

12:46:30smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 90% of 170.4 MiB

12:46:30smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■| 100% of 170.4 MiB

12:46:32smokeChrome for Testing 147.0.7727.15 (playwright chromium v1217) downloaded to /workspace/repo-10-danubii-openclaw-orchestrator/web/node_modules/playwright-core/.local-browsers/chromium-1217

12:46:32smokeDownloading FFmpeg (playwright ffmpeg v1011) from https://cdn.playwright.dev/dbazure/download/playwright/builds/ffmpeg/1011/ffmpeg-linux.zip

12:46:39smoke| | 0% of 2.3 MiB

12:46:39smoke|■■■■■■■■ | 10% of 2.3 MiB

12:46:39smoke|■■■■■■■■■■■■■■■■ | 20% of 2.3 MiB

12:46:39smoke|■■■■■■■■■■■■■■■■■■■■■■■■ | 30% of 2.3 MiB

12:46:39smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 40% of 2.3 MiB

12:46:39smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 50% of 2.3 MiB

12:46:39smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 60% of 2.3 MiB

12:46:39smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 70% of 2.3 MiB

12:46:39smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 80% of 2.3 MiB

12:46:39smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 90% of 2.3 MiB

12:46:39smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■| 100% of 2.3 MiB

12:46:39smokeFFmpeg (playwright ffmpeg v1011) downloaded to /workspace/repo-10-danubii-openclaw-orchestrator/web/node_modules/playwright-core/.local-browsers/ffmpeg-1011

12:46:39smokeDownloading Chrome Headless Shell 147.0.7727.15 (playwright chromium-headless-shell v1217) from https://cdn.playwright.dev/builds/cft/147.0.7727.15/linux64/chrome-headless-shell-linux64.zip

12:46:46smoke| | 0% of 112 MiB

12:46:47smoke|■■■■■■■■ | 10% of 112 MiB

12:46:47smoke|■■■■■■■■■■■■■■■■ | 20% of 112 MiB

12:46:48smoke|■■■■■■■■■■■■■■■■■■■■■■■■ | 30% of 112 MiB

12:46:48smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 40% of 112 MiB

12:46:48smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 50% of 112 MiB

12:46:49smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 60% of 112 MiB

12:46:49smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 70% of 112 MiB

12:46:49smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 80% of 112 MiB

12:46:49smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■ | 90% of 112 MiB

12:46:50smoke|■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■■| 100% of 112 MiB

12:46:51smokeChrome Headless Shell 147.0.7727.15 (playwright chromium-headless-shell v1217) downloaded to /workspace/repo-10-danubii-openclaw-orchestrator/web/node_modules/playwright-core/.local-browsers/chromium_headless_shell-1217

12:46:51smoke> /workspace/repo-10-danubii-openclaw-orchestrator/web/node_modules/.bin/playwright test

12:47:00smokeRunning 5 tests using 1 worker

12:47:22smoke·····

12:47:22smoke 5 passed (30.5s)

12:47:23smokeSmokeTest completed with exit code 0.

12:47:23workerQueued ClaudeReview.

12:47:23workerWorker claimed ClaudeReview job 662cd7f7-13ae-458b-961e-f0e92ae96954.

12:51:14claudeClaudeReview completed with exit code 0.

Feedback loop

10 review findings

Implementation feedback