核心用法
该技能通过 mx_github 工具提供完整的 GitHub 生态集成能力，覆盖开发者日常高频场景：
仓库与身份管理：查看当前认证用户、列出个人/组织仓库、获取仓库元数据（星标数、语言、权限等）。支持按更新时间排序和分页控制。
Issue 生命周期管理：列出过滤后的 Issue（自动排除 PR）、创建结构化 Issue（支持 Markdown 正文、标签、负责人分配）、更新状态与标签。适合敏捷团队的缺陷追踪和任务看板同步。
Pull Request 工作流：列出待审 PR、从特性分支创建 PR（需指定 head/base 分支）、配合 CI 检查形成完整开发闭环。特别适用于 feature-branch 工作流的自动化。
CI/CD 集成：查看 GitHub Actions 工作流运行历史、手动触发 workflow_dispatch 类型的工作流（支持传参），实现部署流程的灵活控制。
显著优点
1. 统一代理架构：通过 MorphixAI 代理中转所有 GitHub API 请求，避免直接暴露个人 Access Token 到本地环境变量，降低密钥泄露风险
2. OAuth 账号链接：支持通过 Web 界面授权，比传统 PAT (Personal Access Token) 更易管理权限范围，可随时在 morphix.app 撤销授权
3. 语法简洁：YAML 风格的工具调用格式，降低非程序员用户的使用门槛
4. 智能过滤：list_issues 自动过滤 PR，解决 GitHub API 历史遗留的设计混淆问题
潜在局限
- 供应商锁定：深度绑定 MorphixAI 生态，无法脱离该代理服务独立运行；若 MorphixAI 服务中断，功能完全失效
- 权限透明度不足：文档未明确说明代理服务请求的 GitHub OAuth 权限范围（repo/public_repo/admin:repo_hook 等），用户难以评估最小权限原则
- 审计能力缺失：所有 API 请求经过第三方代理，用户无法直接查看原始 HTTP 日志或审计令牌使用记录
- 地域与合规风险：MorphixAI 作为外部 SaaS，可能涉及数据跨境传输，对金融、政务类代码仓库存在合规隐患
适合人群
- 使用 GitHub 作为主力代码托管的团队开发者
- 需要快速 Issue/PR 操作但不想配置复杂 Git CLI 的轻度用户
- 已深度使用 MorphixAI/OpenClaw 生态的现有用户
常规风险
| 风险类型 | 描述 | 缓解建议 |
|---------|------|---------|
| 代理服务滥用 | MorphixAI 持有用户 GitHub 访问令牌，理论上可执行任意仓库操作 | 定期审查 [morphix.app/connections](https://morphix.app/connections) 授权状态，使用最小权限的替代账号 |
| 密钥泄露 | `MORPHIXAI_API_KEY` 若被写入版本控制或日志 | 使用专用 secrets 管理工具（如 1Password CLI），设置密钥轮换策略 |
| 工作流误触发 | `trigger_workflow` 可能意外触发生产环境部署 | 强制要求 `inputs.environment` 参数校验，配合 GitHub 分支保护规则 |
| 数据残留 | 代理服务可能缓存仓库元数据或 Issue 内容 | 敏感项目优先使用自托管 GitLab 或直接 GitHub API 调用 |
使用建议
建议在非核心仓库先行验证，确认 MorphixAI 的权限边界和响应稳定性后，再扩展至生产代码库。对于高安全等级项目，建议对比评估直接使用 GitHub CLI (gh) 或官方 REST API 的方案。