用途：审查 Renovate 机器人提交的 GitHub Actions 依赖更新 PR，验证供应链完整性并确认升级不会破坏 CI/CD 工作流。输入为 PR 编号或 URL，使用 gh CLI 获取详情与 diff。
主要能力与步骤：1) 用 gh pr view <PR> --json title,body,files,commits,author,headRefName 和 gh pr diff <PR> 获取元数据与差异，确认作者为 app/renovate，否则立即标记。2) 从 diff 提取每个变更 action 的完整名称、旧/新版本标签与固定 SHA、更新类型（patch/minor/major）。3) 用 gh api repos/{owner}/{repo}/git/ref/tags/{version} --jq '.object.sha' 逐一核对新旧 SHA 是否与声明的版本标签一致；任一不匹配即停止并报告供应链完整性失败，不得批准。4) 依据 PR 正文中的发布说明检查破坏性变更：被移除的输入/输出、默认行为变化、新增必填输入、主版本升级。5) 阅读受影响工作流文件，确认未使用被移除或重命名的输入、默认值变化不影响现有行为、运行时要求（如 Node.js 版本）仍满足。6) 输出汇总表（Action、Old、New、Type、SHA verified），并说明 SHA 是否全部验证、是否发现破坏性变更、工作流是否仍兼容，给出明确的 safe to merge 或 do not merge 建议。
适用场景：需要人工复核自动化依赖升级、关注供应链安全的 GitHub Actions 仓库。限制：依赖 gh CLI 与网络访问；仅针对 Renovate 提交的 Actions 更新；资料未提供其他平台或非 Actions 依赖的支持说明。