feat: implement PR-5 GitHub Client auto authentication switching

Implement automatic authentication detection and switching between PAT and GitHub App based on configuration.

## Key Features
- GitHubClientManager with automatic auth mode detection
- Context-based installation ID handling for GitHub App webhook events
- Backward compatibility with existing PAT authentication
- New Agent methods for accessing auto-switching GitHub clients
- Comprehensive unit tests for the new functionality

## Implementation Details
- Created GitHubClientManager in internal/github/manager.go
- Enhanced Agent with GetGitHubClient() and GetGitHubInstallationClient() methods
- Updated webhook handlers to extract installation ID from GitHub events
- Added installation ID context utilities for GitHub App support
- Maintained full backward compatibility with existing codebase

## Configuration Support
- Automatically detects GitHub App vs PAT configuration
- Falls back gracefully when GitHub App auth fails
- Logs authentication method being used for debugging

🤖 Generated with [Claude Code](https://claude.ai/code)

Co-Authored-By: Claude <noreply@anthropic.com>

Author: wwcchh0123

docs/app-issue.md

@@ -1,34 +1,26 @@
-### GitHub App 认证需求拆分为 PR 计划
+### GitHub App 基础认证功能实现计划
 
 #### 任务清单
 - [x] 分析之前的需求文档结构
 - [x] 将需求按逻辑模块拆分为独立 PR
 - [x] 为每个 PR 生成详细的架构文档
 - [x] 定义 PR 之间的依赖关系和实施顺序
-- [x] 完成最终的 PR 拆分计划
+- [x] 完成基础功能的 PR 拆分计划
 
 ---
 
 ## 📋 PR 拆分方案概览
 
-基于之前的需求分析，我将把 GitHub App 认证功能拆分为 **9 个独立的 PR**，按照依赖关系和逻辑模块划分：
+基于需求分析，将 GitHub App 基础认证功能拆分为 **4 个独立的 PR**，实现核心认证功能：
 
 ### 🏗️ 核心基础设施层 (PR 1-4)
 - **PR-1**: JWT 生成和签名模块
 - **PR-2**: Installation Token 管理 
 - **PR-3**: 配置系统扩展
 - **PR-4**: 认证抽象层重构
 
-### 🏢 多租户支持层 (PR 5-6) 
-- **PR-5**: Installation 管理和发现
-- **PR-6**: 多租户工作空间隔离
-
-### 🔄 兼容性和迁移层 (PR 7-8)
-- **PR-7**: 向后兼容性实现
-- **PR-8**: 配置迁移工具
-
-### 🚀 增强功能层 (PR 9)
-- **PR-9**: 监控、权限验证和文档
+### 🎯 核心目标
+实现 GitHub App 认证功能，当配置了 GitHub App 时，GitHub Client 自动使用 App 认证方式，保持与现有 PAT 认证的兼容性。
 
 ---
 
@@ -242,230 +234,59 @@ func (f *ClientFactory) CreateClient(ctx context.Context, installationID int64)
 
 #### 🔗 **依赖关系**
 - **前置依赖**: PR-1, PR-2, PR-3
-- **后续依赖**: PR-5 (Installation 管理)
-
----
-
-### PR-5: Installation 管理和发现
-
-#### 🎯 **功能范围**
-- GitHub App Installation 发现和枚举
-- Installation 元数据管理
-- Webhook 到 Installation 的映射
-- Installation 权限验证
-
-#### 🏛️ **架构设计**
-```
-internal/installation/
-├── manager.go          # Installation 管理器
-├── discovery.go        # Installation 发现
-├── metadata.go         # 元数据管理  
-└── webhook_mapper.go   # Webhook 映射
-```
-
-#### 🔧 **核心组件**
-
-**Installation Manager**
-```go
-type InstallationManager struct {
-    authenticator github.Authenticator
-    cache        InstallationCache
-}
-
-type Installation struct {
-    ID           int64
-    AccountType  string  // "Organization" | "User"
-    AccountLogin string
-    Permissions  map[string]string
-    Events       []string
-}
-```
-
-#### ⚙️ **实现原理**
-1. **发现机制**: 定期调用 GitHub API 发现新的 Installation
-2. **Webhook 映射**: 基于 Repository Owner 或 Installation ID 确定目标 Installation
-3. **权限检查**: 验证 Installation 是否具有必要的权限
-4. **缓存策略**: 缓存 Installation 信息减少 API 调用
-
-#### 🔗 **依赖关系**
-- **前置依赖**: PR-4 (认证抽象层)
-- **后续依赖**: PR-6 (工作空间隔离)
-
----
+- **后续依赖**: PR-5 (Client自动切换)
 
-### PR-6: 多租户工作空间隔离
+### PR-5: GitHub Client 自动认证切换
 
 #### 🎯 **功能范围**
-- 扩展 Workspace 模型支持 Installation ID
-- 基于 Installation 的数据隔离
-- 工作空间清理和管理
-- 多租户安全检查
+- 在配置了 GitHub App 时，GitHub Client 自动使用 App 认证
+- 保持与现有 PAT 认证的完全兼容性
+- 运行时认证方式自动检测和切换
+- 简化的客户端获取接口
 
 #### 🏛️ **架构设计**
 ```go
-// 扩展现有 Workspace 结构
-type Workspace struct {
-    ID             string
-    InstallationID int64     // 新增字段
-    RepoOwner      string
-    RepoName       string
-    Branch         string
-    WorkDir        string
-    CreatedAt      time.Time
+// 在现有 GitHub Client 基础上添加认证方式检测
+type GitHubClientManager struct {
+    config        *Config
+    authenticator Authenticator  // PR-4 中定义的接口
 }
 
-type MultiTenantWorkspaceManager struct {
-    baseManager    *workspace.Manager
-    installations  *installation.Manager
-}
-```
-
-#### ⚙️ **实现原理**
-1. **隔离策略**: 基于 Installation ID 的文件夹隔离
-2. **安全检查**: 确保工作空间只能访问对应 Installation 的仓库
-3. **资源管理**: 按 Installation 统计和限制资源使用
-4. **清理机制**: 基于 Installation 状态清理无效工作空间
-
-#### 🔗 **依赖关系**
-- **前置依赖**: PR-5 (Installation 管理)
-- **后续依赖**: PR-7 (向后兼容实现)
-
----
-
-### PR-7: 向后兼容性实现
-
-#### 🎯 **功能范围**
-- 同时支持 PAT 和 GitHub App 两种认证方式
-- 平滑的认证方式切换
-- 现有 API 接口保持不变
-- 运行时认证方式检测
-
-#### 🏛️ **架构设计**
-```go
-type HybridAuthenticator struct {
-    patAuth    *PATAuthenticator
-    appAuth    *GitHubAppAuthenticator
-    authMode   AuthMode
-}
-
-func (h *HybridAuthenticator) GetClient(ctx context.Context) (*github.Client, error) {
-    switch h.authMode {
-    case AuthModePAT:
-        return h.patAuth.GetClient(ctx)
-    case AuthModeApp:
-        // App 模式需要 Installation ID，从上下文获取
-        return h.getAppClient(ctx)
-    default:
-        return h.autoDetectAndGetClient(ctx)
+func (m *GitHubClientManager) GetClient(ctx context.Context) (*github.Client, error) {
+    // 自动检测配置的认证方式
+    if m.config.GitHub.App.AppID != 0 {
+        // 使用 GitHub App 认证
+        return m.authenticator.GetInstallationClient(ctx, m.getInstallationID(ctx))
     }
+    // 回退到 PAT 认证
+    return m.authenticator.GetClient(ctx)
 }
 ```
 
-#### ⚙️ **实现原理**
-1. **适配器模式**: 包装现有认证实现，提供统一接口
-2. **自动检测**: 基于配置和上下文自动选择合适的认证方式  
-3. **优雅降级**: GitHub App 不可用时自动回退到 PAT
-4. **兼容性保证**: 现有代码无需修改即可工作
-
-#### 🔗 **依赖关系**
-- **前置依赖**: PR-6 (多租户工作空间隔离)
-- **后续依赖**: PR-8 (配置迁移工具)
-
----
-
-### PR-8: 配置迁移工具
-
-#### 🎯 **功能范围**
-- PAT 到 GitHub App 配置转换工具
-- 配置验证和测试工具
-- 迁移指南和文档
-- 配置备份和回滚机制
-
-#### 🏛️ **架构设计**
-```
-cmd/migrate/
-├── main.go            # 迁移工具入口
-├── pat_to_app.go      # PAT 转 App 逻辑
-├── validate.go        # 配置验证
-└── backup.go          # 备份和回滚
-```
-
 #### 🔧 **核心组件**
 
-**Migration Tool**
+**认证方式检测器**
 ```go
-type MigrationTool struct {
-    configPath   string
-    backupPath   string
-    dryRun       bool
+type AuthModeDetector struct {
+    config *Config
 }
 
-func (m *MigrationTool) MigratePATToApp(appConfig GitHubAppConfig) error
-func (m *MigrationTool) ValidateConfiguration() error
-func (m *MigrationTool) TestConnectivity() error
-```
-
-#### ⚙️ **实现原理**
-1. **安全第一**: 迁移前自动备份现有配置
-2. **验证机制**: 迁移后测试新配置的连接性和权限
-3. **Dry Run**: 支持预览模式，不实际修改配置
-4. **详细日志**: 记录迁移过程，便于问题诊断
-
-#### 🔗 **依赖关系**
-- **前置依赖**: PR-7 (向后兼容实现)
-- **后续依赖**: PR-9 (监控和文档)
-
----
-
-### PR-9: 监控、权限验证和文档
-
-#### 🎯 **功能范围**
-- 认证相关的监控指标
-- 细粒度权限验证中间件
-- 完整的部署和使用文档
-- 故障排查手册
-
-#### 🏛️ **架构设计**
-```
-internal/middleware/
-├── auth_middleware.go    # 认证中间件
-├── permission_check.go   # 权限检查
-└── metrics.go           # 监控指标
-
-docs/
-├── github-app-setup.md  # GitHub App 创建指南
-├── deployment.md        # 部署文档
-└── troubleshooting.md   # 故障排查
-```
-
-#### 🔧 **核心组件**
-
-**权限验证中间件**
-```go
-type PermissionMiddleware struct {
-    requiredPermissions []string
-}
-
-func (m *PermissionMiddleware) CheckPermissions(ctx context.Context, installationID int64) error
-```
-
-**监控指标**
-```go
-type AuthMetrics struct {
-    TokenRefreshCount      prometheus.Counter
-    AuthenticationFailures prometheus.Counter
-    InstallationCount     prometheus.Gauge
+func (d *AuthModeDetector) DetectAuthMode() AuthMode {
+    if d.config.GitHub.App.AppID != 0 && d.config.GitHub.App.PrivateKeyPath != "" {
+        return AuthModeApp
+    }
+    return AuthModePAT
 }
 ```
 
 #### ⚙️ **实现原理**
-1. **可观测性**: Prometheus 指标 + 结构化日志
-2. **权限最小化**: 运行时验证实际权限需求
-3. **用户体验**: 友好的错误消息和解决建议
-4. **文档驱动**: 完整的操作手册和最佳实践
+1. **配置驱动**: 基于配置文件自动选择认证方式
+2. **优雅降级**: App 认证失败时自动回退到 PAT
+3. **透明切换**: 业务代码无需修改，保持原有接口
+4. **Installation ID 获取**: 从 Webhook 上下文中提取 Installation ID
 
 #### 🔗 **依赖关系**
-- **前置依赖**: PR-8 (配置迁移工具)
+- **前置依赖**: PR-4 (认证抽象层)
 - **后续依赖**: 无
 
 ---
@@ -483,19 +304,7 @@ PR-3 (配置扩展) ──────────────────┐ 
 PR-4 (认证抽象层) ◄──────────────────┘
          │
          ▼
-PR-5 (Installation管理)
-         │
-         ▼
-PR-6 (工作空间隔离)
-         │
-         ▼
-PR-7 (向后兼容)
-         │
-         ▼
-PR-8 (迁移工具)
-         │
-         ▼
-PR-9 (监控文档)
+PR-5 (Client自动切换)
 ```
 
 ### 建议实施顺序
@@ -510,19 +319,9 @@ PR-9 (监控文档)
 - PR-4: 认证抽象层重构
 - 顺序开发，PR-2 完成后开始 PR-4
 
-#### 🏃‍♂️ **Sprint 3 (Week 5-6): 多租户支持**
-- PR-5: Installation 管理和发现
-- PR-6: 多租户工作空间隔离  
-- 顺序开发
-
-#### 🏃‍♂️ **Sprint 4 (Week 7-8): 兼容性和迁移**
-- PR-7: 向后兼容性实现
-- PR-8: 配置迁移工具
-- 顺序开发，可部分并行
-
-#### 🏃‍♂️ **Sprint 5 (Week 9): 完善和文档**
-- PR-9: 监控、权限验证和文档
-- 最终集成测试和优化
+#### 🏃‍♂️ **Sprint 3 (Week 5): 自动切换**
+- PR-5: GitHub Client 自动认证切换
+- 集成测试和验证
 
 ---
 
@@ -531,7 +330,7 @@ PR-9 (监控文档)
 ### 🔄 **开发策略**
 1. **测试驱动**: 每个 PR 都包含完整的单元测试和集成测试
 2. **渐进式发布**: 每个 PR 合并后进行部分功能验证
-3. **文档先行**: 核心 PR (1-6) 都包含详细的 API 文档
+3. **文档先行**: 核心 PR (1-5) 都包含详细的 API 文档
 4. **向后兼容**: 确保每个 PR 不破坏现有功能
 
 ### 🎯 **质量保证**  
@@ -550,7 +349,7 @@ PR-9 (监控文档)
 
 ## 📊 **总结**
 
-本计划将 GitHub App 认证功能合理拆分为 **9 个独立且有序的 PR**，每个 PR 都有：
+本计划将 GitHub App 基础认证功能合理拆分为 **5 个独立且有序的 PR**，每个 PR 都有：
 - ✅ 明确的功能边界和职责范围  
 - ✅ 详细的架构设计和实现原理
 - ✅ 清晰的依赖关系和实施顺序
@@ -562,7 +361,9 @@ PR-9 (监控文档)
 - 👥 **团队协作**: 多人可并行开发不同模块
 - 📈 **质量保证**: 每个组件都有充分的测试和文档
 
-预计总体实施周期为 **9 周**，可根据团队资源和优先级适当调整。
+**核心目标**: 实现 GitHub App 基础认证功能，当配置了 GitHub App 时，GitHub Client 自动使用 App 认证，保持与现有 PAT 认证的完全兼容性。
+
+预计总体实施周期为 **5 周**，可根据团队资源和优先级适当调整。
 
 ---