33 lines
2.5 KiB
JSON
33 lines
2.5 KiB
JSON
[
|
|
{
|
|
"level": "critical",
|
|
"role": "Aria",
|
|
"location": "entrypoint.sh",
|
|
"suggestion": "檔案結尾缺少一個換行符號。根據 POSIX 規範，所有文字檔案都應以換行符號結束。請在檔案的最後一行後新增一個換行符號。"
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Maya",
|
|
"location": "entrypoint.sh:86-91",
|
|
"suggestion": "版本號遞增邏輯中，當 `PATCH` 達到 `10` 時會遞增 `MINOR`，當 `MINOR` 達到 `10` 時會遞增 `MAJOR`。這與標準的語義化版本控制（Semantic Versioning）慣例不同（例如，通常 `1.9.9` 之後是 `1.9.10`，而非 `2.0.0`）。請釐清預期的版本控制方案。如果目標是標準語義版本，則應移除 `MINOR` 和 `MAJOR` 在 `10` 時的進位邏輯。如果這是一個自訂的十進位版本系統，請務必清楚文件化此行為，並新增特定測試案例，例如 `v0.0.9`、`v0.9.9`、`v0.9.0`、`v1.9.9`，以驗證進位行為是否符合預期。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Rex",
|
|
"location": "entrypoint.sh:42, entrypoint.sh:43, entrypoint.sh:55",
|
|
"suggestion": "GITEA_SERVER_URL 和 GITEA_REPOSITORY 變數直接用於構建 URL。雖然在 CI/CD 環境中這些變數通常被視為受信任的輸入，但若這些輸入來源不可信，可能導致伺服器端請求偽造（SSRF）或路徑遍歷攻擊。建議對這些數據進行更嚴格的輸入驗證，例如檢查 URL 是否符合預期的格式和網域，並確保儲存庫名稱不包含惡意字元（如 `../` 或特殊編碼字元）。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Aria",
|
|
"location": "entrypoint.sh:44",
|
|
"suggestion": "`require_env` 函數中的 `printf '%s=%s\n' \"$name\" \"$value\"` 會直接回顯變數數值。對於 `RUNNER_TOKEN` 這類敏感資訊，這可能導致安全風險。建議修改此函數，使其僅回顯變數名稱，或對敏感變數的值進行遮蔽處理。例如，可以改為 `info \"$name 已設定\"`，或在呼叫 `require_env` 之前處理敏感變數的輸出。"
|
|
},
|
|
{
|
|
"level": "info",
|
|
"role": "Rex",
|
|
"location": "entrypoint.sh:109",
|
|
"suggestion": "將 NEW_VERSION 輸出到 GITHUB_OUTPUT 時，雖然目前 NEW_VERSION 的格式（如 `X.Y.Z` 或 `X.Y.Z-beta.N`）相對安全，不太可能包含換行符或其他特殊字元，但一般而言，應確保輸出到環境變數或檔案的內容不包含可能導致指令注入的特殊字元。對於複雜或多行內容，應使用 GitHub Actions 建議的多行輸出語法以確保安全。"
|
|
}
|
|
]
|