嚴重等級:🟡 警告 審查員:Mage 問題:這裡先抓一份 release 快照,再在後面依這份快照去刪 tag;兩個步驟之間不是同一個時間點。最小重現:cleanup 跑到一半時剛好有人新增 release,新 release 的 tag 來不及出現在 releaseTags,接下來的 tag 清理就可能把剛發布的 tag 誤刪。 建議:把 release 與 tag 的判定建立在同一個一致性快照上,或在刪 tag 前重新驗證該 tag 目前是否已被任何 release 使用;如果環境允許,最好加上流程鎖避免與發版同時執行。
**嚴重等級**:🟡 警告
**審查員**:Mage
**問題**:這裡先抓一份 release 快照,再在後面依這份快照去刪 tag;兩個步驟之間不是同一個時間點。最小重現:cleanup 跑到一半時剛好有人新增 release,新 release 的 tag 來不及出現在 `releaseTags`,接下來的 tag 清理就可能把剛發布的 tag 誤刪。
**建議**:把 release 與 tag 的判定建立在同一個一致性快照上,或在刪 tag 前重新驗證該 tag 目前是否已被任何 release 使用;如果環境允許,最好加上流程鎖避免與發版同時執行。
嚴重等級:🟡 警告 審查員:Assassin 問題:這裡把 API 回應 body 直接拼進例外訊息,任何錯誤回應都可能被寫進 action log;如果伺服器或中間層回傳內部路徑、設定值或其他敏感內容,就會被一起外洩。 建議:錯誤訊息只保留狀態碼與必要識別資訊,回應內容改成固定摘要或更嚴格的截斷與紅字處理,不要把完整 body 直接丟進例外。
**嚴重等級**:🟡 警告
**審查員**:Assassin
**問題**:這裡把 API 回應 body 直接拼進例外訊息,任何錯誤回應都可能被寫進 action log;如果伺服器或中間層回傳內部路徑、設定值或其他敏感內容,就會被一起外洩。
**建議**:錯誤訊息只保留狀態碼與必要識別資訊,回應內容改成固定摘要或更嚴格的截斷與紅字處理,不要把完整 body 直接丟進例外。
嚴重等級:🔴 嚴重 審查員:Mage 問題:這裡在刪除 tag 的流程中只把失敗記進 hadFailure,但流程結束後沒有再檢查或拋錯。最小重現:只要任一個 tag 刪除回傳 404/500,程式仍會以 0 結束,外層 CI 會誤判為清理成功,但實際上遺留的 tag 還在。 建議:在 processInBatches(tagJson, ...) 結束後補上 if (hadFailure) throw new Error(...),讓任何 tag 刪除失敗都會正確回傳非 0 狀態。
**嚴重等級**:🔴 嚴重
**審查員**:Mage
**問題**:這裡在刪除 tag 的流程中只把失敗記進 `hadFailure`,但流程結束後沒有再檢查或拋錯。最小重現:只要任一個 tag 刪除回傳 404/500,程式仍會以 0 結束,外層 CI 會誤判為清理成功,但實際上遺留的 tag 還在。
**建議**:在 `processInBatches(tagJson, ...)` 結束後補上 `if (hadFailure) throw new Error(...)`,讓任何 tag 刪除失敗都會正確回傳非 0 狀態。
嚴重等級:🟡 警告 審查員:Mage 問題:tag 沒有 name 時也只是警告後回傳 true,這會讓壞資料被靜默略過。若 tag 清單中出現異常項目,cleanup 會看起來成功,但實際上有 tag 沒被處理。 建議:把空白或缺失的 name 視為失敗,至少讓整體結果反映出資料異常;不要把無法辨識的 tag 當成成功案例。
**嚴重等級**:🟡 警告
**審查員**:Mage
**問題**:tag 沒有 `name` 時也只是警告後回傳 `true`,這會讓壞資料被靜默略過。若 tag 清單中出現異常項目,cleanup 會看起來成功,但實際上有 tag 沒被處理。
**建議**:把空白或缺失的 `name` 視為失敗,至少讓整體結果反映出資料異常;不要把無法辨識的 tag 當成成功案例。
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
變更摘要
src/index.js的 release/tag 清理流程與統一 log 格式。entrypoint.sh、action.yml、Dockerfile與.gitea/workflows/*.yaml,讓 action 與 workflow 設定一致。README.md與.gitea/workflows/readme.md,補齊專案與工作流說明。影響範圍
注意事項
entrypoint.sh已恢復可執行權限。🤖 AI Code Review 團隊
AI Code Review 統計
🤖 AI 助理使用量
本次審查(codex / gpt-5.4-mini,共 36 次呼叫)
剩餘可用
剩餘可用:無法計算百分比(未支援 codex 額度查詢)
@@ -1,1 +2,4 @@# 更新日期:2026/07/11 21:02:25# 允許在建置時指定 Node.js 版本標籤ARG NODE_VERSION=alpine嚴重等級:🔵 建議
審查員:Leo
問題:基底映像預設成
alpine這種浮動標籤,長期看會讓建置結果跟著上游變動。半年後同一份程式碼可能產生不同映像,維護者很難判斷差異到底來自程式還是基底環境。建議:把預設值改成明確版本或 digest,讓基底環境可預期;如果要保留可變版本,至少把它明確視為建置參數而不是默認行為。
@@ -12,0 +15,4 @@# RUNNER_TOKEN 用於授權呼叫 Gitea API;未提供時會改用 secretsRUNNER_TOKEN:# 參數說明,讓呼叫端知道這是 Runner Tokendescription: 'GitHub Runner Token'嚴重等級:🟡 警告
審查員:Bard
問題:
GitHub Runner Token跟整份 action 的 Gitea 語境不一致,品牌詞突然換邊,讀起來會有明顯跳拍。建議:改成中性的
Runner Token或直接寫Gitea Runner Token,保持用語一致。@@ -9,0 +7,4 @@ts=$(TZ='Asia/Taipei' date +'%Y/%m/%d %H:%M:%S')printf '[INF][%s]: Action: CLEANUP OLD RELEASES\n' "$ts"printf '[INF][%s]: 用途: 清理舊版成品\n' "$ts"printf '[INF][%s]: 更新時間: 2026/07/11\n' "$ts"嚴重等級:🟡 警告
審查員:Leo
問題:更新時間被硬編碼在腳本裡,代表每次發布都要人工同步這個值。這種裝飾性資訊一旦和實際版本脫節,未來排查問題時反而會誤導維護者。
建議:移除手寫時間戳,或改成由建置流程注入單一來源的版本資訊,避免多處手動更新。
@@ -12,0 +9,4 @@* @param {Date} [date=new Date()] 要格式化的時間。* @returns {string} `yyyy/MM/dd HH:mm:ss` 格式時間字串。*/function formatTaipeiTimestamp(date = new Date()) {嚴重等級:🟡 警告
審查員:Rogue
問題:
formatTaipeiTimestamp()每次 log 都重新建立Intl.DateTimeFormat並跑formatToParts,這在 release/tag 迴圈裡會被反覆觸發,等於把本來可重用的格式器成本重算 N 次。建議:把
Intl.DateTimeFormat提到函式外快取成單例,讓每次只做時間格式化,不要重建 formatter。@@ -12,0 +66,4 @@/*** 保留舊介面以維持草稿對應,實際上不再輸出橫幅。*/function separator() {}嚴重等級:🔵 建議
審查員:Bard
問題:空的
separator()函式只是佔位,既不做事也不自我說明,還讓檔案多了一個無效符號。建議:移除這個空函式,或改成真正有用途的共用輸出 helper。
@@ -12,0 +69,4 @@function separator() {}/*** 切換目前訊息所屬區塊,供 log 前綴使用。嚴重等級:🔴 嚴重
審查員:Assassin
問題:這裡直接依
GITEA_SERVER_URL的協定選用http/https,沒有強制 HTTPS。只要目標位址是http://,Authorization: token ...就會明文送出,攔截者可以直接竊走權杖,並回傳假回應誘導後續刪除錯誤的 release/tag。建議:強制只接受
https://的 API 端點,或在明確的安全開關下才允許http://;建立請求前也要驗證目標主機是否為預期的 Gitea 網域。@@ -12,0 +85,4 @@function info(message) {writeStdout('INF', message);}嚴重等級:🟡 警告
審查員:Assassin
問題:遠端回應內容被直接拼進例外訊息;一旦 API 回傳內部錯誤、堆疊或控制字元,這些內容會原封不動進入 stderr,造成資訊外洩與 log forging。
建議:錯誤訊息只保留必要的狀態碼與簡短代碼,response body 要截斷、過濾控制字元,或乾脆不要回吐 body。
@@ -12,0 +92,4 @@* @param {string} message 訊息內容。*/function success(message) {writeStdout('INF', message);嚴重等級:🟡 警告
審查員:Bard
問題:
success()這個名稱暗示它會輸出成功層級,但實際上卻跟info()一樣寫INF;命名與輸出不對拍,後面看 log 的人很容易被誤導。建議:要嘛改成真正的成功層級代號,要嘛直接把函式命名收斂成
info()。@@ -12,0 +112,4 @@function fail(message) {writeStderr('ERR', message);}嚴重等級:🟡 警告
審查員:Maya
問題:
KEEP_COUNT的整數邊界現在只靠正則檢查,但沒有測試證明0、01、負數、浮點數、非數字字串都會被正確處理。這個值直接影響刪除範圍,少一個邊界案例就可能誤刪 release。建議:為
requireInteger與KEEP_COUNT加測試,至少覆蓋0、1、-1、1.5、abc,並確認不合法輸入會退出,合法輸入會順利進入後續流程。@@ -12,2 +136,4 @@fail(`${name} is required`);process.exit(1);}}嚴重等級:🟡 警告
審查員:Assassin
問題:
releaseTag與releaseName來自遠端 API,卻未做任何跳脫就寫入 log。攻擊者若能建立包含換行或 ANSI escape 的 release 名稱,就能偽造成功/失敗紀錄,掩蓋真正的刪除行為。建議:記錄前先移除控制字元或改成結構化輸出,例如 JSON;不要把未信任字串直接串進 log。
@@ -16,0 +148,4 @@if (!/^[0-9]+$/.test(value)) {fail(`${name} must be a non-negative integer`);process.exit(1);}嚴重等級:🟡 警告
審查員:Maya
問題:
fetchAllPages新增了分頁、HTTP 狀態碼檢查、JSON 陣列驗證與空頁終止,但沒有看到對這些分支的測試。這是核心資料取得邏輯,若分頁終止條件或錯誤處理出問題,後面的刪除流程就會建立在錯誤資料上。建議:補測
fetchAllPages:成功串接多頁資料、遇到空頁停止、非 2xx 回應拋錯、回傳非陣列 JSON 拋錯。建議用 stub/mock HTTP server 驗證回傳資料與例外訊息。@@ -16,0 +159,4 @@* @returns {Promise<{ statusCode: number, body: string }>} 回應狀態碼與內容。*/function requestJson(url, { method = 'GET', headers = {} } = {}) {return new Promise((resolve, reject) => {嚴重等級:🔵 建議
審查員:Bard
問題:
requestJson這個名字太窄,因為它不只用來拿 JSON,也拿一般 HTTP 回應與 DELETE 結果;名稱比實作更嚴格,讀者會先被騙一次。建議:改名成
request、requestUrl之類較中性的名稱,JSON 解析再交給上層 helper。@@ -16,0 +161,4 @@function requestJson(url, { method = 'GET', headers = {} } = {}) {return new Promise((resolve, reject) => {const target = new URL(url);const client = target.protocol === 'http:' ? http : https;嚴重等級:🟡 警告
審查員:Assassin
問題:
tagName同樣來自遠端 API,直接輸出到 log 會讓惡意 tag 名稱注入假訊息或控制終端畫面。攻擊者只要能建立特製 tag,就能污染審計紀錄。建議:對 tag 名稱做輸出編碼或控制字元過濾,並優先使用結構化日誌,避免未信任字串直接影響 log 內容。
@@ -16,0 +208,4 @@throw new Error(`GET ${pageUrl} failed with HTTP ${statusCode}: ${body}`);}const data = JSON.parse(body || '[]');嚴重等級:🟡 警告
審查員:Maya
問題:release 清理流程的排序與切片邏輯現在直接決定會刪掉哪些項目,但沒有測試保證
created_at是由新到舊排序後再依KEEP_COUNT保留。只要排序方向或切片位置錯一格,就會變成刪掉最新的 release。建議:新增 release 清理的整合測試,輸入刻意亂序的
created_at資料,驗證只保留最新KEEP_COUNT筆;再補上KEEP_COUNT=0、KEEP_COUNT=releaseCount與releaseItem.id缺失時會略過刪除的案例。@@ -16,0 +209,4 @@}const data = JSON.parse(body || '[]');if (!Array.isArray(data)) {嚴重等級:🟡 警告
審查員:Leo
問題:這裡直接
JSON.parse回應內容,沒有包一層具體的錯誤脈絡。只要 API 回傳格式稍微異常,維護者就只會拿到模糊的 syntax error,得重新重現才能知道是哪些 endpoint 出問題。建議:替解析失敗補上更具體的錯誤訊息,至少把 URL 和原始回應片段納入例外,讓除錯時能直接定位是哪一頁資料壞掉。
@@ -16,0 +266,4 @@const releaseJson = await fetchAllPages(releaseApiUrl, authHeaders);releaseJson.sort((left, right) => {if (left.created_at < right.created_at) {嚴重等級:🟡 警告
審查員:Maya
問題:tag 清理流程新增了『保留已對應 release 的 tag』、『刪除未指定 release 的 tag』、以及無名稱 tag 略過與刪除失敗處理,但目前看不到任何對應測試。這條路徑如果誤刪 tag,會直接破壞版本辨識。
建議:補測 tag 清理行為:對應 release 的 tag 必須保留、未被任何 release 引用的 tag 必須被刪除、空名稱 tag 必須略過,並驗證 DELETE 非 204 時會走錯誤分支。
@@ -16,0 +287,4 @@section('刪除舊版本成品');const releaseToDelete = releaseJson.slice(keepCount);for (const releaseItem of releaseToDelete) {嚴重等級:🟡 警告
審查員:Rogue
問題:這個
for迴圈把每個 release 的 DELETE 都串成單一等待鏈;如果要刪的 release 有 N 筆,就會多吃 N 次網路往返,整體牆鐘時間被 RTT 線性放大。建議:如果 Gitea API 容許,改成有限度並行刪除,例如一次 4 到 8 筆,或至少把可獨立的請求批次化。
@@ -16,0 +299,4 @@info(`DELETE ${releaseTag} (${releaseName})`);const { statusCode } = await deleteResource(deleteUrl, authHeaders);if (statusCode === 204) {嚴重等級:🔴 嚴重
審查員:Mage
問題:這裡在 DELETE 回傳非 204 時只寫錯誤訊息,沒有把失敗往上拋或標記成整體失敗;同樣的寫法在後面的 tag 刪除區塊也出現一次。最小重現:只要某個 release 因權限不足回 403,step 仍會繼續跑完並以成功結束,外層 workflow 會誤判清理已完成。
建議:把刪除結果納入整體失敗狀態,例如遇到非 204 直接
throw,或累積hadFailure後在流程結束時process.exit(1),不要讓任何刪除失敗被靜默吞掉。@@ -16,0 +309,4 @@section('刪除未指定 release 的 tag');const currentReleaseJson = await fetchAllPages(releaseApiUrl, authHeaders);嚴重等級:🟡 警告
審查員:Mage
問題:這裡先抓一份 release 快照,再在後面依這份快照去刪 tag;兩個步驟之間不是同一個時間點。最小重現:cleanup 跑到一半時剛好有人新增 release,新 release 的 tag 來不及出現在
releaseTags,接下來的 tag 清理就可能把剛發布的 tag 誤刪。建議:把 release 與 tag 的判定建立在同一個一致性快照上,或在刪 tag 前重新驗證該 tag 目前是否已被任何 release 使用;如果環境允許,最好加上流程鎖避免與發版同時執行。
嚴重等級:🟡 警告
審查員:Rogue
問題:這裡又對 releases API 做一次完整
fetchAllPages(),前面第 267 行已經抓過同一份資料並排序;等於把整個分頁抓取、JSON 解析與記憶體配置再跑一遍,資料量越大越浪費。建議:直接沿用前一次抓到的
releaseJson,或先從第一次結果算出要保留的 tag 集合,避免第二次全量拉取。@@ -16,0 +323,4 @@const tagJson = await fetchAllPages(tagApiUrl, authHeaders);info(`TAG_COUNT=${tagJson.length}`);for (const tagItem of tagJson) {嚴重等級:🟡 警告
審查員:Rogue
問題:tag 刪除同樣是逐筆
await,當 tag 數量多時會把每次 API 往返都串成排隊,刪除時間幾乎全卡在網路延遲上。建議:用受限並行處理 tag 刪除,或先收集待刪清單再批次送出,減少總等待時間。
🤖 AI Code Review 團隊
AI Code Review 統計
🤖 AI 助理使用量
本次審查(codex / gpt-5.4-mini,共 27 次呼叫)
剩餘可用
剩餘可用:無法計算百分比(未支援 codex 額度查詢)
@@ -3,1 +5,4 @@ARG NODE_VERSION=22-alpine# 使用指定版本的 Node.js 基底映像FROM node:${NODE_VERSION}嚴重等級:🟡 警告
審查員:Assassin
問題:這裡仍然使用可浮動的
node:22-alpine標籤,沒有鎖定到不可變的 digest。攻擊者只要污染上游映像或讓標籤漂移,就可能在 action 啟動前先取得執行權,進而竊取後續流程中的 token 與 repo 資料。建議:把基底映像改成固定 digest,例如
node:22-alpine@sha256:...,並定期以受控流程更新;不要依賴會隨時間變動的映像標籤。@@ -1,15 +1,400 @@const fs = require('fs');const https = require('https');嚴重等級:🟡 警告
審查員:Leo
問題:這個檔案同時承擔 log 格式化、輸入驗證、HTTP 呼叫、分頁抓取、刪除流程與錯誤彙總,責任切得太散。半年後只要想改一個 API 規則,維護者就得在同一個大檔裡來回跳,單元測試也很難把純邏輯跟 I/O 分開。
建議:把共用基礎能力拆成獨立模組,例如
logger、gitea client、cleanup workflow,並讓主程式只負責組裝依賴與啟動流程。@@ -12,0 +22,4 @@function formatTaipeiTimestamp(date = new Date()) {const parts = taipeiFormatter.formatToParts(date);const lookup = {};嚴重等級:🟡 警告
審查員:Rogue
問題:每次輸出一條 log 都要跑
Intl.DateTimeFormat.formatToParts(),還額外建立lookup物件再組字串;這條熱路徑會在每個 release、tag 與錯誤訊息上重複消耗 CPU,訊息一多就很浪費。建議:把時間格式改成可快取的字串產生方式,例如同一秒共用結果,或改用較便宜的 formatter,不要每條 log 都做
formatToParts()拆解。@@ -16,0 +174,4 @@function request(url, { method = 'GET', headers = {} } = {}) {return new Promise((resolve, reject) => {const target = new URL(url);if (target.protocol !== 'https:') {嚴重等級:🟡 警告
審查員:Mage
問題:這裡直接拒絕
http:連線,導致任何使用http://的 Gitea 部署都會在第一個 API 請求就失敗。最小重現情境是把GITEA_SERVER_URL設成內網常見的http://gitea.local,整個清理流程會完全無法執行。建議:若這個 action 需要支援常見的自架環境,應移除固定只允許 HTTPS 的限制,或把協定限制做成可配置;若確實只支援 HTTPS,也要在 action 說明中明確標示,避免使用者在
http環境下直接踩雷。@@ -16,0 +181,4 @@const req = https.request(target,{嚴重等級:🟡 警告
審查員:Rogue
問題:這裡先把每一頁資料全部塞進
all,等於把整個 API 結果完整具現化;release/tag 數量一大時,記憶體會吃到 O(n),而且陣列反覆擴容與拷貝也會多耗 CPU。建議:改成邊抓邊處理,不要先合併成單一大陣列;如果 API 支援,順便加大每頁筆數,減少往返次數。
@@ -16,0 +296,4 @@}const releaseApiUrl = `${GITEA_SERVER_URL}/api/v1/repos/${GITEA_REPOSITORY}/releases`;嚴重等級:🔴 嚴重
審查員:Assassin
問題:這裡把
GITEA_SERVER_URL直接拼進帶有Authorization: token ...的 API 請求,只檢查是不是https並不能防止攻擊者把環境變數指到自己的 HTTPS 主機。只要外部能影響這個值,就能把 runner token 一起送出,等於把這個 action 變成可用來外洩憑證的 SSRF 入口。建議:不要只驗證協定,必須把目標主機固定在預期的 Gitea 來源;改成解析
URL後比對origin/host 白名單,拒絕任何非預期網域,並且只在確認是可信任的 Gitea 站台時才附加Authorizationheader。@@ -16,0 +350,4 @@section('刪除未指定 release 的 tag');const releaseTags = new Set(嚴重等級:🟡 警告
審查員:Mage
問題:前面只要有任何 release 刪除失敗,這裡仍然會繼續做 tag 清理,而且
releaseTags是依照刪除前的清單算出來的。最小重現情境是某個待刪 release 因權限不足或暫時性網路錯誤沒刪掉,接著它對應的 tag 仍可能被刪除,最後變成 release 還在、tag 卻被移除的半套狀態。建議:在進入 tag 清理前先檢查 release 刪除是否有失敗;只要有失敗就應中止後續 tag 刪除,或改成只把實際成功刪除的 release 對應 tag 納入待刪集合,避免留下不一致狀態。
🤖 AI Code Review 團隊
🤖 AI Code Review 團隊
AI Code Review 統計
🤖 AI 助理使用量
本次審查(codex / gpt-5.4-mini,共 32 次呼叫)
剩餘可用
剩餘可用:無法計算百分比(未支援 codex 額度查詢)
@@ -12,0 +104,4 @@** @param {string} title 區塊名稱。*/function section(title) {嚴重等級:🟡 警告
審查員:Bard
問題:
section()與currentStage混用兩套詞彙,一個像段落、一個像階段,語意不夠統一。這種命名會讓人讀到一半還要猜:它到底是在切 log 區塊,還是在切執行階段。建議:統一成同一套語彙,例如把
section()改成setLogSection(),並讓相關變數名稱也跟著一致。@@ -12,0 +143,4 @@*/function isEmptyOrNull(value) {return value === undefined || value === null || value === '' || value === 'null';}嚴重等級:🔵 建議
審查員:Mage
問題:這個 helper 把字串
'null'也當成空值。若真的存在名稱剛好是null的 tag、repo 名稱或其他合法輸入,就會被誤判成缺值而跳過或拒絕,造成清理邏輯和實際資料不一致。建議:只把
undefined、null和空字串視為空值;若需要處理來自環境變數的字面字串'null',應該在特定參數的解析層單獨處理,不要放進通用空值判斷。@@ -16,0 +166,4 @@* @param {string} name 參數名稱。* @param {string} value 參數值。*/function requireInteger(name, value) {嚴重等級:🟡 警告
審查員:Assassin
問題:這個驗證只擋掉非數字,
0仍然會通過;若攻擊者能控制KEEP_COUNT,就能把保留數設成 0,後續流程會把所有 release 刪光,還會把所有未被保留的 tag 一併清掉。建議:把下限改成至少
1,並在進入刪除流程前再做一次保護檢查;如果真的需要全清,應該改成獨立的高風險開關,而不是混在一般輸入參數裡。@@ -16,0 +230,4 @@const { statusCode, body } = await request(pageUrl, { headers });if (statusCode < 200 || statusCode >= 300) {throw new Error(`GET ${pageUrl} failed with HTTP ${statusCode}: ${summarizeResponseBody(body)}`);嚴重等級:🟡 警告
審查員:Assassin
問題:這裡把 API 回應 body 直接拼進例外訊息,任何錯誤回應都可能被寫進 action log;如果伺服器或中間層回傳內部路徑、設定值或其他敏感內容,就會被一起外洩。
建議:錯誤訊息只保留狀態碼與必要識別資訊,回應內容改成固定摘要或更嚴格的截斷與紅字處理,不要把完整 body 直接丟進例外。
@@ -16,0 +279,4 @@for (let index = 0; index < items.length; index += batchSize) {const batch = items.slice(index, index + batchSize);await Promise.all(batch.map((item) => handler(item)));}嚴重等級:🟡 警告
審查員:Mage
問題:
Promise.all只要其中一個刪除任務拋出 reject,整個 batch 會立刻失敗,外層main().catch(...)也會直接結束。這代表只要某一筆 release 或 tag 遇到網路中斷、DNS 失敗、連線逾時,後續同 batch 的項目就不會再處理,清理流程會在半途中停住。建議:把每個 item 的刪除包在個別
try/catch,或改用Promise.allSettled後統一彙總失敗;至少要確保單筆失敗不會中止同批其他清理工作。AI Code Review 統計
🤖 AI 助理使用量
本次審查(codex / gpt-5.4-mini,共 38 次呼叫)
剩餘可用
剩餘可用:無法計算百分比(未支援 codex 額度查詢)
@@ -12,0 +141,4 @@* @param {*} value 要檢查的值。* @returns {boolean} 如果是空值則回傳 `true`。*/function isEmptyOrNull(value) {嚴重等級:🟡 警告
審查員:Mage
問題:這個空值判斷把字串
'null'也當成空值。最小重現:若某個 release 的tag_name真的就是null,它會在releaseTags建立時被排除,後續 tag 清理會把這個原本應保留的 tag 誤刪。建議:不要在通用空值判斷裡把字串
'null'視為空值;只保留undefined、null與空字串。如果某些輸入來源真的會傳出字面值'null',請在那個來源各自做正規化。@@ -12,0 +152,4 @@* @param {*} value 參數值。*/function requireValue(name, value) {info(`${name}=${value}`);嚴重等級:🟡 警告
審查員:Assassin
問題:這裡把
GITEA_SERVER_URL原樣寫進 log,若 URL 內含 userinfo、查詢字串或被惡意塞入敏感資訊,這些內容會直接落到 action log,形成可被讀取的資料外洩點。建議:不要記錄完整 URL;只輸出必要的非敏感資訊,例如遮罩後的主機名,或改成只記錄是否存在。
@@ -16,0 +180,4 @@* @param {{ method?: string, headers?: Record<string, string> }} [options] request 設定。* @returns {Promise<{ statusCode: number, body: string }>} 回應狀態碼與內容。*/function request(url, { method = 'GET', headers = {} } = {}) {嚴重等級:🟡 警告
審查員:Rogue
問題:這裡每次 request 都重新走一次預設 HTTPS 連線,沒有重用 keep-alive 連線。後面又會連續打多次頁面查詢與刪除 API,TLS 握手和 socket 建立會被重複支付,release/tag 數量一多就很浪費延遲與 CPU。
建議:改成共用
https.Agent({ keepAlive: true }),並把同一個 agent 傳給所有 GET/DELETE request,減少重複建連線的成本。@@ -16,0 +225,4 @@async function fetchAllPages(baseUrl, headers) {const all = [];for (let page = 1; ; page += 1) {嚴重等級:🔵 建議
審查員:Assassin
問題:分頁迴圈沒有上限,只要對方持續回傳非空頁面,這個 action 就會無限抓取;惡意或故障中的 API 可以把 runner 卡死,消耗時間與配額。
建議:加入最大頁數、重複頁檢測或總筆數上限,超過就中止並回報異常,避免被外部回應拖成無限迴圈。
@@ -16,0 +334,4 @@section('刪除舊版本成品');const releaseToDelete = releaseJson.slice(keepCount);await processInBatches(releaseToDelete, 4, async (releaseItem) => {嚴重等級:🔵 建議
審查員:Bard
問題:批次大小直接裸寫
4,而且在後面同樣又出現一次;這種數字沒有名字,像臨時即興的節拍,之後要調整時很難一眼找到所有節點。建議:把批次大小抽成具名常數,例如
const DELETE_CONCURRENCY = 4;,兩個呼叫點共用,畫面會更整齊,也更好維護。@@ -16,0 +342,4 @@return;}const releaseTag = sanitizeLogText(releaseItem.tag_name || '');嚴重等級:🟡 警告
審查員:Assassin
問題:
releaseItem.id直接進入 DELETE URL,完全信任 API 回來的值;如果回應被污染或伺服器回傳惡意資料,攻擊者就能把刪除請求導向非預期路徑。建議:在組 URL 前先確認
id一定是正整數,拒絕任何非數字或異常範圍的值,再送出刪除請求。@@ -16,0 +397,4 @@info(`成功刪除未指定 release 的 tag: ${safeTagName}`);} else {hadFailure = true;fail(`刪除 tag 失敗: ${safeTagName}, HTTP ${statusCode}`);嚴重等級:🔴 嚴重
審查員:Mage
問題:這裡在刪除 tag 的流程中只把失敗記進
hadFailure,但流程結束後沒有再檢查或拋錯。最小重現:只要任一個 tag 刪除回傳 404/500,程式仍會以 0 結束,外層 CI 會誤判為清理成功,但實際上遺留的 tag 還在。建議:在
processInBatches(tagJson, ...)結束後補上if (hadFailure) throw new Error(...),讓任何 tag 刪除失敗都會正確回傳非 0 狀態。@@ -16,0 +406,4 @@main().catch((error) => {currentStage = '';fail(error instanceof Error ? error.stack || error.message : String(error));process.exit(1);嚴重等級:🔵 建議
審查員:Leo
問題:在
catch裡先把currentStage清空再記錄錯誤,會讓最後那筆失敗 log 失去「到底是在哪個階段炸掉」的上下文。等到未來有人要追問題時,只能回頭翻前面的輸出,比對成本會很高。建議:保留最後的
currentStage,或在進入catch時把階段一起寫進錯誤訊息;如果擔心汙染後續輸出,可以在輸出完成後再重設,而不是先清空。AI review findings 修復(2026-07-15)
本輪處理
.gitea/ai-review/findings.json全部 8 條問題(🔴1/🟠4/🔵3),全數修復完畢、無誤報,findings.json已清空。修復內容(
src/index.js)hadFailure檢查並拋錯,任何刪除失敗都會以非 0 結束,CI 不再誤判成功GITEA_SERVER_URL不再原樣寫入 log,改顯示遮罩後的 origin;組 API URL 前先清除 userinfo/query/hashreleaseItem.id驗證為正整數(Number.isSafeInteger且大於 0)才組 DELETE URLisEmptyOrNull不再把字串'null'當空值,改由normalizeEnvValue在環境變數來源正規化,避免誤刪名為null的 taghttps.Agent({ keepAlive: true }),流程結束時銷毀 agentMAX_PAGES(1000 頁)上限,超過即中止並回報異常DELETE_CONCURRENCY常數,兩個呼叫點共用currentStage,失敗 log 保有階段上下文提交
fix(cleanup-release): 修正刪除失敗未回報、輸入驗證與 URL 遮罩並重用連線chore(ai-review 狀態): 清空已全數解決的 findings.json驗證:
node --check通過;煙霧測試確認缺參數以非 0 結束、含 userinfo 的 URL log 無外洩、非整數KEEP_COUNT會被擋下。🤖 AI Code Review 團隊
AI Code Review 統計
🤖 AI 助理使用量
本次審查(codex / gpt-5.4-mini,共 36 次呼叫)
剩餘可用
剩餘可用:無法計算百分比(未支援 codex 額度查詢)
@@ -16,0 +224,4 @@method,headers,agent: keepAliveAgent,},嚴重等級:🟡 警告
審查員:Leo
問題:
processInBatches()用Promise.all搭配外層共享的hadFailure,失敗語意會變得很難推理:一筆例外會直接中斷整批,但其他並行工作仍可能繼續跑,最後到底刪了哪些、漏了哪些,不看執行細節很難判斷。這種控制流對日後補測試或改錯誤處理都不友善。建議:把每筆處理的結果收斂成明確的成功/失敗回傳值,或在批次內逐筆捕捉錯誤後再彙總;若要保留並行,至少讓批次函式回傳可測試的結果集合,而不是依賴外部可變狀態。
@@ -16,0 +227,4 @@},(res) => {const chunks = [];嚴重等級:🟡 警告
審查員:Rogue
問題:這裡對每個 request 都先建立
chunks陣列、收完整個 response body,再join成字串。刪除 release/tag 時大多只需要狀態碼,還硬把回應內容完整緩衝進記憶體,會在大量刪除時增加不必要的配置與拷貝。建議:把 request 包成可選擇是否收集 body;對 DELETE 這類不需要回應內容的呼叫直接丟棄資料串流,只保留 status code。
@@ -16,0 +249,4 @@/*** 逐頁抓取 JSON 陣列資料,直到回傳空頁為止;超過 `MAX_PAGES` 即中止並回報異常。** @param {string} baseUrl 不含 page 參數的 API URL。嚴重等級:🟡 警告
審查員:Assassin
問題:
GITEA_REPOSITORY直接字串串進 release API 路徑,沒有做格式驗證或路徑編碼。只要這個值被污染,攻擊者就能把../、額外斜線或其他路徑片段塞進去,讓帶著授權 token 的請求打到非預期的 API 路徑,擴大刪除面。建議:先把 repository 嚴格限制為
owner/repo這種固定格式,再對 owner 與 repo 各自做encodeURIComponent後組 URL,不要直接把原字串拼進路徑。@@ -16,0 +316,4 @@await Promise.all(batch.map((item) => handler(item)));}}嚴重等級:🟡 警告
審查員:Assassin
問題:這裡同樣把未驗證的
GITEA_REPOSITORY直接拼到 tag API 路徑。若輸入被操弄,攻擊者可以藉由路徑注入把刪除請求導向非預期資源,配合授權 token 造成超出原本 repo 範圍的破壞。建議:和 release API 一樣,對 repository 做嚴格格式檢查並逐段編碼後再組合路徑,必要時拒絕任何包含額外
/、.或保留字元的值。@@ -16,0 +333,4 @@requireInteger('KEEP_COUNT', KEEP_COUNT);const keepCount = Number(KEEP_COUNT);const authHeaders = {};嚴重等級:🟡 警告
審查員:Mage
問題:
KEEP_COUNT只驗證是數字字串,沒有保證落在安全整數範圍內。像9007199254740993這種值會在Number()轉換時失真,導致releaseCount <= keepCount與slice(keepCount)的保留/刪除判斷偏掉,最終清理結果可能和設定不一致。建議:除了字串格式外,還要驗證
Number.isSafeInteger(Number(KEEP_COUNT)),並加上合理上限;超出範圍時直接報錯,避免用不精確的數值做刪除決策。@@ -16,0 +342,4 @@}const serverBase = new URL(GITEA_SERVER_URL);serverBase.username = '';嚴重等級:🟡 警告
審查員:Mage
問題:
GITEA_SERVER_URL只做非空檢查,沒有先確認它是合法的絕對 URL。只要傳入像gitea.local、https://這類看起來有值但格式不合法的字串,new URL()就會直接丟出未處理例外,錯誤也不會明確指出是參數格式問題。建議:在進入主流程前先對
GITEA_SERVER_URL做try/catch驗證,失敗時回傳明確的參數錯誤並結束;不要把 URL 解析失敗留到中途才爆。@@ -16,0 +360,4 @@}if (left.created_at > right.created_at) {return -1;嚴重等級:🟡 警告
審查員:Rogue
問題:
releaseJson.sort(...)先把所有 release 做完整排序,成本是 O(n log n),但後面其實只用前KEEP_COUNT筆。當 release 很多時,這段排序就是多花 CPU 在不必要的全量比較上。建議:改用固定大小的 top-K 選擇策略,例如維持一個大小為
KEEP_COUNT的最小堆,或在 API 已經有新到舊順序時直接取前KEEP_COUNT筆,避免整體排序。AI review findings 修復(2026-07-15 第二輪)
本輪處理
.gitea/ai-review/findings.json全部 13 條問題:修復 7 條、誤報登記 1 條、前輪已修復的殘留 3 條(is_new: false,經比對現行程式碼確認已不成立)合併移除,findings.json已清空。修復內容(
src/index.js)processInBatches改用Promise.allSettled並回傳結果集合:單筆網路例外不再中止同批其他刪除,也移除共享的hadFailure可變狀態,由hasBatchFailure統一彙總(涵蓋 2 條 finding)GITEA_REPOSITORY嚴格驗證owner/repo格式、拒絕./..片段,並逐段encodeURIComponent後才組 release/tag API 路徑(涵蓋 2 條 finding)GITEA_SERVER_URL於參數檢查階段即驗證為合法 HTTPS 絕對 URL,格式錯誤會回報明確參數錯誤KEEP_COUNT下限改為 1(action.yml設計意圖即為避免完全刪除歷史 release)並限制在安全整數範圍,杜絕設 0 全刪與大數失真collectBody: false丟棄回應串流,只保留狀態碼誤報登記(
exclusions.json)src/index.js:363排序改 top-K 堆的建議:release 數量預期不大、全量排序最清楚,與既有「分頁結果先完整收集」排除理由一致提交
fix(cleanup-release): 強化參數驗證與批次失敗處理,防止路徑注入與整批中斷chore(ai-review 狀態): 清空 findings 並登記排序 top-K 建議為誤報驗證:
node --check通過;煙霧測試確認KEEP_COUNT=0、超出安全整數、非法/HTTP URL、../x/o/../a/b/c等 repository 值均在參數檢查階段被擋下並以非 0 結束。🤖 AI Code Review 團隊
AI Code Review 統計
🤖 AI 助理使用量
本次審查(codex / gpt-5.4-mini,共 29 次呼叫)
剩餘可用
剩餘可用:無法計算百分比(未支援 codex 額度查詢)
@@ -16,0 +305,4 @@const all = [];for (let page = 1; ; page += 1) {if (page > MAX_PAGES) {嚴重等級:🟡 警告
審查員:Mage
問題:這裡把分頁數硬性上限鎖死為 1000 頁。只要 releases 或 tags 的總量超過這個門檻,
fetchAllPages就會直接拋錯中止,即使 API 其實還有資料可取。以每頁 30 筆來算,超過約 3 萬筆就會永久卡死清理流程。建議:改用 API 回傳的分頁資訊或
Linkheader 判斷是否還有下一頁;如果仍要保留上限,請改成可設定且預設足夠大的值,而不是固定寫死。@@ -16,0 +314,4 @@if (statusCode < 200 || statusCode >= 300) {throw new Error(`GET ${pageUrl} failed with HTTP ${statusCode}: ${summarizeResponseBody(body)}`);}嚴重等級:🟡 警告
審查員:Assassin
問題:非 2xx 回應時,這裡會把遠端回應 body 的摘要直接拼進例外訊息。攻擊者只要能控制對端回應,就能把內部錯誤、設定細節或其他敏感字串塞進 CI logs,讓有 log 權限的人直接讀到。
建議:例外訊息只保留 HTTP 狀態碼與請求目標,不要預設帶回應 body;若真的需要除錯資訊,改成在受控的 debug 模式下才輸出,而且要先過濾敏感欄位並更短截斷。
@@ -16,0 +457,4 @@const releaseToDelete = releaseJson.slice(keepCount);const releaseResults = await processInBatches(releaseToDelete, DELETE_CONCURRENCY, async (releaseItem) => {const releaseId = releaseItem?.id;if (!Number.isSafeInteger(releaseId) || releaseId <= 0) {嚴重等級:🟡 警告
審查員:Mage
問題:當
releaseItem.id缺失或不是安全整數時,這裡只警告然後回傳true,等於把資料異常當成處理成功。最壞情況是 API 回傳壞資料或 schema 改版,舊 release 被靜默跳過,最後 job 仍可能顯示成功。建議:遇到無效
id時應直接視為失敗,改成throw或回傳false,讓工作非正常結束並停止後續 tag 清理。@@ -16,0 +501,4 @@const tagResults = await processInBatches(tagJson, DELETE_CONCURRENCY, async (tagItem) => {const tagName = tagItem?.name;if (isEmptyOrNull(tagName)) {嚴重等級:🟡 警告
審查員:Mage
問題:tag 沒有
name時也只是警告後回傳true,這會讓壞資料被靜默略過。若 tag 清單中出現異常項目,cleanup 會看起來成功,但實際上有 tag 沒被處理。建議:把空白或缺失的
name視為失敗,至少讓整體結果反映出資料異常;不要把無法辨識的 tag 當成成功案例。@@ -16,0 +533,4 @@main().catch((error) => {fail(error instanceof Error ? error.stack || error.message : String(error));process.exitCode = 1;嚴重等級:🔵 建議
審查員:Assassin
問題:這裡直接輸出
error.stack,會把檔案路徑、函式名稱與執行細節一起灑到標準錯誤。對能看 CI logs 的人來說,這等於免費拿到更多內部結構資訊,方便後續針對性利用。建議:預設只輸出
error.message或自訂錯誤代碼;堆疊資訊只在明確開啟除錯模式時才顯示,避免把內部實作細節帶到正式 log。