chore(ai-review): 遷移 exclusions 舊腳色名並清空 findings

.gitea/ai-review/exclusions.json

@@ -1,6 +1,6 @@
 [
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "app/git.js",
         "suggestion":  "請避免將敏感資料（如 GITEA_TOKEN）直接寫入環境變數"
     },
@@ -9,7 +9,7 @@
         "suggestion":  "GITEA_TOKEN 直接嵌入 URL 中，建議改以環境變數或 Gitea Secrets 注入"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "README.md",
         "suggestion":  "contents: write、pull-requests: write、issues: write 為此 Action 正常運作所必要的權限，無法縮減"
     },
@@ -26,17 +26,17 @@
         "suggestion":  "filterFalsePositivesWithAI 拋出的 Error 會被 catch 攔截並降級回傳原始 findings，不會中斷流程"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  ".gitea/workflows/review.yaml",
         "suggestion":  "contents: write、pull-requests: write、issues: write 為此 Action 正常運作所必要的權限，無法縮減"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  ".gitea/workflows/review.yaml",
         "suggestion":  "OPENAI_API_KEY 參數傳入的是 OPENROUTER_API_KEY secret，為 OpenRouter 使用 OpenAI 相容介面的正確做法"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "README.md",
         "suggestion":  "章節編號連續且正確，無需調整"
     },
@@ -46,17 +46,17 @@
         "suggestion":  "action.yaml 定義的參數名稱為 GEMINI_API_KEY、GEMINI_BASE_URL、GEMINI_MODEL，與 review.yaml 完全一致，無不匹配問題"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  ".gitea/workflows/review.yaml",
         "suggestion":  "review.yaml 已改用 Gemini，不再有 OPENAI_API_KEY 行，註解空格問題不存在"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "app/config.test.js",
         "suggestion":  "檔案結尾已有換行符號，import 行長度合理，無需修改"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "action.yaml",
         "suggestion":  "action.yaml 已整理，多餘空行已移除，結構整潔"
     },
@@ -66,22 +66,22 @@
         "suggestion":  "LLM 整合測試需要真實 API key 與網路，不適合加入單元測試。llm.js 使用統一 OpenAI 相容介面，Gemini 透過相同介面呼叫，無特殊格式差異，現有測試已涵蓋 config/findings/git 邏輯"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "app/",
         "suggestion":  "LLM 整合測試需要真實 API key 與網路，不適合加入單元測試。llm.js 使用統一 OpenAI 相容介面，Gemini 透過相同介面呼叫，無特殊格式差異"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "app/config.test.js",
         "suggestion":  "import 語句長度合理，無需拆分為多行"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  ".gitea/ai-review/findings.json",
         "suggestion":  "findings.json 重複問題由 AI 去重與排除機制處理，不是程式碼問題"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "app/comments.js",
         "suggestion":  "JSON 結尾換行符號為標準做法，不影響任何 JSON 解析器，無相容性問題"
     },
@@ -90,7 +90,7 @@
         "suggestion":  "findings.json 是自動產生的問題記錄檔，不應對其內容提出審查問題"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  ".gitea/workflows/review.yaml",
         "suggestion":  "切換 LLM 服務提供商的維護建議屬過度謹慎，不是實際程式碼問題"
     },
@@ -100,12 +100,12 @@
         "suggestion":  "Authorization 標頭已有 provider !== \u0027ollama\u0027 判斷，不會無條件加入，已正確處理"
     },
     {
-        "role":  "Zara",
+        "role":  "Rogue",
         "location":  "app/llm.js",
         "suggestion":  "timeout 已移除，每個 key 等待完整回應，避免浪費免費額度"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "app/llm.js",
         "suggestion":  "httpsAgent (rejectUnauthorized: false) 已移除，SSL/TLS 驗證已恢復正常"
     },
@@ -115,7 +115,7 @@
         "suggestion":  "llm.test.js 已存在並涵蓋 API Key 輪替的所有異常狀況，包含單 Key、多 Key 輪替、所有 Key 失敗等測試案例"
     },
     {
-        "role":  "Zara",
+        "role":  "Rogue",
         "location":  "app/comments.js",
         "suggestion":  "comments.js:24 的 saveFindings 函式為正常寫入邏輯，不涉及異常訊息格式或重複寫入問題"
     },
@@ -135,7 +135,7 @@
         "suggestion":  "輪替邏輯對所有錯誤類型行為一致（catch 全部），401/429/timeout 觸發相同輪替流程，測試不同錯誤類型無額外驗證價值"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  ".gitea/workflows/master.yaml",
         "suggestion":  "master.yaml 檔案結尾已有換行符號（0x0a），符合 POSIX 慣例，無需修改"
     },
@@ -160,12 +160,12 @@
         "suggestion":  "`log.test.js` 的新增非常棒，提供了良好的覆蓋率。為了進一步提升測試的完整性，建議考慮為 `line`, `ok`, `warn`, `error` 函數新增測試案例，以驗證當傳入空字串時的行為。雖然這些函數的行為相對簡單，但測試空字串可以確保邊界情況下的輸出符合預期。"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "app/package.json",
         "suggestion":  "審查 changelog 是人工作業，不是程式碼問題，不適合作為 code review 問題"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "app/llm.js",
         "suggestion":  "此 action 為 CLI 工具，process.exit(1) 是設計意圖讓 CI/CD workflow 失敗。改拋錯會被 chatJSON 的 catch 吞掉回傳 []，破壞現有行為"
     },
@@ -182,12 +182,12 @@
         "suggestion":  "多個 COPY 指令是刻意設計，用來區分 app 與 skill 資產並維持 layer cache 可讀性，不是維護問題。"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "Dockerfile",
         "suggestion":  "Dockerfile 檔案結尾已有換行符號（0x0a），符合 POSIX 慣例"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "entrypoint.sh",
         "suggestion":  "entrypoint.sh 檔案結尾已有換行符號（0x0a），符合 POSIX 慣例"
     },
@@ -212,17 +212,17 @@
         "suggestion":  "gitea.js 的 SSL 驗證已改為由 GITEA_SKIP_TLS_VERIFY 環境變數控制，預設啟用驗證，非安全漏洞"
     },
     {
-        "role":  "Zara",
+        "role":  "Rogue",
         "location":  "Dockerfile",
         "suggestion":  "Dockerfile 已優化層次快取：先 COPY package.json 再 npm install，最後才 COPY 其餘檔案"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "app/package.json",
         "suggestion":  "test 腳本已改為 node --test *.test.js，在 app/ 目錄下執行可自動發現所有測試檔案"
     },
     {
-        "role":  "Zara",
+        "role":  "Rogue",
         "location":  "app/main.js",
         "suggestion":  "deduplicateWithAI 和 filterFalsePositivesWithAI 為循序依賴流程（去重後才能過濾），無法平行化"
     },
@@ -242,22 +242,22 @@
         "suggestion":  "TODO.md 的階段編號僅供內部開發追蹤，無外部文件引用，階段編號調整不影響任何外部一致性"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "app/gitea.js",
         "suggestion":  "getPRDiff 函數現在回傳未經過濾的原始 Git Diff 內容。雖然 main.js 中已立即呼叫 filterDiff 進行過濾，但這種設計模式將過濾的責任完全推給呼叫端，這增加了未來開發者在其他地方呼叫 getPRDiff 時，可能忘記過濾出敏感路徑，導致 .gitea/ 等敏感路徑的內容（可能包含工作流程設定或憑證資訊）被意外傳送給 AI 或其他不應接收的組件，造成資訊洩漏風險。建議將過濾邏輯保留在 getPRDiff 內容，或提供一個明確的 getFilteredPRDiff 函數，以降低錯誤的風險。"
     },
     {
-        "role":  "Zara",
+        "role":  "Rogue",
         "location":  "app/git.js",
         "suggestion":  "在 main.js 中，commitAndPush 函數內部會再次呼叫 cloneRepo，然而 main.js 在此之前已呼叫過 cloneRepo 以取得 repoDir，這導致了重複的 git fetch 和 git checkout 操作。即使 cloneRepo 內容有檢查環境變數，仍會造成不必要的清潔和時間延遲。建議修改 commitAndPush 邏輯，使其接收已存在的 repoDir 作為參數，避免重複執行 cloneRepo。"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "app/main.js",
         "suggestion":  "在 main.js 中，表達式 repoDir。"
     },
     {
-        "role":  "Zara",
+        "role":  "Rogue",
         "location":  "app/gitea.js:L20-L21",
         "suggestion":  "將 filterDiff 中的正規表達式比對（RegExp.match）替換為 String.startsWith 是一個重要的效能改進。startsWith 是一個更輕量且高效的字串操作，尤其在處理大型 Git Diff 內容時，此修改已顯著提升過濾效率。"
     },
@@ -336,7 +336,7 @@
         "suggestion":  "在 `runs.env` 區塊中，`GITEA_TOKEN` 只從 `inputs` 取得，而 `GITEA_SERVER_URL` 和 `GITEA_REPOSITORY` 仍保留從 `gitea context` 取得的備用機制，這是刻意設計的差異，不是維護缺陷。"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "action.yaml:18",
         "suggestion":  "引入 `GITEA_COMMENT_TOKEN` 是一個很好的實踐，遵循最小權限原則。請確保為此 token 配置的權限確實僅限於發布評論。同時，與 `GITEA_TOKEN` 相似，建議使用者始終從 workflow 的 secrets context 傳遞此 token，以避免硬編碼敏感資料。"
     },
@@ -353,7 +353,7 @@
         "is_new":  true
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "app/preflight.js:12",
         "suggestion":  "程式碼中根據 `GITEA_SKIP_TLS_VERIFY` 環境變數來禁用 TLS 憑證驗證 (`rejectUnauthorized: false`)，這會使應用程式容易受到中間人 (Man-in-the-Middle, MITM) 攻擊。攻擊者可能在不被察覺的情況下攔截和修改與 Gitea 伺服器的通訊。建議移除此功能，或確保在任何生產環境中永不啟用。如果 Gitea 伺服器使用自簽憑證，應將其憑證加入信任儲存區，而非禁用驗證。"
     },
@@ -363,17 +363,17 @@
         "suggestion":  "函式 `verifyLLM` 處理了多種 LLM 供應商的驗證邏輯（Ollama、Claude、OpenAI 相容等），導致其長度較長且複雜度較高。建議將不同供應商的驗證邏輯拆分成獨立的輔助函式（例如 `_verifyOllama`、`_verifyOpenAICompatible`），以提高模組化程度和可讀性。"
     },
     {
-        "role":  "Zara",
+        "role":  "Rogue",
         "location":  "app/preflight.js:70-82",
         "suggestion":  "在 `verifyLLM` 函式中，當配置了多個 LLM API Key 時，系統會依序嘗試驗證每個 Key，每個嘗試都有 30 秒的逾時時間。如果前幾個 Key 驗證失敗，這可能導致顯著的累積延遲。雖然這是為了找到一個可用的 Key，但若 Key 數量多且網路不穩定，可能會造成啟動時間過長。可以考慮縮短單次 Key 驗證的逾時時間，或在特定情況下提供更快的失敗機制。"
     },
     {
-        "role":  "Rex",
+        "role":  "Assassin",
         "location":  "app/preflight.js:100",
         "suggestion":  "在記錄 LLM API 驗證失敗時，直接輸出了錯誤訊息 `e.message`。雖然通常情況下 `e.message` 不會包含敏感資訊，但為了最佳安全實踐，建議審查 LLM 服務提供商的錯誤訊息格式，確保其中不會意外洩漏 API 金鑰或其他敏感請求內容。若有疑慮，應對錯誤訊息進行消毒或僅記錄高層次的錯誤類型。"
     },
     {
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "app/preflight.js:30",
         "suggestion":  "在 `checkRequiredEnv`、`verifyGiteaToken` 和 `verifyCommentToken` 等函式中，預設參數直接引用了從 `config.js` 匯入的常數。雖然這在功能上可行，但為了提高程式碼的清晰度和一致性，建議考慮以下兩種方式之一：1. 將所有配置值作為明確的參數從呼叫端傳入。2. 讓函式直接從 `config.js` 模組中讀取這些值，而不是透過預設參數。"
     },
@@ -384,19 +384,19 @@
     },
     {
         "level":  "warning",
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "app/preflight.test.js:25",
         "suggestion":  "測試描述使用英文。請確保專案在測試描述的語言上保持一致性。如果專案主要使用繁體中文（如 app/preflight.js 中的 JSDoc 和日誌），則應將此測試描述翻譯為繁體中文。"
     },
     {
         "level":  "info",
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "app/preflight.test.js:1-4",
         "suggestion":  "匯入語句的排序不一致。建議遵循一致的排序規則，例如：內建模組、第三方模組、本地模組，並在各組內按字母順序排序。"
     },
     {
         "level":  "info",
-        "role":  "Aria",
+        "role":  "Bard",
         "location":  "app/preflight.test.js:14",
         "suggestion":  "函數名稱 clearLLMEnv 雖然可理解，但可以更具描述性，例如 clearLlmEnvironmentVariables 或 resetLlmEnv。"
     }

.gitea/ai-review/findings.json

@@ -1,16 +1 @@
-[
-  {
-    "level": "warning",
-    "role": "Maya",
-    "location": "app/comments.test.js:84",
-    "suggestion": "請為 `postNewCriticalComments` 函數新增一個測試案例，驗證當傳入空的 `findings` 陣列時，函數能正確執行且不發布任何 comment。這能確保邊界條件的處理是符合預期的。",
-    "is_new": true
-  },
-  {
-    "level": "warning",
-    "role": "Maya",
-    "location": "app/comments.test.js:84",
-    "suggestion": "目前 `postNewCriticalComments` 的測試案例主要針對單一 critical finding。建議新增一個測試案例，包含多個 `is_new` 且 `level === 'critical'` 的 findings，其中一些可以成功發布行內 comment，另一些則因 `parseLocation` 失敗或 `postInline` 拋出錯誤而降級為一般 comment。這能更全面地驗證迴圈邏輯和多個問題的處理。",
-    "is_new": true
-  }
-]
+[]