feat: remove unused outputs from action.yml and add exclusions for AI review suggestions

2026-05-13 05:47:21 +00:00
parent bca72009c0
commit 47f545dee4
2 changed files with 47 additions and 4 deletions
@@ -0,0 +1,47 @@
+[
+  {
+    "role": "Rex",
+    "location": "action.yml",
+    "suggestion": "此工作流程從非官方且未經充分審查的外部 Gitea 實例（gitea.jsc.idv.tw）引用多個 GitHub Actions，這存在嚴重的供應鏈攻擊風險，惡意行為者可能透過修改這些 Actions 來執行任意程式碼，竊取敏感資料或破壞建置流程。強烈建議將這些 Actions 內部化，讓僅到受信任的環境，或在每次更新時對其原始碼進行嚴格的安全審查。"
+  },
+  {
+    "role": "Rex",
+    "location": "action.yml:34",
+    "suggestion": "將 RUNNER_TOKEN 傳遞給來自外部 Gitea 實例的 nuget-push Action 存在高度風險。如果該 Action 被惡意竄改，RUNNER_TOKEN 可能會被竊取並用於未經授權的操作。建議僅在 RUNNER_TOKEN 僅具有最小必要權限，並妥善防止外部 Actions 進行嚴格的原始碼審查。若可能，應考慮使用 OIDC 或其他更安全的憑證管理方式，或將此 Action 內部化。"
+  },
+  {
+    "role": "Leo",
+    "location": "action.yml",
+    "suggestion": "當更新外部動作（actions）的版本時，建議在 Git commit 訊息或 Pull Request 描述中提供更新的理由，例如是為了修正錯誤、新增功能、安全性更新，或是為了與其他元件保持同步。這有助於未來的維護者理解變更的背景，並在遇到問題時能更快地溯源原因。"
+  },
+  {
+    "role": "Maya",
+    "location": "action.yml",
+    "suggestion": "當更新外部動作（actions）的版本時，應有明確的測試流程來驗證新版本不會引入問題或破壞建置流程。此 Git Diff 中未見相關的測試說明或驗證紀錄。建議在更新後執行完整的整合測試或前測試，以降低整體 CI/CD 工作流程的潛在風險。"
+  },
+  {
+    "role": "Maya",
+    "location": "action.yml",
+    "suggestion": "此 action.yml 定義了一個複合動作，但目前未看到對其他動作的整合測試。建議為此動作建立最簡的整合測試，模擬其實際環境與輸入和行為是否符合預期。這將有助於確保動作的可靠性和維護性長期穩定。"
+  },
+  {
+    "role": "Zara",
+    "location": "action.yml",
+    "suggestion": "當更新外部 Actions 的版本時，務必審查其變動的明確來源日期，以了解是否有可依據相關的改版紀錄進行追蹤。即便小版本更新，也可給合併者提供更多資訊。對於經常性工作流程，建議在更新後有效產生測試，以確保整體穩定和有效率不受影響。"
+  },
+  {
+    "role": "Rex",
+    "location": "action.yml",
+    "suggestion": "目前所有外部 GitHub Actions 都訂到可變動的版本標籤（e.g., v0.6.0），建議將 Actions 釘選到特定的 Git Commit SHA，以確保每次執行都能使用完全相同的程式碼，防止標籤被惡意更新而引入未經審查的變更，從而提高供應鏈安全性。"
+  },
+  {
+    "role": "Aria",
+    "location": "action.yml",
+    "suggestion": "檔案結尾應包含一個換行符號。這有助於確保檔案在不同系統和工具間的一致性，並避免在合併或處理時產生不必要的差異。"
+  },
+  {
+    "role": "Maya",
+    "location": "action.yml",
+    "suggestion": "當更新外部動作（actions）的版本時，應有明確的測試流程來驗證新版本不會引入問題或破壞建置流程。此 Git Diff 中未見相關的測試說明或驗證紀錄。建議在更新後執行完整的整合測試或前測試，以降低整體 CI/CD 工作流程的潛在風險。"
+  }
+]