chore(ai-review 狀態): 回寫已處理 findings

.gitea/ai-review/findings/2026-07-20-15:57:46.json

@@ -8,32 +8,6 @@
     "model": "（工具預設）"
   },
   "findings": [
-    {
-      "id": "F001",
-      "reviewer": "Assassin",
-      "focus": "security",
-      "badge": "🗡️",
-      "severity": "嚴重",
-      "file": "src/lib/review.js",
-      "startLine": 72,
-      "endLine": 81,
-      "problem": "開啟 ACTIONS_STEP_DEBUG=true 後，會把攻擊者可間接操控的 AI CLI stderr／stdout（經黑名單式 redactSecrets 遮罩）寫入長期保存的 CI log。短 token、JWT、含標點或空白的密碼、非典型金鑰及 PII 仍可能繞過遮罩。建議即使除錯模式也只記錄退出碼／signal／逾時／診斷 ID，若需原文則寫入受限、短期保存、需授權取得的安全 artifact。",
-      "suggestion": "CI log 不輸出 AI CLI 原文，即使 debug 模式；需要原文時改寫入存取受限的安全 artifact，並套用允許清單式結構化診斷與 PII／機密掃描。此為安全性與可除錯性的政策取捨：現行已刻意保留 debug-gated 遮罩輸出，是否完全移除需維護者裁示。",
-      "suggestedCode": "function agentFailureDetail(res) {\n  const err = res && res.error;\n  if (err && err.killed) return '已逾時終止';\n  if (err && typeof err.code === 'number') return `exit ${err.code}`;\n  if (err && err.signal) return `signal ${err.signal}`;\n  return 'AI CLI 執行失敗（原始輸出已隱藏）';\n}"
-    },
-    {
-      "id": "F002",
-      "reviewer": "Leo",
-      "focus": "maintainability",
-      "badge": "🧰",
-      "severity": "警告",
-      "file": "src/index.js",
-      "startLine": 176,
-      "endLine": 218,
-      "problem": "main() 內新增 issueBuffer、可變 issue、postComment 與 ensureIssueCreated 閉包，後續多處依 ctx.createIssue 分支。留言路由、issue 生命週期、標籤、相依關係與審查編排共享同一批可變狀態；未來增加發布目的地或重試策略時須同步理解並修改整個超長主流程，測試也只能透過 main() 間接覆蓋。",
-      "suggestion": "抽出具明確介面的發布器（如 PrReviewPublisher 與 IssueReviewPublisher），封裝留言暫存、issue 建立、沖刷、問題明細與收束關聯；main() 只呼叫一致的 publishContext／publishFindings／finalize，便於分別注入假的 Gitea client 測試兩種模式並移除散落的模式判斷。屬大範圍重構＋設計取捨，需維護者確認方向。",
-      "suggestedCode": ""
-    },
     {
       "id": "F003",
       "reviewer": "Maya",
@@ -60,19 +34,6 @@
       "suggestion": "以參數化測試覆蓋 findings 四種組合，斷言 API 呼叫順序／次數／issue number／統計；並分別讓 listLabels／selectLabels／createIssue／問題留言／PR 連結留言／addIssueDependency 拋錯，驗證哪些中止、哪些僅記警告續行；零 findings 時斷言所有寫入 API 皆不呼叫。屬測試架構決策。",
       "suggestedCode": ""
     },
-    {
-      "id": "F005",
-      "reviewer": "Maya",
-      "focus": "testing",
-      "badge": "🧪",
-      "severity": "警告",
-      "file": "src/lib/gitea.js",
-      "startLine": 171,
-      "endLine": 215,
-      "problem": "新增的問題相依 API 包裝沒有測試驗證 endpoint、HTTP method 與 payload。特別是 addIssueDependency 容易顛倒的「PR 相依於 issue」方向未被斷言；若 index 或 body 欄位放反，合併阻擋語意會相反。（原併列的 addLabelsToIssue 已於本次移除。）",
-      "suggestion": "mock 底層 API，對相依關係使用不同的 PR／issue 編號，精確斷言 URL 指向 PR、body.index 指向阻擋來源 issue，並覆蓋 API 非 2xx 時錯誤原樣往上拋出的案例。屬測試架構決策。",
-      "suggestedCode": ""
-    },
     {
       "id": "F006",
       "reviewer": "Maya",
@@ -99,19 +60,6 @@
       "suggestion": "mock git 執行器與 URL／env 組裝，補測 pushToken 有值／空、origin 成功／失敗、PAT 推送失敗及含特殊字元等案例；斷言 push 目標與呼叫次數，並確保任何拋出的錯誤、log 或快照都不含原始 token。屬測試架構決策。",
       "suggestedCode": ""
     },
-    {
-      "id": "F008",
-      "reviewer": "Maya",
-      "focus": "testing",
-      "badge": "🧪",
-      "severity": "警告",
-      "file": "src/lib/review.js",
-      "startLine": 16,
-      "endLine": 80,
-      "problem": "redactSecrets／agentFailureDetail 直接決定 CI 日誌是否洩漏內容及失敗診斷是否可用，但沒有測試覆蓋。空值、控制字元、Authorization/Bearer、URL 帳密、各種 token 樣式、截斷，以及 ACTIONS_STEP_DEBUG 大小寫與未啟用時隱藏 stdout/stderr 等邊界尚未驗證。",
-      "suggestion": "為這兩個純函式補單元測試（必要時受控匯出或抽獨立模組），以假憑證逐一測試遮罩規則與換行注入並斷言輸出不含原始秘密；保存還原 ACTIONS_STEP_DEBUG 驗證預設／true／混合大小寫／逾時／exit code／signal／無 error／超長輸出。屬測試架構決策。",
-      "suggestedCode": ""
-    },
     {
       "id": "F009",
       "reviewer": "Bard",
@@ -124,19 +72,6 @@
       "problem": "push-token 的用途與退回行為在區塊註解、欄位描述、required 與 default 註解中反覆說明，且單行 description 過長，資訊雖完整但重複，日後修改語意易只改到一處。",
       "suggestion": "保留一段「為何需要 PAT」的必要背景，其餘讓欄位名稱、required、default 自行表意，將 description 收斂成呼叫端真正需要知道的契約。註：本專案採 doc-funcs 高密度註解慣例，是否精簡屬慣例取捨，需維護者確認。",
       "suggestedCode": "  # 專用推送 PAT；以 PAT 推送可重新觸發 CI。留空時沿用 token。\n  push-token:\n    description: '推送審查結果 commit 的 PAT（留空時沿用 token）'\n    required: false\n    default: ''"
-    },
-    {
-      "id": "F010",
-      "reviewer": "Bard",
-      "focus": "style",
-      "badge": "🎼",
-      "severity": "建議",
-      "file": "src/index.js",
-      "startLine": 203,
-      "endLine": 226,
-      "problem": "ensureIssueCreated 之名帶有「已存在便沿用」的冪等語意，實際卻無條件建立新 issue 並悄悄改寫外層 issue；名稱、行為與副作用不一致，閱讀呼叫處易形成錯誤預期。",
-      "suggestion": "若此函式只允許呼叫一次，改用直接表達「建立並沖刷暫存留言」的名稱並回傳建立結果，由呼叫端明確指派 issue，讓資料流一眼可見。註：本項與 F002（抽出 publisher 大重構）指向同一段核心流程、維護者正審視中，宜與該重構一併處理，避免重複改動。",
-      "suggestedCode": "const createIssueAndFlushBuffer = async (labelIds = []) => {\n  const createdIssue = await gitea.createIssue(ctx, {\n    title: ctx.prTitle || `AI Code Review：PR #${ctx.prNumber}`,\n    body: templates.issueBody({ prNumber: ctx.prNumber, prBody: ctx.prBody }),\n    labels: labelIds,\n  });\n  for (const body of issueBuffer) {\n    await gitea.createCommentOnIssue(ctx, createdIssue.number, body);\n  }\n  issueBuffer.length = 0;\n  return createdIssue;\n};\nissue = await createIssueAndFlushBuffer(labelIds);"
     }
   ],
   "excluded": []