Compare commits
7
Commits
| Author | SHA1 | Date | |
|---|---|---|---|
 ai-review-bot
|
25f76e6e6e | ||
|
Jeffery
|
44c33b6c1e | ||
|
Jeffery
|
449b17480b | ||
|
ai-review-bot
|
b60f50f2b4 | ||
|
Jeffery
|
43ad2b56d2 | ||
|
Jeffery
|
8e18bbacc2 | ||
|
Jeffery
|
1f012c6cfb |
@@ -1989,5 +1989,203 @@
|
||||
"endLine": 188,
|
||||
"problem": "`resolveMergeBase` 新增了多階段 fetch 補歷史流程：先 fetch base、首次 merge-base、再 deepen base、deepen PR HEAD、必要時 unshallow，且每個策略成功後要立即重試並短路返回。現有測試只驗證不安全 `baseRef` 會在 fetch 前被拒絕，沒有測到淺層 checkout、首次失敗後補抓成功、策略失敗繼續下一個、全部失敗時診斷訊息等邊界。這正是容易 off-by-one 或順序錯的流程，現在還沒有測試保護。",
|
||||
"reason": "Paladin：可排除（重複）。resolveMergeBase 多階段 fetch、淺層與非淺層路徑、策略停止條件、全部失敗診斷與 cause 缺少測試，已由歷史 findings 涵蓋。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:26:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Assassin",
|
||||
"severity": "嚴重",
|
||||
"file": "src/index.js",
|
||||
"startLine": 105,
|
||||
"endLine": 116,
|
||||
"problem": "這裡把審查結果 commit/push 失敗吞掉並回傳 `false`，而本次變更又把主流程改成「本輪審查不因嚴重問題直接 exit 1，靠下一輪讀到 `[failure]` commit 才失敗」。攻擊者只要讓結果 commit 推不上去，例如在 PR head 競態推送、讓 token 沒有 push 權限、或讓來源分支拒絕 bot push，就能讓嚴重安全 finding 已產生但沒有 failure commit、也沒有下一輪失敗檢查，等同把必要檢查繞過。",
|
||||
"reason": "人工裁示排除：主流程已在 result === failure 且 commitFindings 回傳 false 時直接回傳 1；本 finding 針對舊位置的描述已由現有收尾防線涵蓋。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:30:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Bard",
|
||||
"severity": "建議",
|
||||
"file": "readme.md",
|
||||
"startLine": 48,
|
||||
"endLine": 48,
|
||||
"problem": "Mermaid 節點代號從 `N8` 跳回 `N2`，雖然流程語意是「步驟 2 延後」，但原始碼讀起來像旋律突然倒帶；維護者在對照圖與步驟時容易被代號順序絆住。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 findings 已指出流程步驟編號與實際順序、README 流程圖及文件對照會產生認知落差；本條 Mermaid 節點代號問題屬同一類指控。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:30:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Bard",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 167,
|
||||
"endLine": 235,
|
||||
"problem": "`main()` 內新增了建 issue 模式狀態、暫存佇列與三個帶長篇 JSDoc 的閉包，讓主流程的旋律被大量伴奏蓋過。這段同時管理 `issueModeActive`、`trackingIssue`、`pendingIssueCommentBodies` 與 PR 留言 id，可讀性負擔明顯升高。",
|
||||
"reason": "Paladin：可排除（重複）。已知排除事項與歷史 findings 已涵蓋 main() 內留言路由、issue 狀態、暫存佇列與發布職責耦合造成可讀性與維護負擔。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:30:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Bard",
|
||||
"severity": "建議",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 121,
|
||||
"endLine": 128,
|
||||
"problem": "`strategies` 以陣列位置承載語意，`[label, ...args]` 雖簡短，卻讓每個元素的第二欄之後全靠讀者猜是 git argv；這裡的可讀性像沒有小節線的樂譜。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 finding 已針對 resolveMergeBase 內 strategies 與補救策略編排使閱讀節奏偏密提出問題；本條 tuple 可讀性屬同一段策略結構的細項。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:30:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Leo",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 163,
|
||||
"endLine": 231,
|
||||
"problem": "`main()` 這次把一般模式／建問題模式／降級模式的留言去向都塞進閉包狀態：`issueModeActive`、`trackingIssue`、`pendingIssueCommentBodies`、`currentRunCommentIds` 彼此耦合。半年後要新增一種落地方式或調整「何時清舊留言」時，維護者必須同時追多個可變狀態與後續多個 `if (issueModeActive)` 分支，很容易漏掉 flush、清空、登錄留言 id 或 fallback 後的收尾行為。",
|
||||
"reason": "Paladin：可排除（重複）。與 F003 及既有排除事項相同，均指向 main() 以可變閉包狀態承擔留言目的地、issue 生命週期與 fallback 狀態機。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:30:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Leo",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 232,
|
||||
"endLine": 241,
|
||||
"problem": "流程註解把「將舊留言標記為解決」稱為「步驟 2（延後執行）」，但實際執行點在審查結果產生後、接近原本步驟 9 前。這種「編號是 2、時間點是 8 後」的設計已經擴散到多個檔案的 JSDoc 與 log 描述，未來查 CI log 或維護流程圖時會產生認知落差：看到 `步驟2` 不代表它真的發生在第二步。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 findings 已明確記錄步驟編號散落於 log、JSDoc、README 且實際順序變成 1、3 到 8、2、9 到 10 的維護風險。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:30:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Leo",
|
||||
"severity": "建議",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 103,
|
||||
"endLine": 160,
|
||||
"problem": "`resolveMergeBase()` 內同時負責驗證 base ref、fetch base、重試 merge-base、補抓淺層歷史、累積診斷與組錯誤訊息。這些都和「取得 merge-base」有關，但現在全部攤在同一個函式裡，策略陣列、診斷格式與 git 操作細節混在一起；未來要新增 fetch 策略或改診斷文字時，容易不小心改壞主流程判斷。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 finding 已指出 resolveMergeBase 同時負責驗證、fetch 策略編排、診斷與錯誤包裝，難以分辨主流程與補救策略。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:30:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Maya",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 164,
|
||||
"endLine": 232,
|
||||
"problem": "建問題模式新增了「先暫存情境留言、確定有保留 finding 才建 issue、建 issue 失敗時降級回 PR 留言」這一整段流程，但目前測試只覆蓋了部分 helper，沒有驗證主流程在 create-issue=true 下的分流行為。這代表像「無保留問題時不應建 issue／不應留言」、「建立 issue 失敗時應把 pending 留言補回 PR」、「trackingIssue 建立後後續留言應改送 issue」這些行為都還沒通過試煉。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 findings 已涵蓋建問題模式核心流程、暫存留言、issue 建立條件、發布分流、外部 API 狀態切換與降級路徑缺少測試。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:30:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Maya",
|
||||
"severity": "警告",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 104,
|
||||
"endLine": 150,
|
||||
"problem": "resolveMergeBase 新增了多階段 fetch/deepen/unshallow fallback 與診斷錯誤，但測試只驗證不安全 baseRef 會被拒絕，沒有驗證任何成功或失敗 fallback 路徑。這段是 diff 基準的核心邏輯，若 shallow checkout 下 deepen PR HEAD 用錯 ref、策略順序跑錯，或全部失敗時診斷不正確，現有測試都抓不到。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 findings 已針對 resolveMergeBase 多階段 fetch、淺層與非淺層分支、策略停止條件、降級與最終診斷缺少測試提出相同問題。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 16:30:12",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Maya",
|
||||
"severity": "警告",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 272,
|
||||
"endLine": 322,
|
||||
"problem": "commitAndPushFindings 改成一律透過 pushWithCredential 用 PAT extraheader 推送，且新增 headRef 安全檢查與固定錯誤遮蔽；但目前 gitrepo 測試沒有覆蓋 commitAndPushFindings/pushWithCredential 的推送行為。這讓「token 不進 argv」、「清掉 checkout 既有 extraheader」、「遠端 URL 不符時拒絕」、「push 失敗不洩漏 URL/token」這些失敗與安全邊界都沒有被驗證。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 findings 已涵蓋 commitAndPushFindings 與 pushWithCredential 的推送策略、認證遮蔽、失敗路徑與 token 不外洩等測試缺口。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 17:25:38",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Assassin",
|
||||
"severity": "警告",
|
||||
"file": "src/lib/diagnostics.js",
|
||||
"startLine": 68,
|
||||
"endLine": 71,
|
||||
"problem": "攻擊者只要讓 AI CLI 失敗，並碰上 runner 開了 `ACTIONS_STEP_DEBUG=true`，就能把 CLI 的 stderr/stdout 片段推進長期保存的 CI log。這裡的遮罩是黑名單式，會漏掉不少常見秘密格式或個資，例如短 token、AWS access key、JWT 片段、email、電話、內部路徑與提示中夾帶的 diff 內容。安全邊界不能寄望「debug log 只有自己看」；repo 協作者或 CI log 讀者都可能取得這些輸出。",
|
||||
"reason": "Paladin：可排除（重複）。既有紀錄已多次涵蓋 debug 模式輸出 AI CLI stderr／stdout、黑名單遮罩可繞過，以及機密或個資外洩風險；本條只是改到 diagnostics.js 後的同型指控。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 17:25:38",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Bard",
|
||||
"severity": "建議",
|
||||
"file": "readme.md",
|
||||
"startLine": 41,
|
||||
"endLine": 51,
|
||||
"problem": "Mermaid 流程圖的節點 ID 從 `N3`、`N4` 一路走到 `N8`，中途又接回 `N2`。顯示文字雖然表達「步驟 2 延後」，但原始碼層面的節點命名逆行，讓文件維護者讀圖時節奏斷裂。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 finding 已指出流程步驟編號被當成跨模組識別值、README 流程圖出現 1、3～8、2、9～10 的逆序維護問題；本條屬同一文件編號耦合問題。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 17:25:38",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Leo",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 162,
|
||||
"endLine": 392,
|
||||
"problem": "`main()` 這次把建問題模式的狀態機、留言緩衝、issue 建立、fallback、舊留言清理、結果 commit 判定都塞進同一個流程函式與多個閉包裡。半年後要改其中一條路徑時，很難確認 `issueModeActive`、`trackingIssue`、`pendingIssueCommentBodies`、`currentRunCommentIds` 在各分支是否仍一致；尤其建 issue 失敗後降級回 PR 留言，後面又要決定清舊留言、發嚴重問題、提交 findings，維護者需要整段流程一起讀才敢動。",
|
||||
"reason": "Paladin：可排除（命中已知排除事項且重複）。已知排除與歷史 findings 已涵蓋 main() 內建問題模式、留言路由、issue 狀態、緩衝佇列與發布職責耦合的問題。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 17:25:38",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Leo",
|
||||
"severity": "建議",
|
||||
"file": "src/lib/gitea.js",
|
||||
"startLine": 156,
|
||||
"endLine": 160,
|
||||
"problem": "文件註解提到 `main()` 的 `createIssueAndFlushBufferedComments`，但這次新增的實際閉包名稱是 `openTrackingIssue`。這類失準的內部函式名引用會讓未來維護者循線找不到程式碼，久了文件會變成負債。",
|
||||
"reason": "Paladin：可排除（列表內重複）。與 F002 指涉 src/lib/gitea.js 同一段 JSDoc 引用不存在的 createIssueAndFlushBufferedComments 問題。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 17:25:38",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Leo",
|
||||
"severity": "建議",
|
||||
"file": "src/lib/templates.js",
|
||||
"startLine": 302,
|
||||
"endLine": 305,
|
||||
"problem": "`issueBody()` 的 JSDoc 同樣引用不存在的 `createIssueAndFlushBufferedComments`。模板模組本來應該只說明模板用途；引用外層流程的私有閉包名稱，會讓文件跟主流程重構強耦合。",
|
||||
"reason": "Paladin：可排除（列表內重複）。與 F003 指涉 src/lib/templates.js 的 issueBody JSDoc 引用不存在內部閉包名稱，屬同一問題。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 17:25:38",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Maya",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 162,
|
||||
"endLine": 239,
|
||||
"problem": "建問題模式新增了 `queueOrPostComment`、`openTrackingIssue`、`fallbackToPrComments` 這組分流行為，但目前測試只覆蓋了部分 `review` helper，沒有驗證主流程在 issue 尚未建立時會暫存留言、建立成功後會依序 flush、建立或寫入失敗時會回退到 PR 留言。這些都是本次新增的失敗路徑，沒測到時很容易出現審查內容被靜默丟掉或留言落錯地方。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 findings 已涵蓋建問題模式暫存留言、建立後依序 flush、建立或 API 失敗時降級，以及無 finding 靜默通過等核心流程缺少測試。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 17:25:38",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Maya",
|
||||
"severity": "警告",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 103,
|
||||
"endLine": 158,
|
||||
"problem": "`resolveMergeBase` 新增了多段 fetch 補抓策略、淺層 repo 判斷、每次 fetch 後重試 merge-base，以及全部失敗時附診斷的錯誤；目前測試只驗證不安全 `baseRef` 會在 fetch 前被拒絕，沒有測到這些新增分支。這些邊界正是 shallow checkout 最容易壞的地方。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 findings 已針對 resolveMergeBase 的多階段 fetch、淺層與非淺層分支、停止條件、降級與最終診斷缺少測試提出相同問題。"
|
||||
},
|
||||
{
|
||||
"addedAt": "2026/07/21 17:25:38",
|
||||
"prNumber": 6,
|
||||
"reviewer": "Maya",
|
||||
"severity": "警告",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 287,
|
||||
"endLine": 326,
|
||||
"problem": "`pushWithCredential` 是新增的認證推送核心路徑，包含清掉 checkout 既有 extraheader、用 PAT extraheader 推送、遠端 URL origin 檢查，以及失敗時隱藏 URL／token；但目前沒有任何測試驗證這些行為。這裡的失敗路徑沒測到，容易在 runner 上才發現結果 commit 推不上去或錯誤訊息洩漏敏感資訊。",
|
||||
"reason": "Paladin：可排除（重複）。歷史 findings 已涵蓋 pushToken／pushWithCredential、origin 與一般 token 推送策略、認證遮蔽及失敗路徑缺少測試。"
|
||||
}
|
||||
]
|
||||
|
||||
@@ -47,45 +47,6 @@
|
||||
"suggestion": "補單元測試攔截 git 參數／env：斷言以 token 認證推送、推送目標 refspec 正確、呼叫次數，並確保任何拋出的錯誤、log 或快照都不含原始 token。屬測試架構決策。",
|
||||
"suggestedCode": ""
|
||||
},
|
||||
{
|
||||
"id": "F005",
|
||||
"reviewer": "Bard",
|
||||
"focus": "style",
|
||||
"badge": "🎼",
|
||||
"severity": "建議",
|
||||
"file": "action.yml",
|
||||
"startLine": 3,
|
||||
"endLine": 3,
|
||||
"problem": "檔頭「更新時間」為手動維護的固定字串，與實際檔案更新時間不一致；散落各檔的手動時間戳容易走調，讀者無法判斷可信度。",
|
||||
"suggestion": "屬 jsc spec-time-log 慣例（各檔頭「更新時間」由 doc-funcs 流程統一產生／同步）。是否移除改用版控紀錄、或如何統一更新，宜由 doc-funcs 流程處理，不在 resolve 逐條硬改。",
|
||||
"suggestedCode": ""
|
||||
},
|
||||
{
|
||||
"id": "F006",
|
||||
"reviewer": "Bard",
|
||||
"focus": "style",
|
||||
"badge": "🎼",
|
||||
"severity": "建議",
|
||||
"file": "readme.md",
|
||||
"startLine": 3,
|
||||
"endLine": 3,
|
||||
"problem": "README 檔頭手動「更新時間」與實際更新時間不符，並與 action.yml、src/index.js 重複保存同類易過期資訊，形成多個不一致的真相來源。",
|
||||
"suggestion": "同 F005：屬 jsc spec-time-log 慣例，交 doc-funcs 流程統一維護（移除或自動注入）。",
|
||||
"suggestedCode": ""
|
||||
},
|
||||
{
|
||||
"id": "F007",
|
||||
"reviewer": "Bard",
|
||||
"focus": "style",
|
||||
"badge": "🎼",
|
||||
"severity": "建議",
|
||||
"file": "src/index.js",
|
||||
"startLine": 7,
|
||||
"endLine": 7,
|
||||
"problem": "啟動橫幅硬編碼的「更新時間」與程式實際更新時間不一致，每次改程式都要人工校準，製造噪音並讓執行日誌呈現失真版本資訊。",
|
||||
"suggestion": "同 F005：屬 jsc spec-time-log 慣例，交 doc-funcs 流程統一維護；若日誌需辨識版本，可改顯示 CI 注入的 commit SHA／版本號（屬慣例調整）。",
|
||||
"suggestedCode": ""
|
||||
},
|
||||
{
|
||||
"id": "F008",
|
||||
"reviewer": "Bard",
|
||||
|
||||
@@ -7,84 +7,7 @@
|
||||
"version": "codex-cli 0.144.6",
|
||||
"model": "gpt-5.5"
|
||||
},
|
||||
"findings": [
|
||||
{
|
||||
"reviewer": "Assassin",
|
||||
"focus": "security",
|
||||
"badge": "🗡️",
|
||||
"severity": "嚴重",
|
||||
"file": "src/index.js",
|
||||
"startLine": 105,
|
||||
"endLine": 116,
|
||||
"problem": "這裡把審查結果 commit/push 失敗吞掉並回傳 `false`，而本次變更又把主流程改成「本輪審查不因嚴重問題直接 exit 1，靠下一輪讀到 `[failure]` commit 才失敗」。攻擊者只要讓結果 commit 推不上去，例如在 PR head 競態推送、讓 token 沒有 push 權限、或讓來源分支拒絕 bot push，就能讓嚴重安全 finding 已產生但沒有 failure commit、也沒有下一輪失敗檢查，等同把必要檢查繞過。",
|
||||
"suggestion": "嚴重問題存在時，結果 commit/push 失敗必須直接讓本輪 workflow 失敗；只有 success 結果或無變更時才可降級不阻擋。呼叫端應檢查 `commitFindings` 回傳值，或讓 `commitFindings` 在 `result === 'failure'` 時重拋錯誤。",
|
||||
"suggestedCode": "const committed = commitFindings({ cwd, ctx, files: filesToCommit, result });\nif (result === 'failure' && !committed) {\n log('收尾', 'ERR', '存在嚴重問題，但無法推送 failure 結果 commit；本輪直接失敗以避免繞過檢查。');\n return 1;\n}\nreturn 0;",
|
||||
"id": "F001",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": false,
|
||||
"reason": "保留（成立）。已知排除事項與歷史 findings 未涵蓋「嚴重 finding 依賴 failure commit，但 failure commit 推送失敗時本輪仍可能通過」這個繞過風險；證據不足以排除。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Bard",
|
||||
"focus": "style",
|
||||
"badge": "🎼",
|
||||
"severity": "建議",
|
||||
"file": "action.yml",
|
||||
"startLine": 18,
|
||||
"endLine": 19,
|
||||
"problem": "中文敘述裡混入 `PR/issue`、`findings/exclusions` 這種半形斜線寫法，但同一份變更其他地方大量使用 `PR／issue`、`警告＋建議` 這類全形符號。標點像節拍器，這裡忽然換拍，讓 manifest 的文字風格不夠一致。",
|
||||
"suggestion": "統一中文文件與註解中的分隔符號，建議在中文語境使用全形斜線：`PR／issue`、`findings／exclusions`；若是程式路徑或指令片段才保留半形 `/`。",
|
||||
"suggestedCode": "",
|
||||
"id": "F004",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": false,
|
||||
"reason": "保留（成立）。未命中已知排除事項，也未見歷史 finding 涵蓋 action.yml 中文標點半形／全形風格不一致；依現有資料不能判為重複或誤報。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Bard",
|
||||
"focus": "style",
|
||||
"badge": "🎼",
|
||||
"severity": "建議",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 299,
|
||||
"endLine": 344,
|
||||
"problem": "`pushWithCredential` 的 JSDoc 幾乎把安全設計、CI 觸發語意、checkout extraheader 行為全部寫成一篇短文。資訊本身有價值，但集中在函式註解裡會壓過函式簽名，讀者想找參數與責任邊界時，得先穿過一大段敘事。",
|
||||
"suggestion": "保留函式層級的摘要與關鍵安全不變式，其餘背景可移到較短的段落或專門文件。JSDoc 建議聚焦在「做什麼、為何不能改、參數怎麼用」，避免把完整決策紀錄塞進 API 註解。",
|
||||
"suggestedCode": "",
|
||||
"id": "F005",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": false,
|
||||
"reason": "保留（成立）。歷史 finding 雖有 resolveMergeBase 閱讀密度問題，但未涵蓋 pushWithCredential JSDoc 過長且混入決策紀錄；目前不能排除。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Leo",
|
||||
"focus": "maintainability",
|
||||
"badge": "🧰",
|
||||
"severity": "建議",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 367,
|
||||
"endLine": 369,
|
||||
"problem": "為了測試把內部函式掛在 `module.exports.__test`，會讓 production module 的公開形狀混入測試專用 API。未來其他程式碼可能誤用 `__test.assertSafeBranchRef`，而維護者也得在重構時顧慮這個非正式出口，模組邊界會慢慢變模糊。",
|
||||
"suggestion": "把分支名稱驗證抽到獨立小模組並正常匯出，例如 `src/lib/gitref.js`，讓 production code 與測試都依賴同一個正式 API；或若它只屬於 gitrepo 內部，就改由測試 `resolveMergeBase`／`commitAndPushFindings` 的外部行為覆蓋，不暴露 `__test`。",
|
||||
"suggestedCode": "",
|
||||
"id": "F009",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": false,
|
||||
"reason": "保留（成立）。目前提供的排除事項與歷史 findings 未涵蓋 module.exports.__test 暴露測試專用 API 的模組邊界問題；證據不足以排除。"
|
||||
}
|
||||
}
|
||||
}
|
||||
],
|
||||
"findings": [],
|
||||
"excluded": [
|
||||
{
|
||||
"reviewer": "Bard",
|
||||
|
||||
@@ -0,0 +1,184 @@
|
||||
{
|
||||
"generatedAt": "2026/07/21 16:30:12",
|
||||
"commitSha": "43ad2b56d27429aa3c812522dc1d4fedce4a9b76",
|
||||
"prNumber": 6,
|
||||
"tool": {
|
||||
"name": "codex",
|
||||
"version": "codex-cli 0.144.6",
|
||||
"model": "gpt-5.5"
|
||||
},
|
||||
"findings": [],
|
||||
"excluded": [
|
||||
{
|
||||
"reviewer": "Bard",
|
||||
"focus": "style",
|
||||
"badge": "🎼",
|
||||
"severity": "建議",
|
||||
"file": "readme.md",
|
||||
"startLine": 48,
|
||||
"endLine": 48,
|
||||
"problem": "Mermaid 節點代號從 `N8` 跳回 `N2`，雖然流程語意是「步驟 2 延後」，但原始碼讀起來像旋律突然倒帶；維護者在對照圖與步驟時容易被代號順序絆住。",
|
||||
"suggestion": "節點 id 建議改用語意名稱，而把顯示文字保留步驟編號。例如 `ResolveOldComments[2 延後將舊留言標記解決...]`，讓圖的原始碼與顯示內容各自清楚。",
|
||||
"suggestedCode": "",
|
||||
"id": "F002",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": true,
|
||||
"reason": "可排除（重複）。歷史 findings 已指出流程步驟編號與實際順序、README 流程圖及文件對照會產生認知落差；本條 Mermaid 節點代號問題屬同一類指控。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Bard",
|
||||
"focus": "style",
|
||||
"badge": "🎼",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 167,
|
||||
"endLine": 235,
|
||||
"problem": "`main()` 內新增了建 issue 模式狀態、暫存佇列與三個帶長篇 JSDoc 的閉包，讓主流程的旋律被大量伴奏蓋過。這段同時管理 `issueModeActive`、`trackingIssue`、`pendingIssueCommentBodies` 與 PR 留言 id，可讀性負擔明顯升高。",
|
||||
"suggestion": "把留言路由與建 issue 暫存邏輯抽成小型 helper（例如 `createCommentRouter`），`main()` 只保留流程編排；JSDoc 也移到 helper 旁，讓主流程步驟重新一眼可讀。",
|
||||
"suggestedCode": "",
|
||||
"id": "F003",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": true,
|
||||
"reason": "可排除（重複）。已知排除事項與歷史 findings 已涵蓋 main() 內留言路由、issue 狀態、暫存佇列與發布職責耦合造成可讀性與維護負擔。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Bard",
|
||||
"focus": "style",
|
||||
"badge": "🎼",
|
||||
"severity": "建議",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 121,
|
||||
"endLine": 128,
|
||||
"problem": "`strategies` 以陣列位置承載語意，`[label, ...args]` 雖簡短，卻讓每個元素的第二欄之後全靠讀者猜是 git argv；這裡的可讀性像沒有小節線的樂譜。",
|
||||
"suggestion": "改成物件陣列，明確標出 `label` 與 `args`，可降低後續新增 fetch 策略時的閱讀成本。",
|
||||
"suggestedCode": "const strategies = [\n { label: 'deepen base', args: ['fetch', '--no-tags', '--deepen=1000', 'origin', `+refs/heads/${baseRef}:refs/remotes/${remoteBase}`] },\n { label: 'deepen PR HEAD', args: ['fetch', '--no-tags', '--deepen=1000', 'origin', headSha] },\n];",
|
||||
"id": "F005",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": true,
|
||||
"reason": "可排除（重複）。歷史 finding 已針對 resolveMergeBase 內 strategies 與補救策略編排使閱讀節奏偏密提出問題；本條 tuple 可讀性屬同一段策略結構的細項。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Leo",
|
||||
"focus": "maintainability",
|
||||
"badge": "🧰",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 163,
|
||||
"endLine": 231,
|
||||
"problem": "`main()` 這次把一般模式／建問題模式／降級模式的留言去向都塞進閉包狀態：`issueModeActive`、`trackingIssue`、`pendingIssueCommentBodies`、`currentRunCommentIds` 彼此耦合。半年後要新增一種落地方式或調整「何時清舊留言」時，維護者必須同時追多個可變狀態與後續多個 `if (issueModeActive)` 分支，很容易漏掉 flush、清空、登錄留言 id 或 fallback 後的收尾行為。",
|
||||
"suggestion": "把留言目的地抽成小型物件，讓主流程只呼叫 `commentSink.postContext()`、`commentSink.finalizeAfterFindings()`、`commentSink.postFinding()` 這類語意方法。一般 PR、issue buffering、fallback 的狀態轉換集中在同一個模組或工廠函式內，`main()` 保持審查流程編排，不承擔留言狀態機。",
|
||||
"suggestedCode": "",
|
||||
"id": "F006",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": true,
|
||||
"reason": "可排除（重複）。與 F003 及既有排除事項相同，均指向 main() 以可變閉包狀態承擔留言目的地、issue 生命週期與 fallback 狀態機。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Leo",
|
||||
"focus": "maintainability",
|
||||
"badge": "🧰",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 232,
|
||||
"endLine": 241,
|
||||
"problem": "流程註解把「將舊留言標記為解決」稱為「步驟 2（延後執行）」，但實際執行點在審查結果產生後、接近原本步驟 9 前。這種「編號是 2、時間點是 8 後」的設計已經擴散到多個檔案的 JSDoc 與 log 描述，未來查 CI log 或維護流程圖時會產生認知落差：看到 `步驟2` 不代表它真的發生在第二步。",
|
||||
"suggestion": "不要用固定序號承載流程語意。建議改成穩定階段名稱，例如 `清理舊留言`、`工具偵測`、`diff整理`，或重新編號為實際執行順序並在文件說明「清理舊留言延後到結果產生後」。這樣 log、JSDoc、README 流程圖才不會互相背離。",
|
||||
"suggestedCode": "",
|
||||
"id": "F007",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": true,
|
||||
"reason": "可排除（重複）。歷史 findings 已明確記錄步驟編號散落於 log、JSDoc、README 且實際順序變成 1、3 到 8、2、9 到 10 的維護風險。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Leo",
|
||||
"focus": "maintainability",
|
||||
"badge": "🧰",
|
||||
"severity": "建議",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 103,
|
||||
"endLine": 160,
|
||||
"problem": "`resolveMergeBase()` 內同時負責驗證 base ref、fetch base、重試 merge-base、補抓淺層歷史、累積診斷與組錯誤訊息。這些都和「取得 merge-base」有關，但現在全部攤在同一個函式裡，策略陣列、診斷格式與 git 操作細節混在一起；未來要新增 fetch 策略或改診斷文字時，容易不小心改壞主流程判斷。",
|
||||
"suggestion": "把補抓策略與重試邏輯拆成私有 helper，例如 `fetchBaseRef()`、`mergeBaseOrNull()`、`shallowFetchStrategies()`。主函式保留高階流程：驗證 ref → 更新 base → 嘗試 merge-base → 逐一套用策略 → 丟出診斷錯誤。",
|
||||
"suggestedCode": "",
|
||||
"id": "F008",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": true,
|
||||
"reason": "可排除（重複）。歷史 finding 已指出 resolveMergeBase 同時負責驗證、fetch 策略編排、診斷與錯誤包裝，難以分辨主流程與補救策略。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Maya",
|
||||
"focus": "testing",
|
||||
"badge": "🧪",
|
||||
"severity": "警告",
|
||||
"file": "src/index.js",
|
||||
"startLine": 164,
|
||||
"endLine": 232,
|
||||
"problem": "建問題模式新增了「先暫存情境留言、確定有保留 finding 才建 issue、建 issue 失敗時降級回 PR 留言」這一整段流程，但目前測試只覆蓋了部分 helper，沒有驗證主流程在 create-issue=true 下的分流行為。這代表像「無保留問題時不應建 issue／不應留言」、「建立 issue 失敗時應把 pending 留言補回 PR」、「trackingIssue 建立後後續留言應改送 issue」這些行為都還沒通過試煉。",
|
||||
"suggestion": "建議把 main 流程拆出可注入 gitea/review/agents/gitrepo 的 orchestrator，或至少匯出可測的流程函式，補上 create-issue=true 的案例：1. kept=[] 時不呼叫 createIssue/createIssueComment；2. kept>0 時先 flush pending issue comments 再發 finding；3. createIssue 拋錯時 fallbackToPrComments 會發回 PR 並記錄 currentRunCommentIds；4. issueModeActive 降級後會走一般 PR 留言與 resolveOldComments。",
|
||||
"suggestedCode": "",
|
||||
"id": "F011",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": true,
|
||||
"reason": "可排除（重複）。歷史 findings 已涵蓋建問題模式核心流程、暫存留言、issue 建立條件、發布分流、外部 API 狀態切換與降級路徑缺少測試。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Maya",
|
||||
"focus": "testing",
|
||||
"badge": "🧪",
|
||||
"severity": "警告",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 104,
|
||||
"endLine": 150,
|
||||
"problem": "resolveMergeBase 新增了多階段 fetch/deepen/unshallow fallback 與診斷錯誤，但測試只驗證不安全 baseRef 會被拒絕，沒有驗證任何成功或失敗 fallback 路徑。這段是 diff 基準的核心邏輯，若 shallow checkout 下 deepen PR HEAD 用錯 ref、策略順序跑錯，或全部失敗時診斷不正確，現有測試都抓不到。",
|
||||
"suggestion": "建議用假的 git 執行層或臨時 git repo 補測：首次 merge-base 成功時不跑後續策略；首次失敗但 deepen base 後成功；deepen base 失敗會繼續 deepen PR HEAD；shallow repo 才嘗試 --unshallow；全部失敗時錯誤訊息包含各策略診斷且保留 cause。",
|
||||
"suggestedCode": "",
|
||||
"id": "F012",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": true,
|
||||
"reason": "可排除（重複）。歷史 findings 已針對 resolveMergeBase 多階段 fetch、淺層與非淺層分支、策略停止條件、降級與最終診斷缺少測試提出相同問題。"
|
||||
}
|
||||
}
|
||||
},
|
||||
{
|
||||
"reviewer": "Maya",
|
||||
"focus": "testing",
|
||||
"badge": "🧪",
|
||||
"severity": "警告",
|
||||
"file": "src/lib/gitrepo.js",
|
||||
"startLine": 272,
|
||||
"endLine": 322,
|
||||
"problem": "commitAndPushFindings 改成一律透過 pushWithCredential 用 PAT extraheader 推送，且新增 headRef 安全檢查與固定錯誤遮蔽；但目前 gitrepo 測試沒有覆蓋 commitAndPushFindings/pushWithCredential 的推送行為。這讓「token 不進 argv」、「清掉 checkout 既有 extraheader」、「遠端 URL 不符時拒絕」、「push 失敗不洩漏 URL/token」這些失敗與安全邊界都沒有被驗證。",
|
||||
"suggestion": "建議以 stub child_process.execFileSync 或可注入 git runner 的方式補測：commit 後呼叫 git push 的 argv 不含 token；env 內含 GIT_CONFIG_COUNT 與 Authorization extraheader；headRef 不安全時在 git add/commit/push 前拋錯；remote origin 不符與 push 失敗時錯誤訊息不包含 token、repo URL 或 Basic header。",
|
||||
"suggestedCode": "",
|
||||
"id": "F013",
|
||||
"verdicts": {
|
||||
"Paladin": {
|
||||
"exclude": true,
|
||||
"reason": "可排除（重複）。歷史 findings 已涵蓋 commitAndPushFindings 與 pushWithCredential 的推送策略、認證遮蔽、失敗路徑與 token 不外洩等測試缺口。"
|
||||
}
|
||||
}
|
||||
}
|
||||
]
|
||||
}
|
||||
+3
-3
@@ -1,6 +1,6 @@
|
||||
# ============================================================================
|
||||
# 用途：定義 AI Code Review Node action 的名稱、輸入參數與 Node.js 24 進入點，供 Gitea / GitHub workflow 以 uses 引用。
|
||||
# 更新時間：2026/07/17 18:49:58
|
||||
# 更新時間：2026/07/21 17:19:15
|
||||
# ============================================================================
|
||||
# Gitea / GitHub node action 的 manifest（action.yml）：
|
||||
# 定義本 action 的名稱、說明、輸入參數（inputs）與執行方式（runs），
|
||||
@@ -16,11 +16,11 @@ author: 'Jeffery'
|
||||
# 輸入參數區塊：呼叫端 workflow 以 `with:` 傳入，
|
||||
# runner 會自動注入為 INPUT_* 環境變數（例如 INPUT_TOKEN、INPUT_MODEL、INPUT_CREATE-ISSUE）供主程式讀取。
|
||||
inputs:
|
||||
# Gitea API token：用於對 PR／issue 留言審查結果，以及 push 審查結果檔（findings/exclusions）回 repo。
|
||||
# Gitea API token：用於對 PR／issue 留言審查結果，以及 push 審查結果檔（findings／exclusions）回 repo。
|
||||
token:
|
||||
# 參數用途說明：secrets/vars context 在 action 內不可用，故由呼叫端 workflow 以 secrets 傳入。
|
||||
# 建議傳入能觸發 CI 的 PAT；自動 token 推送結果 commit 時可能不會再觸發 workflow。
|
||||
description: 'Gitea API token（PR/issue 留言與 push findings 用；建議以能觸發 CI 的 PAT 由 secrets 傳入）'
|
||||
description: 'Gitea API token（PR／issue 留言與 push findings 用；建議以能觸發 CI 的 PAT 由 secrets 傳入）'
|
||||
# 必填：缺少 token 無法呼叫 Gitea API，action 無法運作。
|
||||
required: true
|
||||
# 指定 AI 工具使用的模型名稱。
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
# AI Code Review
|
||||
|
||||
> 更新時間：2026/07/17 18:49:58
|
||||
> 更新時間：2026/07/21 17:19:15
|
||||
|
||||
AI 多角色 code review 的 Gitea **node action**（`node24`、零外部相依）：以攻擊方六角色（🔮 Mage 邏輯、🗡️ Assassin 安全、⚡ Rogue 效率、🎼 Bard 風格、🧪 Maya 測試、🧰 Leo 可維護性）並行找問題、防守方（🛡️ Paladin）裁決誤報，結果留言到 PR、保存 findings，並以 bot commit 標記審查結果（`[success]`／`[failure]`）供下次觸發快速回報。
|
||||
|
||||
|
||||
+17
-18
@@ -4,7 +4,7 @@
|
||||
console.log('================================================');
|
||||
console.log('Action : AI Code Review');
|
||||
console.log('用途 : AI 多角色 code review：攻擊方找問題、防守方裁決誤報，結果留言到 PR 並保存 findings');
|
||||
console.log('更新時間: 2026/07/17 18:49:58');
|
||||
console.log('更新時間: 2026/07/21 17:19:15');
|
||||
console.log('================================================');
|
||||
|
||||
const fs = require('fs');
|
||||
@@ -126,15 +126,14 @@ function commitFindings({ cwd, ctx, files, result }) {
|
||||
* 建問題模式會把審查情境與每條 finding 發到追蹤 issue；沒有保留 finding 時不建立 issue、PR 也不留言。
|
||||
* 嚴重 finding 會寫入 failure 結果 commit，警告與建議只建立追蹤資訊，不直接阻擋合併。
|
||||
*
|
||||
* @returns {Promise<number>} process exit code：本輪「審查」一律回傳 0（不因嚴重問題直接讓檢查失敗——
|
||||
* 失敗改由推出的 `[ai-review-bot][failure]` 結果 commit，於下一輪在步驟 1 讀 commit 訊息時回報）；
|
||||
* 回傳 1 僅發生於：步驟 1 偵測到 `[ai-review-bot][failure]` 結果 commit，或前置條件不足
|
||||
* （缺 PR 編號／token、找不到 AI 工具）等無法進行審查的情況。
|
||||
* @returns {Promise<number>} process exit code：沒有嚴重問題且結果 commit 已成功推送時回傳 0；
|
||||
* 若步驟 1 偵測到 `[ai-review-bot][failure]`、前置條件不足，或需要推送結果檔卻未成功推送，
|
||||
* 則回傳 1，避免 token 權限不足或遠端競態讓 workflow 靜默通過。
|
||||
* @remarks
|
||||
* 使用情境：由本檔尾端的頂層呼叫端執行 —— `main().then((code) => process.exit(code))`；
|
||||
* 非預期例外由頂層 `catch` 記 ERR log 後以 exit code 1 收場，且刻意不 commit 結果標記，
|
||||
* 讓下一次 workflow 觸發時重新完整審查。警告＋建議等級不影響結果標記，只有「嚴重」會使結果 commit
|
||||
* 標記為 failure；而「失敗檢查（exit 1）」只由步驟 1 讀到該 failure 結果 commit 時產生，審查本輪不直接 exit 1。
|
||||
* 標記為 failure；若結果檔需要 push 卻失敗，本輪直接 exit 1，避免缺權限時無聲放行。
|
||||
* 建問題模式只改變問題明細的落地方式（issue 留言取代 findings 進版控），不改變上述結果標記判定。
|
||||
*/
|
||||
async function main() {
|
||||
@@ -193,7 +192,7 @@ async function main() {
|
||||
return created;
|
||||
};
|
||||
/**
|
||||
* 建問題模式：建立追蹤 issue（標題＝PR 標題、本文＝PR 描述＋回溯 PR 的引言，連同挑好的標籤一次建立），
|
||||
* 建問題模式：開啟追蹤 issue（標題＝PR 標題、本文＝PR 描述＋回溯 PR 的引言，連同挑好的標籤一次建立），
|
||||
* 並把 `pendingIssueCommentBodies` 內暫存的情境留言依流程順序寫入 issue；
|
||||
* 設定閉包變數 `trackingIssue` 供後續留言直接發到 issue。
|
||||
* 僅於「確定有保留問題」時呼叫一次。標籤於建立時一次帶入，省去「先建空標籤 issue 再補掛」的多餘 API 往返。
|
||||
@@ -202,17 +201,18 @@ async function main() {
|
||||
* 空陣列或省略時不掛任何標籤（`gitea.createIssue` 對空陣列不帶 labels 欄位）。
|
||||
* @returns {Promise<void>} 無回傳值；結果反映在閉包變數 `trackingIssue` 與 issue 留言。
|
||||
*/
|
||||
const createIssueAndFlushBufferedComments = async (labelIds = []) => {
|
||||
const openTrackingIssue = async (labelIds = []) => {
|
||||
trackingIssue = await gitea.createIssue(ctx, {
|
||||
title: ctx.prTitle || `AI Code Review：PR #${ctx.prNumber}`,
|
||||
body: templates.issueBody({ prNumber: ctx.prNumber, prBody: ctx.prBody }),
|
||||
labels: labelIds,
|
||||
});
|
||||
log('建問題', 'INF', `已建立追蹤 issue #${trackingIssue.number}，寫入 ${pendingIssueCommentBodies.length} 則情境留言。`);
|
||||
for (const body of pendingIssueCommentBodies) {
|
||||
while (pendingIssueCommentBodies.length > 0) {
|
||||
const body = pendingIssueCommentBodies[0];
|
||||
await gitea.createCommentOnIssue(ctx, trackingIssue.number, body);
|
||||
pendingIssueCommentBodies.shift();
|
||||
}
|
||||
pendingIssueCommentBodies.length = 0;
|
||||
};
|
||||
/**
|
||||
* 建問題模式降級：追蹤 issue 無法建立或寫入時，改把已暫存的情境留言發回 PR，後續沿用一般模式。
|
||||
@@ -337,7 +337,7 @@ async function main() {
|
||||
log('建問題', 'WRN', `標籤挑選失敗（${err.message}），issue 不掛標籤。`);
|
||||
}
|
||||
try {
|
||||
await createIssueAndFlushBufferedComments(labelIds);
|
||||
await openTrackingIssue(labelIds);
|
||||
} catch (err) {
|
||||
log('建問題', 'WRN', `建立或寫入追蹤 issue 失敗（${err.message}），改用 PR 留言與 findings 檔流程。`);
|
||||
await fallbackToPrComments();
|
||||
@@ -377,7 +377,7 @@ async function main() {
|
||||
}
|
||||
|
||||
// ── 建問題模式收束：在 PR 回貼 issue 連結（雙向關聯）；僅在有嚴重問題時才讓 PR 相依於該 issue ─
|
||||
// 標籤已於建立 issue 時一次帶入（見上方 selectLabels → createIssueAndFlushBufferedComments），此處不再補掛。
|
||||
// 標籤已於建立 issue 時一次帶入（見上方 selectLabels → openTrackingIssue），此處不再補掛。
|
||||
if (issueModeActive && trackingIssue) {
|
||||
await review.resolveOldIssueLinkComments({ ctx, gitea });
|
||||
await gitea.createIssueComment(
|
||||
@@ -420,14 +420,13 @@ async function main() {
|
||||
} else {
|
||||
log('收尾', 'INF', '建問題模式且 exclusions.json 無變更，略過 commit/push。');
|
||||
}
|
||||
// 本輪「審查」一律以成功收場、不直接讓檢查失敗；有嚴重問題時已推出 [failure] 結果 commit，
|
||||
// 由它再觸發的下一輪在步驟 1 讀 commit 訊息時才回報失敗（exit 1）。如此失敗檢查落在帶有結果
|
||||
// 標記的最新 head 上，與合併判定一致。（result 僅用於上方 commit 訊息的結果標記。）
|
||||
if (result === 'failure') {
|
||||
if (!resultCommitted) {
|
||||
log('收尾', 'ERR', '本輪有嚴重問題，但未成功產生 [failure] 結果 commit；直接回報失敗避免 fail-open。');
|
||||
// 需要推送結果檔卻沒成功時直接失敗；這通常代表 token 權限不足、非快轉或分支保護阻擋。
|
||||
if (review.shouldFailMissingResultCommit({ filesToCommit, resultCommitted })) {
|
||||
log('收尾', 'ERR', '審查結果檔需要 push 但未成功產生結果 commit；直接回報失敗避免缺權限時靜默通過。');
|
||||
return 1;
|
||||
}
|
||||
// 嚴重問題已推出 [failure] 結果 commit 時，由它再觸發的下一輪在步驟 1 讀 commit 訊息回報失敗。
|
||||
if (result === 'failure') {
|
||||
log('收尾', 'INF', '本輪有嚴重問題：已標記結果 commit 為 [failure]，失敗檢查由下一輪步驟 1 讀 commit 訊息回報。');
|
||||
}
|
||||
return 0;
|
||||
|
||||
@@ -0,0 +1,32 @@
|
||||
'use strict';
|
||||
|
||||
const { execFileSync } = require('child_process');
|
||||
|
||||
/**
|
||||
* 驗證遠端分支名稱可安全用於 refspec 與 refs/remotes/origin/*。
|
||||
*
|
||||
* @param {string} refName - 使用者或事件 payload 提供的分支名稱。
|
||||
* @param {string} fieldName - 錯誤訊息中的欄位名稱。
|
||||
* @returns {string} 原樣回傳通過驗證的分支名稱。
|
||||
* @throws {Error} 分支名稱空白、含路徑穿越，或不符合 git 分支 ref 規則時拋出。
|
||||
*/
|
||||
function assertSafeBranchRef(refName, fieldName) {
|
||||
const value = String(refName || '').trim();
|
||||
if (!value) throw new Error(`${fieldName} 不可為空。`);
|
||||
if (value.includes('..') || value.startsWith('/') || value.endsWith('/') || value.includes('\\')) {
|
||||
throw new Error(`${fieldName} 不是安全的分支名稱：${value}`);
|
||||
}
|
||||
try {
|
||||
execFileSync('git', ['check-ref-format', '--branch', value], {
|
||||
encoding: 'utf8',
|
||||
stdio: ['ignore', 'pipe', 'pipe'],
|
||||
});
|
||||
} catch {
|
||||
throw new Error(`${fieldName} 不是合法的 git 分支名稱：${value}`);
|
||||
}
|
||||
return value;
|
||||
}
|
||||
|
||||
module.exports = {
|
||||
assertSafeBranchRef,
|
||||
};
|
||||
+4
-43
@@ -1,37 +1,10 @@
|
||||
'use strict';
|
||||
|
||||
const { execFileSync } = require('child_process');
|
||||
const { assertSafeBranchRef } = require('./gitref');
|
||||
|
||||
// git 操作工具：一律以 execFileSync 呼叫 git（不經 shell，避免注入），輸出以 UTF-8 回傳。
|
||||
|
||||
/**
|
||||
* 驗證遠端分支名稱可安全用於 refspec 與 refs/remotes/origin/*。
|
||||
*
|
||||
* @param {string} refName - 使用者或事件 payload 提供的分支名稱。
|
||||
* @param {string} fieldName - 錯誤訊息中的欄位名稱。
|
||||
* @returns {string} 原樣回傳通過驗證的分支名稱。
|
||||
* @throws {Error} 分支名稱空白、含路徑穿越，或不符合 git 分支 ref 規則時拋出。
|
||||
* @remarks
|
||||
* 使用情境：`resolveMergeBase` 的 `baseRef` 與 `commitAndPushFindings` 的
|
||||
* `headRef` 會被組進 refspec；先驗證可避免惡意 payload 影響本地 refs 路徑。
|
||||
*/
|
||||
function assertSafeBranchRef(refName, fieldName) {
|
||||
const value = String(refName || '').trim();
|
||||
if (!value) throw new Error(`${fieldName} 不可為空。`);
|
||||
if (value.includes('..') || value.startsWith('/') || value.endsWith('/') || value.includes('\\')) {
|
||||
throw new Error(`${fieldName} 不是安全的分支名稱：${value}`);
|
||||
}
|
||||
try {
|
||||
execFileSync('git', ['check-ref-format', '--branch', value], {
|
||||
encoding: 'utf8',
|
||||
stdio: ['ignore', 'pipe', 'pipe'],
|
||||
});
|
||||
} catch {
|
||||
throw new Error(`${fieldName} 不是合法的 git 分支名稱：${value}`);
|
||||
}
|
||||
return value;
|
||||
}
|
||||
|
||||
/**
|
||||
* 同步執行 git 指令並回傳原始 stdout 輸出。
|
||||
*
|
||||
@@ -308,18 +281,9 @@ function commitAndPushFindings(cwd, { headRef, headSha, message, files, token, s
|
||||
/**
|
||||
* 以帶認證的方式推送到指定遠端，認證資訊只經環境變數傳入、不進命令列 argv。
|
||||
*
|
||||
* 認證方式：等同 `https://ai-review-bot:<secret>@host/...` 的 HTTP Basic（git 會把
|
||||
* URL 帳密轉成相同的 `Authorization: Basic` 標頭送出），但改以 git 的
|
||||
* `GIT_CONFIG_*` 環境變數注入 `http.<serverUrl>/.extraheader`，使 base64 憑證**不出現在 argv**
|
||||
* （避免程序清單／例外回顯洩漏）；推送目標 URL 亦不含帳密。
|
||||
*
|
||||
* 觸發 CI 關鍵：`actions/checkout` 會把「自動 Actions token」持久化在同一個
|
||||
* `http.<serverUrl>/.extraheader` scope；若沿用它推送，Gitea 會視為「自動 token 觸發」而
|
||||
* **不再觸發 workflow**（防遞迴）。故本函式對這次 push 於該 scope**先以空值重置**（清掉自動
|
||||
* token——git 對 extraHeader 給空值即清空既有清單），**再注入 PAT 的 Authorization**，讓推送以
|
||||
* PAT 身分進行、觸發 PR 的 synchronize；作用範圍僅限本次 push 的環境變數，不影響 action 其他
|
||||
* 仰賴 checkout 持久化憑證的 fetch（如 {@link resolveMergeBase}）。
|
||||
* 推送失敗時**不重拋原始例外**（其 message 會含命令列與遠端 URL），改拋固定訊息。
|
||||
* 以 `GIT_CONFIG_*` 注入本次 HTTP Basic extraheader，避免憑證出現在 argv；
|
||||
* 同時先清空 checkout 持久化的自動 token extraheader，確保本次 push 使用呼叫端 token。
|
||||
* 推送失敗時改拋固定訊息，避免原始例外帶出遠端 URL 或認證資訊。
|
||||
*
|
||||
* @param {string} cwd - git 工作目錄（repo 的 checkout 路徑）。
|
||||
* @param {string} remoteUrl - 不含帳密的遠端 URL（形如 `https://host/owner/repo.git`）。
|
||||
@@ -367,7 +331,4 @@ module.exports = {
|
||||
fileDiff,
|
||||
fileLastUpdatedIso,
|
||||
commitAndPushFindings,
|
||||
__test: {
|
||||
assertSafeBranchRef,
|
||||
},
|
||||
};
|
||||
|
||||
@@ -579,6 +579,18 @@ function resultFilesToCommit({ createIssue, severeCount, relativePath, exclusion
|
||||
return files;
|
||||
}
|
||||
|
||||
/**
|
||||
* 判斷本輪是否因結果 commit 未成功推送而必須失敗。
|
||||
*
|
||||
* @param {Object} params - 解構參數。
|
||||
* @param {string[]} params.filesToCommit - 本輪預期寫回遠端分支的結果檔清單。
|
||||
* @param {boolean} params.resultCommitted - 結果檔是否已成功 commit 並 push。
|
||||
* @returns {boolean} 需要寫回結果檔卻沒有成功推送時回傳 true。
|
||||
*/
|
||||
function shouldFailMissingResultCommit({ filesToCommit, resultCommitted }) {
|
||||
return filesToCommit.length > 0 && !resultCommitted;
|
||||
}
|
||||
|
||||
/**
|
||||
* 就地排序 findings：依 嚴重→警告→建議、再依檔案路徑、再依起始行遞增。
|
||||
*
|
||||
@@ -914,6 +926,7 @@ module.exports = {
|
||||
sortFindings,
|
||||
appendExclusions,
|
||||
resultFilesToCommit,
|
||||
shouldFailMissingResultCommit,
|
||||
selectLabels,
|
||||
postSevereToIssue,
|
||||
postOthersToIssue,
|
||||
|
||||
+30
-2
@@ -4,18 +4,46 @@ const assert = require('node:assert/strict');
|
||||
const test = require('node:test');
|
||||
|
||||
const gitrepo = require('../src/lib/gitrepo');
|
||||
const gitref = require('../src/lib/gitref');
|
||||
|
||||
test('assertSafeBranchRef 接受一般分支名稱', () => {
|
||||
assert.equal(gitrepo.__test.assertSafeBranchRef('feature/review-123', 'baseRef'), 'feature/review-123');
|
||||
assert.equal(gitref.assertSafeBranchRef('feature/review-123', 'baseRef'), 'feature/review-123');
|
||||
});
|
||||
|
||||
test('assertSafeBranchRef 拒絕路徑穿越分支名稱', () => {
|
||||
assert.throws(
|
||||
() => gitrepo.__test.assertSafeBranchRef('../../hooks/pre-push', 'baseRef'),
|
||||
() => gitref.assertSafeBranchRef('../../hooks/pre-push', 'baseRef'),
|
||||
/不是安全的分支名稱/,
|
||||
);
|
||||
});
|
||||
|
||||
test('assertSafeBranchRef 拒絕空白分支名稱', () => {
|
||||
for (const value of ['', ' ', null, undefined]) {
|
||||
assert.throws(
|
||||
() => gitref.assertSafeBranchRef(value, 'baseRef'),
|
||||
/baseRef 不可為空/,
|
||||
);
|
||||
}
|
||||
});
|
||||
|
||||
test('assertSafeBranchRef 拒絕不安全的 refspec 分支名稱', () => {
|
||||
for (const value of ['/feature', 'feature/', 'feature\\x', 'feature..x']) {
|
||||
assert.throws(
|
||||
() => gitref.assertSafeBranchRef(value, 'baseRef'),
|
||||
/不是安全的分支名稱/,
|
||||
);
|
||||
}
|
||||
});
|
||||
|
||||
test('assertSafeBranchRef 拒絕 git 不合法的分支名稱', () => {
|
||||
for (const value of ['feature.lock', 'feature@{x}', 'feature~x', 'feature^x']) {
|
||||
assert.throws(
|
||||
() => gitref.assertSafeBranchRef(value, 'baseRef'),
|
||||
/不是合法的 git 分支名稱/,
|
||||
);
|
||||
}
|
||||
});
|
||||
|
||||
test('resolveMergeBase 會在 git fetch 前拒絕不安全 baseRef', () => {
|
||||
assert.throws(
|
||||
() => gitrepo.resolveMergeBase(process.cwd(), '../../hooks/pre-push'),
|
||||
|
||||
@@ -98,6 +98,30 @@ test('resultFilesToCommit 在建問題模式無嚴重問題時只提交 exclusio
|
||||
);
|
||||
});
|
||||
|
||||
test('shouldFailMissingResultCommit 在結果檔需要 push 但未成功時回報失敗', () => {
|
||||
assert.equal(
|
||||
review.shouldFailMissingResultCommit({
|
||||
filesToCommit: ['.gitea/ai-review/findings/run.json'],
|
||||
resultCommitted: false,
|
||||
}),
|
||||
true,
|
||||
);
|
||||
assert.equal(
|
||||
review.shouldFailMissingResultCommit({
|
||||
filesToCommit: ['.gitea/ai-review/findings/run.json'],
|
||||
resultCommitted: true,
|
||||
}),
|
||||
false,
|
||||
);
|
||||
assert.equal(
|
||||
review.shouldFailMissingResultCommit({
|
||||
filesToCommit: [],
|
||||
resultCommitted: false,
|
||||
}),
|
||||
false,
|
||||
);
|
||||
});
|
||||
|
||||
test('resolveOldIssueLinkComments 只標註舊追蹤 issue 連結', async () => {
|
||||
const edited = [];
|
||||
const fakeGitea = {
|
||||
|
||||
Reference in New Issue
Block a user