From bbd7570a5b4e2f20cdf85d9c25cc767544cf26bb Mon Sep 17 00:00:00 2001
From: AI Review Bot <ai-review[bot]@gitea>
Date: Mon, 22 Jun 2026 10:23:25 +0000
Subject: [PATCH] chore: update ai-review findings [ai-review-bot][failure]

---
 .gitea/ai-review/findings.json | 10 +++++++++-
 1 file changed, 9 insertions(+), 1 deletion(-)

diff --git a/.gitea/ai-review/findings.json b/.gitea/ai-review/findings.json
index fe51488..57a68c6 100644
--- a/.gitea/ai-review/findings.json
+++ b/.gitea/ai-review/findings.json
@@ -1 +1,9 @@
-[]
+[
+  {
+    "level": "critical",
+    "role": "Assassin",
+    "location": "app/preflight.test.js:201",
+    "suggestion": "此測試明確證實了 `OPENCODE_SKIP_TLS_VERIFY` 環境變數的寬鬆判斷邏輯，導致 OpenCode LLM 連線的 TLS 驗證容易被關閉。這是「關閉 TLS 驗證」的不安全預設，極大地增加了中間人攻擊的風險。攻擊者可以利用此漏洞，在 LLM 服務通訊中插入惡意代理，竊取敏感資料或篡改 LLM 的行為。請立即修正 `app/config.js` 中 `shouldSkipOpenCodeTLSVerify` 的邏輯，使其僅在明確意圖下才關閉 TLS 驗證。",
+    "is_new": true
+  }
+]