old-actions/code-review
2
0
Fork 0
Code Pull Requests Actions Releases 2 Activity

feat(ai-review 對話收斂): 讀 PR review 留言判斷解決狀態並收斂 findings #42

Merged
jiantw83 merged 68 commits from ai-review-resolve/20260623-110950 into develop 2026-06-23 08:29:38 +00:00
Conversation 28 Commits 68 Files Changed 29
+4 -4
1 changed files with 4 additions and 4 deletions
Download Patch File Download Diff File Expand all files Collapse all files
Showing only changes of commit e73e18f2c3 - Show all commits
app/usage.js
+4 -4
View File
5
 @@ -125,13 +125,13 @@ export function resetRateLimit() {
const stripSlash = (s) => String(s || '').replace(/\/$/, '');
/**
* 以實際 hostname 精確比對是否為 OpenRouter，避免被偽造的 baseURL
* （如 `openrouter.ai.evil.com` 或 `evil.com/openrouter.ai`）矇騙而把 API key 送往惡意主機。
* 以實際 hostname 精確比對是否為 OpenRouter（僅接受 apex 域名 `openrouter.ai`），
* 避免被偽造的 baseURL（如 `openrouter.ai.evil.com`、`evil.com/openrouter.ai` 或任何子網域）
* 矇騙而把 API key 送往非 OpenRouter 主機。
*/
function isOpenRouterBaseURL(baseURL) {
admin marked this conversation as resolved Outdated
admin commented 2026-06-23 05:08:31 +00:00
Outdated
Review
Copy Link
Copy Source

嚴重等級：🔴 嚴重
審查員：Assassin
問題：在 QUOTA_STRATEGIES 中，如果 config.apiKeys 是一個陣列，代碼只取 [0] 作為 API Key，但如果這個 key 是洩漏的或是環境配置錯誤，可能會導致敏感資訊在未經嚴格驗證的情況下被發送到 baseURL 指定的端點。
建議：請務必確保所有的 API 請求都經過完整的信任邊界審核，不要僅憑環境變數就自動信任該 Key 具備查詢帳號額度的權限，並在傳輸前對 baseURL 進行嚴格的白名單檢查。

**嚴重等級**：🔴 嚴重 **審查員**：Assassin **問題**：在 `QUOTA_STRATEGIES` 中，如果 `config.apiKeys` 是一個陣列，代碼只取 `[0]` 作為 API Key，但如果這個 key 是洩漏的或是環境配置錯誤，可能會導致敏感資訊在未經嚴格驗證的情況下被發送到 `baseURL` 指定的端點。 **建議**：請務必確保所有的 API 請求都經過完整的信任邊界審核，不要僅憑環境變數就自動信任該 Key 具備查詢帳號額度的權限，並在傳輸前對 baseURL 進行嚴格的白名單檢查。
try {
const host = new URL(baseURL).hostname.toLowerCase();
return host === 'openrouter.ai' || host.endsWith('.openrouter.ai');
return new URL(baseURL).hostname.toLowerCase() === 'openrouter.ai';
} catch {
return false;
}
7