123 lines
7.9 KiB
JSON
123 lines
7.9 KiB
JSON
[
|
||
{
|
||
"level": "critical",
|
||
"role": "Assassin",
|
||
"location": "action.yml:99",
|
||
"problem": "攻擊者可透過惡意控制 `inputs.gitea_server_url` 的內容，發動 SSRF（伺服器端請求偽造）攻擊，將原本應送往 Gitea API 的敏感驗證 Token（`GITEA_TOKEN`）發送到攻擊者控制的外部伺服器，導致 Token 外洩。",
|
||
"suggestion": "建議在 `run` 命令中增加對 `GITEA_SERVER_URL` 的白名單檢查，確保其僅限於合法的內部 Gitea 位址，或者明確禁止輸入不信任的 URL 前綴。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "critical",
|
||
"role": "Assassin",
|
||
"location": "action.yml:94",
|
||
"problem": "在 Shell 指令中將敏感的 `GITEA_TOKEN` 透過環境變數傳遞給 `curl` 是危險的。若 `run` 命令失敗或是被紀錄至 Runner 的日誌（log）中，可能會導致 `GITEA_TOKEN` 被明文洩露。",
|
||
"suggestion": "儘量避免將敏感 Token 直接透過環境變數傳遞至 Shell 命令。若必須傳遞，請確保該 Runner 的環境配置已設定遮蔽機制，或使用 GitHub Actions 內建的 `secrets` 處理方式（如 `github.token` 或預先設定好的 Secret Context）來存取，而非直接由外部輸入。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "critical",
|
||
"role": "Mage",
|
||
"location": "action.yml:78",
|
||
"problem": "在處理 `ISSUE_BODY` 或 `COMMENT_BODY` 時，如果內容包含雙引號 (`\"`)，而 `$ISSUE_BODY` 或 `$clean_comment` 變數在 Shell 命令中未經轉義直接用於 `printf`，會導致 Shell 解析錯誤，甚至可能造成注入漏洞。",
|
||
"suggestion": "建議在 `printf` 使用變數時，確保輸入內容已適當轉義，或者考慮使用將變數內容寫入檔案並透過 `cat` 讀取的方式，避免直接在 `printf` 字串中展開變數。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "warning",
|
||
"role": "Assassin",
|
||
"location": "action.yml:85",
|
||
"problem": "在建立 Prompt 的過程中，直接將未經 Sanitization（清理）的 `ISSUE_TITLE`、`ISSUE_BODY` 和 `COMMENT_BODY` 直接拼接到 Prompt 中。若這些欄位包含惡意 Prompt Injection 內容，可能會導致 AI 模型產生攻擊者預期的不當回覆，甚至規避原本設定的系統指令。",
|
||
"suggestion": "應對 `ISSUE_TITLE`、`ISSUE_BODY` 等變數進行嚴格的清理，移除可能被用於 Prompt Injection 的控制字元或格式（如換行符號、特殊分隔符號），並在傳遞給 AI 模型前進行檢查。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "warning",
|
||
"role": "Bard",
|
||
"location": "action.yml:14",
|
||
"problem": "「oauth」這個命名語義過於寬泛且易產生誤導。根據描述，此欄位實際存放的是「Base64 encoded Codex auth.json」，並非單純的 OAuth Token 或設定。命名應當精確反映其內容，以維持程式碼的音樂性與邏輯的一致性。",
|
||
"suggestion": "建議將輸入名稱改為 `codex_auth_config`，使其命名更為明確、優雅且具備描述性。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "warning",
|
||
"role": "Leo",
|
||
"location": "action.yml:33",
|
||
"problem": "input 欄位 `gitea_token` 描述寫著 `Gitea Runner Token`，但從後續的使用方式（`curl` 到 API）來看，這其實是 `Gitea Access Token`。這種命名與實際用途不符，未來維護者在設定時會極度困惑，甚至可能放入錯誤權限的 Token。",
|
||
"suggestion": "將該輸入參數名稱修正為 `gitea_token`（或 `access_token`），並將描述更新為明確指示它是用於 API 授權的 Gitea Personal Access Token。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "warning",
|
||
"role": "Leo",
|
||
"location": "action.yml:85",
|
||
"problem": "在 `留言 AI 回覆` 的步驟中，直接使用 `curl` 呼叫 Gitea API 來新增留言，這部分邏輯沒有被拆分出來，且與該 Action 的核心邏輯耦合。若未來 API 位址結構或認證方式變更，需要頻繁修改這個 composite action 的定義檔，不利於維護。",
|
||
"suggestion": "建議將與 Gitea API 互動的邏輯封裝成一個獨立的 shell script 或另一個獨立的 Action，使此 composite action 的 `runs` 階段更清晰，專注於流程編排而非細節實作。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "warning",
|
||
"role": "Mage",
|
||
"location": "action.yml:95",
|
||
"problem": "對於外部環境變數 `RESPONSE`，如果其內容包含換行符號或其他特殊字元，直接使用 `--arg body \"$RESPONSE\"` 在 `jq` 中雖然可以處理，但若變數值過大或含有特定轉義字符，可能導致 `jq` 解析失敗或產生非預期的 JSON 結構。",
|
||
"suggestion": "建議在執行 `jq` 前先驗證 `RESPONSE` 是否為空，並確保其正確轉義，或者使用檔案重定向而非直接參數傳遞來構造 JSON。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "warning",
|
||
"role": "Mage",
|
||
"location": "action.yml:97",
|
||
"problem": "在執行 `curl` 命令時，若 `GITEA_SERVER_URL` 末尾包含斜線 `/`，與後續的 `/api/v1/...` 連接將導致 URL 錯誤（例如 `//api/v1`），使得 API 呼叫失敗。",
|
||
"suggestion": "請在拼接 URL 前，移除 `GITEA_SERVER_URL` 的結尾斜線，或者使用 Shell 參數擴展確保正確格式，例如 `${GITEA_SERVER_URL%/}/api/v1/...`。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "warning",
|
||
"role": "Rogue",
|
||
"location": "action.yml:40",
|
||
"problem": "為了修剪字串前後空白，使用了 `printf` 與 `sed` 兩個外部進程，在頻繁執行的 CI 環境中會造成不必要的 CPU 週期浪費。",
|
||
"suggestion": "建議使用 Bash 原生的參數擴展功能（如 `${clean_comment##*[![:space:]]}`）來修剪空白，以避免啟動外部進程。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "warning",
|
||
"role": "Rogue",
|
||
"location": "action.yml:48",
|
||
"problem": "將 Prompt 內容先寫入 `prompt.md` 暫存檔再讀取，涉及不必要的磁碟 I/O，浪費了寶貴的執行時間。",
|
||
"suggestion": "建議移除暫存檔，直接將字串內容透過變數或管線（pipe）傳遞至 `$GITHUB_OUTPUT`。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "warning",
|
||
"role": "Rogue",
|
||
"location": "action.yml:88",
|
||
"problem": "將 JSON 資料先寫入 `comment.json` 暫存檔再提供給 `curl`，造成了不必要的磁碟 I/O 開銷。",
|
||
"suggestion": "建議將 `jq` 的輸出透過管線直接傳遞給 `curl` (使用 `--data @-`)，以避免寫入暫存檔。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "info",
|
||
"role": "Bard",
|
||
"location": "action.yml:51",
|
||
"problem": "目前的 `sed` 指令透過兩次替換來修剪字串，雖然功能正確，但顯得稍顯冗長，破壞了程式碼簡潔的旋律感。",
|
||
"suggestion": "可以使用正規表達式的「或」運算子將兩次操作合併，改寫為 `sed -E 's/^[[:space:]]+|[[:space:]]+$//g'`，讓修剪邏輯在單次指令中以更優雅的節奏完成。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "info",
|
||
"role": "Leo",
|
||
"location": "action.yml:86",
|
||
"problem": "在 `留言 AI 回覆` 步驟中，使用 `jq` 產生 JSON 檔後再 `curl`。雖然可行，但在 composite action 的 inline script 中直接處理大量字串和 JSON 結構，缺乏型別檢查或結構驗證，若 `RESPONSE` 包含特殊字元，容易產生難以除錯的執行錯誤。",
|
||
"suggestion": "確保對 `RESPONSE` 進行嚴格的 escape 處理，或者考慮使用更強健的工具/環境來處理 API 請求，以避免潛在的 injection 或格式錯誤。",
|
||
"is_new": true
|
||
},
|
||
{
|
||
"level": "info",
|
||
"role": "Mage",
|
||
"location": "action.yml:85",
|
||
"problem": "使用了 `cat prompt.md` 讀取內容，但如果在步驟間該檔案未成功建立（例如寫入權限問題），`__PROMPT__` 內容將為空，後續 AI 呼叫會收到空提示，產生無意義的結果。",
|
||
"suggestion": "在 `cat` 之前增加對 `prompt.md` 是否存在且非空的檢查 (`[ -s prompt.md ]`)，若為空則提早報錯退出。",
|
||
"is_new": true
|
||
}
|
||
]
|