old-actions/codex
1
0
Fork 0
Code Pull Requests Actions Releases 2 Activity

處理 AI review findings 並改寫 Node.js entrypoint #1

Merged
jiantw83 merged 58 commits from ai-review-resolve/20260624102518 into develop 2026-06-24 14:09:27 +00:00
Conversation 34 Commits 58 Files Changed 10
+3 -2
1 changed files with 3 additions and 2 deletions
Download Patch File Download Diff File Expand all files Collapse all files
Showing only changes of commit 8bc4891bca - Show all commits
Dockerfile
+3 -2
View File
@@ -5,6 +5,7 @@ ENV CODEX_NON_INTERACTIVE=1
ENV CODEX_INSTALL_DIR=/usr/local/bin ENV CODEX_INSTALL_DIR=/usr/local/bin
ENV CODEX_HOME=/root/.codex ENV CODEX_HOME=/root/.codex
ENV CODEX_PLUGINS="jsc@doc jsc@code-review" ENV CODEX_PLUGINS="jsc@doc jsc@code-review"
ENV CODEX_PLUGIN_MARKETPLACES="https://gitea.jsc.idv.tw/plugins/doc.git https://gitea.jsc.idv.tw/plugins/code-review.git"
# 安裝必要的工具 # 安裝必要的工具
Ghost marked this conversation as resolved
gitea-actions commented 2026-06-24 11:03:19 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Assassin
問題：Codex 外掛市集來源指向 gitea.jsc.idv.tw，未驗證來源的安全性。若該伺服器遭駭，將導致自動安裝惡意或篡改過的外掛，進而導致供應鏈攻擊。
建議：若可能，請將外掛來源固定在受信任的內部儲存庫或使用經簽署的外掛版本。確保來源伺服器具有嚴格的存取控管與安全性掃描。

**嚴重等級**：🟡 警告 **審查員**：Assassin **問題**：Codex 外掛市集來源指向 `gitea.jsc.idv.tw`，未驗證來源的安全性。若該伺服器遭駭，將導致自動安裝惡意或篡改過的外掛，進而導致供應鏈攻擊。 **建議**：若可能，請將外掛來源固定在受信任的內部儲存庫或使用經簽署的外掛版本。確保來源伺服器具有嚴格的存取控管與安全性掃描。
gitea-actions commented 2026-06-24 11:03:19 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Leo
問題：環境變數使用以空格分隔的字串，若未來名稱中包含空格將導致 shell 展開錯誤，且難以維護。
建議：建議改用換行符號（
）分隔，並在安裝迴圈中使用 IFS=$' ' 處理，以提高 shell 指令的健壯性。

**嚴重等級**：🟡 警告 **審查員**：Leo **問題**：環境變數使用以空格分隔的字串，若未來名稱中包含空格將導致 shell 展開錯誤，且難以維護。 **建議**：建議改用換行符號（ ）分隔，並在安裝迴圈中使用 `IFS=$' '` 處理，以提高 shell 指令的健壯性。
RUN apk add --no-cache --no-check-certificate bash ca-certificates curl git jq util-linux RUN apk add --no-cache --no-check-certificate bash ca-certificates curl git jq util-linux
@@ -15,11 +16,11 @@ RUN install_script="$(mktemp)" \
https://chatgpt.com/codex/install.sh \ https://chatgpt.com/codex/install.sh \
-o "$install_script" \ -o "$install_script" \
Ghost marked this conversation as resolved
gitea-actions commented 2026-06-24 10:34:08 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Leo
問題：在 Dockerfile 中直接使用 curl 下載並執行安裝腳本 (sh "$install_script") 存在潛在的安全風險與不確定性，且沒有檢查腳本的完整性或簽章。若腳本內容在未來變更，可能導致映像檔建置失敗或植入非預期的內容，增加維護與安全風險。
建議：建議將安裝腳本改為明確的版本化下載，或者如果可能，將安裝邏輯整合進 Dockerfile 自身，以確保建置過程的冪等性與安全性。

**嚴重等級**：🟡 警告 **審查員**：Leo **問題**：在 Dockerfile 中直接使用 `curl` 下載並執行安裝腳本 (`sh "$install_script"`) 存在潛在的安全風險與不確定性，且沒有檢查腳本的完整性或簽章。若腳本內容在未來變更，可能導致映像檔建置失敗或植入非預期的內容，增加維護與安全風險。 **建議**：建議將安裝腳本改為明確的版本化下載，或者如果可能，將安裝邏輯整合進 Dockerfile 自身，以確保建置過程的冪等性與安全性。
gitea-actions commented 2026-06-24 10:45:34 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Leo
問題：在 Dockerfile 中直接使用 curl 下載並執行安裝腳本存在潛在的安全風險與不確定性，且沒有檢查腳本的完整性或簽章。若腳本內容在未來變更，可能導致映像檔建置失敗或植入非預期的內容。
建議：建議將安裝腳本改為明確的版本化下載，或者將安裝邏輯整合進 Dockerfile 自身。

**嚴重等級**：🟡 警告 **審查員**：Leo **問題**：在 Dockerfile 中直接使用 `curl` 下載並執行安裝腳本存在潛在的安全風險與不確定性，且沒有檢查腳本的完整性或簽章。若腳本內容在未來變更，可能導致映像檔建置失敗或植入非預期的內容。 **建議**：建議將安裝腳本改為明確的版本化下載，或者將安裝邏輯整合進 Dockerfile 自身。
gitea-actions commented 2026-06-24 11:03:19 +00:00
Review
Copy Link
Copy Source

嚴重等級：🔴 嚴重
審查員：Assassin
問題：Dockerfile 直接從外部連結下載並執行腳本，且未驗證其雜湊值，若來源遭攔截或篡改，將導致任意程式碼執行。
建議：下載指令碼後，務必使用 sha256sum 或其他雜湊函數驗證其完整性，確保與預期內容一致後再執行。

**嚴重等級**：🔴 嚴重 **審查員**：Assassin **問題**：Dockerfile 直接從外部連結下載並執行腳本，且未驗證其雜湊值，若來源遭攔截或篡改，將導致任意程式碼執行。 **建議**：下載指令碼後，務必使用 sha256sum 或其他雜湊函數驗證其完整性，確保與預期內容一致後再執行。
gitea-actions commented 2026-06-24 11:03:19 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Bard
問題：將安裝腳本邏輯直接寫在 RUN 指令中顯得冗長，且使用 $(mktemp) 容易產生難以追蹤的臨時檔案。
建議：考慮將安裝邏輯封裝成一個獨立的 script 檔案，讓 Dockerfile 更簡潔優雅。

**嚴重等級**：🟡 警告 **審查員**：Bard **問題**：將安裝腳本邏輯直接寫在 `RUN` 指令中顯得冗長，且使用 `$(mktemp)` 容易產生難以追蹤的臨時檔案。 **建議**：考慮將安裝邏輯封裝成一個獨立的 script 檔案，讓 `Dockerfile` 更簡潔優雅。
&& sh "$install_script" \ && sh "$install_script" \
Ghost marked this conversation as resolved
gitea-actions commented 2026-06-24 13:11:54 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Mage
問題：若 sh "$install_script" 安裝過程失敗，rm -f 由於被 && 連接，不會被執行，導致 build 過程中殘留不必要的暫存檔案，雖然 Docker Layer 會自動清除，但仍屬不佳的清理實作。
建議：建議改用 trap 進行清理，或確保 rm -f 指令在 failure 情境下也能執行，例如：sh "$install_script" || { rm -f "$install_script"; exit 1; }

**嚴重等級**：🟡 警告 **審查員**：Mage **問題**：若 sh "$install_script" 安裝過程失敗，rm -f 由於被 && 連接，不會被執行，導致 build 過程中殘留不必要的暫存檔案，雖然 Docker Layer 會自動清除，但仍屬不佳的清理實作。 **建議**：建議改用 trap 進行清理，或確保 rm -f 指令在 failure 情境下也能執行，例如：sh "$install_script" || { rm -f "$install_script"; exit 1; }
&& codex --version \
&& rm -f "$install_script" && rm -f "$install_script"
# 安裝技能 # 安裝技能
RUN codex plugin marketplace add https://gitea.jsc.idv.tw/plugins/doc.git \ RUN for marketplace in $CODEX_PLUGIN_MARKETPLACES; do codex plugin marketplace add "$marketplace"; done \
&& codex plugin marketplace add https://gitea.jsc.idv.tw/plugins/code-review.git \
&& for plugin in $CODEX_PLUGINS; do codex plugin add "$plugin"; done && for plugin in $CODEX_PLUGINS; do codex plugin add "$plugin"; done
Ghost marked this conversation as resolved
gitea-actions commented 2026-06-24 13:11:54 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Leo
問題：插件 URL 與版本參照 (REF) 硬編碼在 Dockerfile 中，未來若需更新插件或更換來源，需重新編譯整個 Docker 映像檔，維護成本較高。
建議：建議將這些插件清單與版本資訊移至外部設定檔 (如 plugins.json)，並在 Dockerfile 中讀取該檔案進行安裝，增加彈性。

**嚴重等級**：🟡 警告 **審查員**：Leo **問題**：插件 URL 與版本參照 (REF) 硬編碼在 Dockerfile 中，未來若需更新插件或更換來源，需重新編譯整個 Docker 映像檔，維護成本較高。 **建議**：建議將這些插件清單與版本資訊移至外部設定檔 (如 plugins.json)，並在 Dockerfile 中讀取該檔案進行安裝，增加彈性。
COPY entrypoint.sh /entrypoint.sh COPY entrypoint.sh /entrypoint.sh