old-actions/codex
1
0
Fork 0
Code Pull Requests Actions Releases 2 Activity

處理 AI review findings 並改寫 Node.js entrypoint #1

Merged
jiantw83 merged 58 commits from ai-review-resolve/20260624102518 into develop 2026-06-24 14:09:27 +00:00
Conversation 34 Commits 58 Files Changed 10
+2 -2
1 changed files with 2 additions and 2 deletions
Download Patch File Download Diff File Expand all files Collapse all files
Showing only changes of commit c88b2a8c61 - Show all commits
Dockerfile
+2 -2
View File
2
 @@ -13,13 +13,13 @@ RUN apk add --no-cache --no-check-certificate bash ca-certificates curl git jq u
# 安裝 Codex CLI 工具 # 安裝 Codex CLI 工具
RUN install_script="$(mktemp)" \ RUN install_script="$(mktemp)" \
&& trap 'rm -f "$install_script"' EXIT \
&& curl -fsSL --retry 3 --retry-delay 2 --max-time 120 \ && curl -fsSL --retry 3 --retry-delay 2 --max-time 120 \
Ghost marked this conversation as resolved
gitea-actions commented 2026-06-24 10:34:08 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Leo
問題：在 Dockerfile 中直接使用 curl 下載並執行安裝腳本 (sh "$install_script") 存在潛在的安全風險與不確定性，且沒有檢查腳本的完整性或簽章。若腳本內容在未來變更，可能導致映像檔建置失敗或植入非預期的內容，增加維護與安全風險。
建議：建議將安裝腳本改為明確的版本化下載，或者如果可能，將安裝邏輯整合進 Dockerfile 自身，以確保建置過程的冪等性與安全性。

**嚴重等級**：🟡 警告 **審查員**：Leo **問題**：在 Dockerfile 中直接使用 `curl` 下載並執行安裝腳本 (`sh "$install_script"`) 存在潛在的安全風險與不確定性，且沒有檢查腳本的完整性或簽章。若腳本內容在未來變更，可能導致映像檔建置失敗或植入非預期的內容，增加維護與安全風險。 **建議**：建議將安裝腳本改為明確的版本化下載，或者如果可能，將安裝邏輯整合進 Dockerfile 自身，以確保建置過程的冪等性與安全性。
gitea-actions commented 2026-06-24 10:45:34 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Leo
問題：在 Dockerfile 中直接使用 curl 下載並執行安裝腳本存在潛在的安全風險與不確定性，且沒有檢查腳本的完整性或簽章。若腳本內容在未來變更，可能導致映像檔建置失敗或植入非預期的內容。
建議：建議將安裝腳本改為明確的版本化下載，或者將安裝邏輯整合進 Dockerfile 自身。

**嚴重等級**：🟡 警告 **審查員**：Leo **問題**：在 Dockerfile 中直接使用 `curl` 下載並執行安裝腳本存在潛在的安全風險與不確定性，且沒有檢查腳本的完整性或簽章。若腳本內容在未來變更，可能導致映像檔建置失敗或植入非預期的內容。 **建議**：建議將安裝腳本改為明確的版本化下載，或者將安裝邏輯整合進 Dockerfile 自身。
gitea-actions commented 2026-06-24 11:03:19 +00:00
Review
Copy Link
Copy Source

嚴重等級：🔴 嚴重
審查員：Assassin
問題：Dockerfile 直接從外部連結下載並執行腳本，且未驗證其雜湊值，若來源遭攔截或篡改，將導致任意程式碼執行。
建議：下載指令碼後，務必使用 sha256sum 或其他雜湊函數驗證其完整性，確保與預期內容一致後再執行。

**嚴重等級**：🔴 嚴重 **審查員**：Assassin **問題**：Dockerfile 直接從外部連結下載並執行腳本，且未驗證其雜湊值，若來源遭攔截或篡改，將導致任意程式碼執行。 **建議**：下載指令碼後，務必使用 sha256sum 或其他雜湊函數驗證其完整性，確保與預期內容一致後再執行。
gitea-actions commented 2026-06-24 11:03:19 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Bard
問題：將安裝腳本邏輯直接寫在 RUN 指令中顯得冗長，且使用 $(mktemp) 容易產生難以追蹤的臨時檔案。
建議：考慮將安裝邏輯封裝成一個獨立的 script 檔案，讓 Dockerfile 更簡潔優雅。

**嚴重等級**：🟡 警告 **審查員**：Bard **問題**：將安裝腳本邏輯直接寫在 `RUN` 指令中顯得冗長，且使用 `$(mktemp)` 容易產生難以追蹤的臨時檔案。 **建議**：考慮將安裝邏輯封裝成一個獨立的 script 檔案，讓 `Dockerfile` 更簡潔優雅。
https://chatgpt.com/codex/install.sh \ https://chatgpt.com/codex/install.sh \
Ghost marked this conversation as resolved
gitea-actions commented 2026-06-24 13:11:54 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Mage
問題：若 sh "$install_script" 安裝過程失敗，rm -f 由於被 && 連接，不會被執行，導致 build 過程中殘留不必要的暫存檔案，雖然 Docker Layer 會自動清除，但仍屬不佳的清理實作。
建議：建議改用 trap 進行清理，或確保 rm -f 指令在 failure 情境下也能執行，例如：sh "$install_script" || { rm -f "$install_script"; exit 1; }

**嚴重等級**：🟡 警告 **審查員**：Mage **問題**：若 sh "$install_script" 安裝過程失敗，rm -f 由於被 && 連接，不會被執行，導致 build 過程中殘留不必要的暫存檔案，雖然 Docker Layer 會自動清除，但仍屬不佳的清理實作。 **建議**：建議改用 trap 進行清理，或確保 rm -f 指令在 failure 情境下也能執行，例如：sh "$install_script" || { rm -f "$install_script"; exit 1; }
-o "$install_script" \ -o "$install_script" \
&& echo "${CODEX_INSTALL_SHA256} ${install_script}" | sha256sum -c - \ && echo "${CODEX_INSTALL_SHA256} ${install_script}" | sha256sum -c - \
&& sh "$install_script" \ && sh "$install_script" \
&& codex --version \ && codex --version
&& rm -f "$install_script"
# 安裝技能 # 安裝技能
Ghost marked this conversation as resolved
gitea-actions commented 2026-06-24 13:11:54 +00:00
Review
Copy Link
Copy Source

嚴重等級：🟡 警告
審查員：Leo
問題：插件 URL 與版本參照 (REF) 硬編碼在 Dockerfile 中，未來若需更新插件或更換來源，需重新編譯整個 Docker 映像檔，維護成本較高。
建議：建議將這些插件清單與版本資訊移至外部設定檔 (如 plugins.json)，並在 Dockerfile 中讀取該檔案進行安裝，增加彈性。

**嚴重等級**：🟡 警告 **審查員**：Leo **問題**：插件 URL 與版本參照 (REF) 硬編碼在 Dockerfile 中，未來若需更新插件或更換來源，需重新編譯整個 Docker 映像檔，維護成本較高。 **建議**：建議將這些插件清單與版本資訊移至外部設定檔 (如 plugins.json)，並在 Dockerfile 中讀取該檔案進行安裝，增加彈性。
RUN codex plugin marketplace add "https://gitea.jsc.idv.tw/plugins/doc.git" --ref "$CODEX_DOC_MARKETPLACE_REF" \ RUN codex plugin marketplace add "https://gitea.jsc.idv.tw/plugins/doc.git" --ref "$CODEX_DOC_MARKETPLACE_REF" \
1