.gitea/ai-review/exclusions.json

@@ -100,5 +100,23 @@
     "role": "Maya",
     "original_finding": "測試案例對於輸入參數的邊界測試（例如 `PROMPT` 為空字串、極長字串）不足。",
     "reason": "目前測試已包含 `test_empty_prompt` 與 `test_prompt_with_shell_characters`，覆蓋空字串與含 shell 特殊字元的 PROMPT 傳遞；此 finding 對最新測試內容已不成立。"
+  },
+  {
+    "location": "entrypoint.sh:49",
+    "role": "Mage",
+    "original_finding": "在執行 install -m 600 時，若 codex 進程已經在嘗試讀取 auth.json，會發生檔案存取競態（Race Condition）。雖然使用了 flock，但這僅在同一個 shell 腳本實例中有效，無法保護跨容器或跨執行環境的檔案存取一致性。",
+    "reason": "最新入口已改為 `entrypoint.sh` 呼叫 `app/main.js`，不存在 `install -m 600`；Node.js 實作會先寫入並 chmod auth.json 後才啟動 codex，且 Docker Action 每次執行為獨立容器，跨容器不共享 CODEX_HOME。"
+  },
+  {
+    "location": "entrypoint.sh:58",
+    "role": "Mage",
+    "original_finding": "在容器化環境（通常是 ephemeral 的）中，auth.json 寫入後立刻被刪除，這會導致 codex 在後續執行中因找不到驗證檔案而無法運作。另外，trap 的清理機制會導致該檔案在 codex 完成工作前被刪除，這對於長效執行或需要多次存取的應用場景是錯誤的設計。",
+    "reason": "最新 Node.js 實作會等待 `codex exec` 子程序結束並寫入 output 後才執行 cleanup；auth.json 在 codex 執行期間持續存在，不會在工作完成前被刪除。"
+  },
+  {
+    "location": "Dockerfile:32",
+    "role": "Mage",
+    "original_finding": "在 Dockerfile 中直接使用 RUN 來下載並執行安裝腳本，沒有進行網路連接穩定性的驗證或完整的錯誤恢復機制。一旦網路不穩導致腳本不完整，後續的 sha256sum 檢查會失敗，但 Dockerfile 層疊技術可能會導致中間層殘留損壞的檔案。",
+    "reason": "Dockerfile 已在同一個 RUN 中完成下載、SHA-256 驗證與安裝，並使用 `curl --retry 3 --retry-delay 2 --max-time 120`；checksum 失敗會使該 layer 建置失敗，不會產生可用的損壞中間成果。"
   }
 ]

.gitea/ai-review/findings.json

@@ -1,23 +1 @@
-[
-  {
-    "level": "critical",
-    "role": "Mage",
-    "location": "entrypoint.sh:49",
-    "problem": "在執行 install -m 600 時，若 codex 進程已經在嘗試讀取 auth.json，會發生檔案存取競態（Race Condition）。雖然使用了 flock，但這僅在同一個 shell 腳本實例中有效，無法保護跨容器或跨執行環境的檔案存取一致性。",
-    "suggestion": "建議將 auth.json 放置於唯讀且受限的目錄中，並通過環境變數直接傳遞路徑給 codex，而非在執行時進行檔案寫入與複製。"
-  },
-  {
-    "level": "warning",
-    "role": "Mage",
-    "location": "entrypoint.sh:58",
-    "problem": "在容器化環境（通常是 ephemeral 的）中，auth.json 寫入後立刻被刪除，這會導致 codex 在後續執行中因找不到驗證檔案而無法運作。另外，trap 的清理機制會導致該檔案在 codex 完成工作前被刪除，這對於長效執行或需要多次存取的應用場景是錯誤的設計。",
-    "suggestion": "評估 codex 是否需要該檔案在執行期間持續存在。若需要，請調整清理時機，或考慮使用記憶體中的臨時檔案系統（tmpfs）來提升安全性，而非直接移除檔案。"
-  },
-  {
-    "level": "warning",
-    "role": "Mage",
-    "location": "Dockerfile:32",
-    "problem": "在 Dockerfile 中直接使用 RUN 來下載並執行安裝腳本，沒有進行網路連接穩定性的驗證或完整的錯誤恢復機制。一旦網路不穩導致腳本不完整，後續的 sha256sum 檢查會失敗，但 Dockerfile 層疊技術可能會導致中間層殘留損壞的檔案。",
-    "suggestion": "將下載、SHA256 驗證與安裝合併在同一個 RUN 指令中，並加入重試機制（如已有的 --retry），確保每一層的原子性。"
-  }
-]
+[]