48 lines
2.4 KiB
JSON
48 lines
2.4 KiB
JSON
[
|
|
{
|
|
"level": "critical",
|
|
"role": "Assassin",
|
|
"location": "Dockerfile:13",
|
|
"problem": "直接將網際網路的腳本經由 pipe 傳送給 shell 執行 (curl | sh) 極度危險，且缺乏驗證，極易導致容器建置階段遭劫持或執行惡意代碼。",
|
|
"suggestion": "應先將腳本下載至本地，透過 sha256sum 或 gpg 驗證其完整性與來源可靠性後，再執行安裝。"
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Assassin",
|
|
"location": "Dockerfile:16",
|
|
"problem": "從未經驗證的遠端 git 儲存庫安裝插件，若儲存庫內容遭竄改，將導致任意程式碼執行風險。",
|
|
"suggestion": "必須鎖定特定 commit hash (SHA) 來引用插件，確保所安裝內容符合預期且未遭篡改。",
|
|
"is_new": false
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Maya",
|
|
"location": "Dockerfile:11",
|
|
"problem": "新增了 Codex CLI 的安裝與插件註冊過程，但沒有對應的測試來驗證安裝是否成功、插件是否正確載入。",
|
|
"suggestion": "應在測試套件中加入 Docker 映像檔的整合測試，驗證容器啟動後 `codex --version` 及插件列表是否存在。",
|
|
"is_new": false
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Maya",
|
|
"location": "entrypoint.sh:18",
|
|
"problem": "修改了 `entrypoint.sh` 的核心邏輯以執行 `codex exec`，但缺乏驗證執行是否成功的測試案例（例如：當 `OAUTH` 錯誤、`MODEL` 無效或 `codex exec` 本身拋出錯誤時的處理）。",
|
|
"suggestion": "應為 `entrypoint.sh` 補上單元測試，模擬各種環境變數設定及 `codex exec` 的成功與失敗路徑，並驗證對應的退出碼。",
|
|
"is_new": false
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Leo",
|
|
"location": "Dockerfile:20",
|
|
"problem": "在建置期透過網路安裝插件，增加建置複雜度、時間，且對外部網路依賴過高，不可重現。",
|
|
"suggestion": "建議將插件預先打包在映像檔中，或使用特定版本的 manifest 檔案管理相依性。"
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Maya",
|
|
"location": "entrypoint.sh:22",
|
|
"problem": "對於 `GITHUB_OUTPUT` 的處理與 `codex exec` 的執行結果缺乏測試驗證，導致失敗無法即時報告。",
|
|
"suggestion": "應補測試案例驗證各變數設定情況下的執行行為，並將 `codex exec` 的結果納入錯誤報告機制。"
|
|
}
|
|
]
|