59 lines
3.3 KiB
JSON
59 lines
3.3 KiB
JSON
[
|
|
{
|
|
"level": "critical",
|
|
"role": "Assassin",
|
|
"location": "Dockerfile:13",
|
|
"problem": "直接將網際網路的腳本經由 pipe 傳送給 shell 執行 (curl | sh) 極度危險，且缺乏驗證，極易導致容器建置階段遭劫持或執行惡意代碼。",
|
|
"suggestion": "應先將腳本下載至本地，透過 sha256sum 或 gpg 驗證其完整性與來源可靠性後，再執行安裝。",
|
|
"is_new": false
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Assassin",
|
|
"location": "Dockerfile:16",
|
|
"problem": "從未經驗證的遠端 git 儲存庫安裝插件，若儲存庫內容遭竄改，將導致任意程式碼執行風險。同時，直接執行從外部網路下載的腳本，且未經過 Hash 檢查或簽章驗證，是嚴重的供應鏈攻擊破口。",
|
|
"suggestion": "必須鎖定特定 commit hash (SHA) 來引用插件，並對下載的腳本進行 SHA-256 雜湊驗證。",
|
|
"is_new": false
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Assassin",
|
|
"location": "Dockerfile:20",
|
|
"problem": "自動化從外部 Gitea 儲存庫安裝插件，若該儲存庫被竄改，將導致攻擊者可以在執行環境中安裝並執行惡意程式碼。這是極高風險的行為。",
|
|
"suggestion": "應限制插件來源，並在安裝前進行原始碼審查。若非必要，請將插件程式碼打包至 Docker Image 內部，避免動態安裝。",
|
|
"is_new": false
|
|
},
|
|
{
|
|
"level": "critical",
|
|
"role": "Maya",
|
|
"location": "Dockerfile:11",
|
|
"problem": "新增了 Codex CLI 的安裝與插件註冊過程，但沒有對應的測試來驗證安裝是否成功、插件是否正確載入。",
|
|
"suggestion": "應在測試套件中加入 Docker 映像檔的整合測試，驗證容器啟動後 `codex --version` 及插件列表是否存在。",
|
|
"is_new": false
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Leo",
|
|
"location": "Dockerfile:22",
|
|
"problem": "在 Dockerfile 中安裝 plugin 時，雖然使用了 `for` 迴圈處理變數，但直接將 plugin URL 硬編碼在 RUN 指令中。如果未來需要更換插件來源或增加插件，需要修改 Dockerfile，這增加了鏡像建置的耦合度。",
|
|
"suggestion": "建議將 plugin 安裝路徑抽離到環境變數或專用的配置檔案中，並在 Dockerfile 中透過讀取該清單來進行安裝，提升可維護性。",
|
|
"is_new": true
|
|
},
|
|
{
|
|
"level": "warning",
|
|
"role": "Maya",
|
|
"location": "Dockerfile:19",
|
|
"problem": "在 Dockerfile 中安裝 Codex CLI 後未進行任何檢查，若下載失敗（例如 curl 回傳成功但內容殘缺），後續的 plugin 安裝與執行將會失敗。",
|
|
"suggestion": "在安裝指令後增加 `codex --version` 的驗證步驟，確保 CLI 已正確安裝並能正常執行。",
|
|
"is_new": true
|
|
},
|
|
{
|
|
"level": "info",
|
|
"role": "Bard",
|
|
"location": "tests/entrypoint_test.sh:7",
|
|
"problem": "專案在 `entrypoint.sh` 中使用 `die` 函數處理致命錯誤，但測試腳本中卻定義了名稱不同的 `fail` 函數，這使得專案內的錯誤處理語彙不夠一致，略顯突兀。",
|
|
"suggestion": "建議將 `tests/entrypoint_test.sh` 中的 `fail` 函數更名為 `die`，使錯誤處理的語彙在專案各處保持一致，讓樂章的節奏更為統一。",
|
|
"is_new": true
|
|
}
|
|
]
|