From 270384001870e15c787b58a8e40a1539a709fa86 Mon Sep 17 00:00:00 2001 From: Jeffery Date: Mon, 29 Jun 2026 10:49:22 +0000 Subject: [PATCH] =?UTF-8?q?chore(ai-review=20=E7=8B=80=E6=85=8B):=20?= =?UTF-8?q?=E6=B8=85=E7=A9=BA=E5=B7=B2=E8=99=95=E7=90=86=20findings=20?= =?UTF-8?q?=E4=B8=A6=E7=99=BB=E8=A8=98=E6=8E=92=E9=99=A4=E9=A0=85=E7=9B=AE?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit --- .gitea/ai-review/exclusions.json | 6 +++ .gitea/ai-review/findings.json | 67 +------------------------------- 2 files changed, 7 insertions(+), 66 deletions(-) diff --git a/.gitea/ai-review/exclusions.json b/.gitea/ai-review/exclusions.json index 6cb806a..eac7d1a 100644 --- a/.gitea/ai-review/exclusions.json +++ b/.gitea/ai-review/exclusions.json @@ -16,5 +16,11 @@ "role": "Leo", "original_finding": "extractJSONText is returning an unexpected result; suggest returning an empty array or throwing when no JSON is found.", "reason": "誤報：extractJSONText 的合約刻意是「盡力擷取，找不到合法 JSON 時回傳去 fence 後的原文」，呼叫端（chatJSON 等）依賴此行為再做後續解析與 AI 修復。改成回 [] 或丟例外會破壞既有呼叫鏈，且型別不一致（回傳值為字串非陣列），故不採納。" + }, + { + "location": "app/config.js:25", + "role": "Bard", + "original_finding": "`getInsecureHttpsAgent` 與 `getOpenCodeHttpsAgent` 同時存在，卻指向同一個物件來源，等於替同一段旋律寫了兩個名字，容易讓後續維護者搞不清楚哪個才是正規稱呼。", + "reason": "相容性保留：`getOpenCodeHttpsAgent` 是既有公開匯出名稱，README 與測試仍引用此語意名稱；本次已補上過渡別名註解，說明新程式碼應優先使用 `getInsecureHttpsAgent`，避免破壞既有呼叫端。" } ] diff --git a/.gitea/ai-review/findings.json b/.gitea/ai-review/findings.json index 92d2571..fe51488 100644 --- a/.gitea/ai-review/findings.json +++ b/.gitea/ai-review/findings.json @@ -1,66 +1 @@ -[ - { - "level": "warning", - "role": "Assassin", - "location": "app/git.js:67", - "problem": "這裡對所有 git 網路操作強制關閉 SSL 驗證。攻擊者若能攔截遠端回應，就能偽造 `ls-remote`、污染抓到的內容，甚至在有認證的情況下竊取 GITEA_TOKEN，讓後續審查建立在被污染的資料上。", - "suggestion": "移除 `GIT_SSL_NO_VERIFY=true`。若是內部憑證問題，改用正確的 CA bundle 或指定受信任憑證檔，不要整體關閉 git 的憑證驗證。", - "is_new": true - }, - { - "level": "warning", - "role": "Assassin", - "location": "app/usage.js:180", - "problem": "這裡對 OpenRouter 額度查詢也明確套用不驗證憑證的 agent。攻擊者只要攔截這條 HTTPS 請求，就能讀到 `Authorization: Bearer` 的 API key，還能回傳假 quota 資料誤導流程判斷。", - "suggestion": "改回預設的 HTTPS 憑證驗證。若必須支援自簽憑證，僅對特定內部主機單獨配置受信任 CA，且不要對外部 API 一律關閉驗證。", - "is_new": true - }, - { - "level": "warning", - "role": "Bard", - "location": "action.yaml:8", - "problem": "這個新加入的 `model` 輸入沒有任何描述，讓 action 的公開介面像是少了說明書的樂譜，讀者只能靠猜來理解它要吃什麼值。", - "suggestion": "補上一句簡短但明確的描述，例如說明這個欄位是「要使用的模型名稱」或「AI 助理 CLI 的模型識別字串」；讓使用者一眼看懂用途。", - "is_new": true - }, - { - "level": "warning", - "role": "Bard", - "location": "app/config.js:4", - "problem": "`process.env.NODE_TLS_REJECT_UNAUTHORIZED = '0'` 放在模組載入時就直接生效，這種全域副作用太早出聲，會讓讀者在還沒看到任何呼叫前，就先被迫接受一個隱晦的環境改寫。", - "suggestion": "把這種全域設定移到明確的啟動流程或初始化函式中，至少搭配更醒目的註解，讓副作用出現的位置和目的都更清楚。", - "is_new": true - }, - { - "level": "warning", - "role": "Bard", - "location": "app/config.js:25", - "problem": "`getInsecureHttpsAgent` 與 `getOpenCodeHttpsAgent` 同時存在，卻指向同一個物件來源，等於替同一段旋律寫了兩個名字，容易讓後續維護者搞不清楚哪個才是正規稱呼。", - "suggestion": "保留一個主名稱即可；如果一定要兼容舊名稱，請加上明確的遷移註解，說明哪個是新名字、哪個只是過渡別名。", - "is_new": true - }, - { - "level": "warning", - "role": "Bard", - "location": "app/llm.js:27", - "problem": "`cliArgs(provider, model, promptFile = null, prompt = null)` 這個簽名把不同 provider 的參數意義混在一起，光看位置很難分辨哪個值在某條分支才有用，讀起來像把三種節拍硬塞進同一小節。", - "suggestion": "改成物件參數或拆成各 provider 專用的組裝函式，讓每個欄位的用途能被名字直接說明，而不是靠呼叫順序猜測。", - "is_new": true - }, - { - "level": "warning", - "role": "Bard", - "location": "app/preflight.js:103", - "problem": "`verifyLLM` 的 JSDoc 仍然只描述 `provider` 與 `error`，但實際回傳已經多了 `command` 和 `model`。註解和程式碼不同步，會讓人以為這段函式比實際更單薄。", - "suggestion": "把 `@returns` 的型別與欄位補完整，讓文件精準反映目前回傳結構，避免讀者依舊沿用舊版心智模型。", - "is_new": true - }, - { - "level": "info", - "role": "Bard", - "location": "app/preflight.js:170", - "problem": "成功訊息仍寫成 `LLM provider=... CLI 可用`，語氣還停在 provider 中心，但整個流程已改成 CLI 中心，術語有些半新半舊，節奏不夠一致。", - "suggestion": "把成功訊息統一成 CLI 觀點，例如直接報 `command=...` 或改成更中性的「LLM CLI 可用」，讓文字系統保持同一把調性。", - "is_new": true - } -] +[]