chore: update ai-review findings [ai-review-bot][failure]

.gitea/ai-review/findings.json

@@ -5,23 +5,54 @@
     "location": "Dockerfile:17",
     "problem": "在 `apk add` 中使用了 `--no-check-certificate` 參數。這會強制忽略套件來源的 SSL/TLS 憑證檢查，攻擊者可以透過中間人攻擊（MITM）在容器建置期間植入惡意套件，導致整個建置環境被入侵。",
     "suggestion": "正式環境嚴禁使用 `--no-check-certificate`。若遇到憑證問題，應排查環境配置（如是否缺少根憑證），或是確實解決憑證驗證問題，確保套件來源可信。",
+    "is_new": false
+  },
+  {
+    "level": "critical",
+    "role": "Maya",
+    "problem": "isSafeRepoPath 函式對於路徑穿越（Directory Traversal）的驗證邏輯至關重要，但目前新增處完全沒有相對應的安全性測試案例，無法確保無法被惡意路徑繞過。",
+    "suggestion": "請補齊測試案例，驗證包含 '../', '..\\', 或以絕對路徑開頭的惡意輸入，確保該函式能正確阻擋所有非預期的路徑穿越攻擊。",
+    "location": "app/resolve.js:142",
+    "is_new": false
+  },
+  {
+    "level": "critical",
+    "role": "Rogue",
+    "location": "app/findings.js:84",
+    "problem": "這函式在 inner loop 被瘋狂呼叫，每次都跑四次重量級的字串正則替換 (normalize, replace, trim)，若這與排除規則做笛卡爾積比對，效能直接雪崩。",
+    "suggestion": "針對 findings 與 exclusions 的內容，採用「首次計算後快取 (Memoization)」機制，不要重複對同一段文字計算正規化。",
     "is_new": true
   },
+  {
+    "level": "critical",
+    "role": "Maya",
+    "location": "app/json.js:69",
+    "problem": "validateJSONArrayFile 函式在 AI 修復後會直接覆寫檔案，但這部分邏輯完全沒有對應的單元測試，如果 AI 修復失敗或產生了無效 JSON，系統可能會產生毀損的 findings 檔案。",
+    "suggestion": "補上測試案例，模擬 repairJSONArrayWithAI 失敗、模擬修復後產生 invalid JSON，確保程式會拋出例外且不會覆寫原檔案。"
+  },
+  {
+    "level": "critical",
+    "problem": "`findingRow` 直接存取 `f.role` 且無空值檢查，`f` 為空值時會造成程式崩潰。",
+    "suggestion": "加入空值判斷，避免程式崩潰",
+    "location": "app/comments.js:15",
+    "role": "Mage",
+    "is_new": true
+  },
+  {
+    "level": "critical",
+    "role": "Maya",
+    "problem": "extractBalancedJSON 處理括號平衡解析的邏輯相當複雜，且直接操作字串索引，非常容易在處理特殊字元或不完整 JSON 片段時產生錯誤，目前完全沒有針對邊界條件的單元測試。",
+    "suggestion": "建議編寫針對性的單元測試，包含深層巢狀結構、跳脫字元字串、不完整 JSON、與非法起始字元的邊界測試案例，以確保解析器的魯棒性。",
+    "location": "app/llm.js:99",
+    "is_new": false
+  },
   {
     "level": "warning",
     "role": "Assassin",
     "location": "Dockerfile:12",
     "problem": "使用了 `alpine:latest` 作為基底映像。`latest` 標籤極不穩定，當 Alpine Linux 發布新版本時，建置出的映像環境可能會產生難以預期的變更，甚至引入不相容的套件版本，導致建置再現性（Reproducibility）崩潰。",
     "suggestion": "建議釘選明確的 Alpine 版本號（例如 `alpine:3.20`），以確保每次建置的執行環境完全一致且可預測。",
-    "is_new": true
+    "is_new": false
-  },
-  {
-    "level": "warning",
-    "role": "Leo",
-    "location": "Dockerfile:13",
-    "problem": "註解中提到建議使用明確版本（例如 alpine:3.20），但實作上卻持續使用 latest。這會在未來的建置環境中產生不可重現的隱憂，把債留給未來。",
-    "suggestion": "直接在 Dockerfile 中指定明確的 Alpine 版本（如 alpine:3.20），並將該註解移除。",
-    "is_new": true
   },
   {
     "level": "warning",
@@ -29,6 +60,86 @@
     "location": "Dockerfile:21",
     "problem": "Dockerfile 中留下了明確的安全性警告註解（關於 --no-check-certificate）。這種將安全性風險留在程式碼中並以註解提醒的做法，容易被未來的維護者忽略，導致潛在的安全性漏洞。",
     "suggestion": "若此 flag 僅為暫時性，應盡快優化環境以移除它；若不可避免，應將此設定集中管理，而非在 Dockerfile 中寫死此類不安全的設定。",
+    "is_new": false
+  },
+  {
+    "level": "warning",
+    "role": "Rogue",
+    "location": "app/config.js:21",
+    "problem": "每次呼叫都 new https.Agent()，這會建立全新的 TCP 連線池，不僅增加記憶體碎片，還浪費三次握手建立連線的時間，根本沒發揮連線池的優勢。",
+    "suggestion": "將 Agent 實例化為模組層級的靜態變數（Singleton），只在第一次呼叫時建立，後續重複使用。",
+    "is_new": true
+  },
+  {
+    "level": "warning",
+    "role": "Maya",
+    "problem": "normalizeText 執行了複雜的字元正規化（NFKC、標點符號壓縮），這是 findings 去重比對的核心邏輯，但目前缺乏測試來驗證其對各種 Unicode 變體、全形/半形符號的處理是否符合預期。",
+    "suggestion": "請補上測試用例，輸入包含全形/半形標點符號、各種 Unicode 組合字元的測試資料，確保正規化結果的一致性。",
+    "location": "app/findings.js:73",
+    "is_new": false
+  },
+  {
+    "level": "warning",
+    "role": "Maya",
+    "problem": "repairJSONArrayWithAI 是修正 JSON 陣列的重要邏輯，但新增後未見針對其「對 LLM 輸出內容進行修復」的情境進行測試，若模型輸出異常或格式混亂時，此函式是否能穩定產出合法 JSON 陣列未被驗證。",
+    "suggestion": "請建立測試用例，模擬各類 malformed JSON 字串（如缺少括號、註解、 markdown 殘留），驗證 repairer 是否能確實將其修復為可解析的 JSON 陣列。",
+    "location": "app/json.js:22",
+    "is_new": false
+  },
+  {
+    "level": "warning",
+    "role": "Rogue",
+    "location": "app/comments.js:51",
+    "problem": "每一項比較都在做 LEVEL_ORDER.includes 與 indexOf 搜尋，若 findings 超過千筆，這些無謂的搜尋將浪費大量 CPU 週期。",
+    "suggestion": "在 bySeverity 外部將 LEVEL_ORDER 預先處理成 Map<string, number>，排序時直接 Map 取值，時間複雜度從 O(N log N * M) 降至 O(N log N)。",
+    "is_new": true
+  },
+  {
+    "level": "warning",
+    "role": "Maya",
+    "location": "app/git.js:146",
+    "problem": "`commitAndPush` 函式在 `git push` 失敗時僅記錄了 warning 且不拋出例外。這意味著如果 push 失敗（例如網路問題、衝突），系統會誤以為 review 已完成並發布，測試案例中沒有驗證 push 失敗後對於整個 CI pipeline 狀態的影響。",
+    "suggestion": "即使不希望中斷流程，也應該在測試中明確驗證此時是否會觸發後續的告警機制或讓狀態檢查器偵測到失敗，確保沒有被誤當成執行成功。",
+    "is_new": true
+  },
+  {
+    "level": "info",
+    "role": "Maya",
+    "problem": "新增了許多輔助性的 formatting 函式（如 findingRow, buildTable 等），雖為內部使用，但這類字串處理邏輯若沒有測試覆蓋，極易因修改格式而導致 Markdown 輸出損壞。",
+    "suggestion": "雖然是輔助函式，但建議在 test/comments.test.js 中補齊這些 formatting 函式的斷言測試，確保輸出格式穩定。",
+    "location": "app/comments.js:16",
+    "is_new": false
+  },
+  {
+    "level": "info",
+    "role": "Bard",
+    "problem": "這裡同時出現了普通註解與 JSDoc，內容描述重複，顯得較為冗餘。",
+    "suggestion": "移除該行普通註解（// 等級無法...），僅保留下方的 JSDoc 即可。",
+    "location": "app/comments.js:103",
+    "is_new": false
+  },
+  {
+    "level": "info",
+    "role": "Leo",
+    "location": "app/llm.js:232",
+    "problem": "`extractJSONText` is returning an unexpected result.",
+    "suggestion": "Modify `extractJSONText` to return an empty array or throw an exception when no JSON is found.",
+    "is_new": true
+  },
+  {
+    "level": "info",
+    "role": "Leo",
+    "location": "app/git.js:194",
+    "problem": "`withAskpass` is tightly coupled with Gitea's bot-trigger behavior.",
+    "suggestion": "Encapsulate bot commit logic within `commitAndPush`, auto-selecting the correct `GITEA_COMMENT_TOKEN`.",
+    "is_new": true
+  },
+  {
+    "level": "info",
+    "role": "Maya",
+    "location": "app/test/json.test.js:33",
+    "problem": "雖然有 `repairJSONArrayWithAI` 的測試，但沒有測試當 `chatFn` 拋出錯誤時，`validateJSONArrayFile` 是否正確地向上拋出該例外，缺乏失敗路徑的健壯性驗證。",
+    "suggestion": "在 `json.test.js` 增加一個測試案例，mock `repairer` 為拋出 Error，驗證 `validateJSONArrayFile` 的錯誤傳遞路徑。",
     "is_new": true
   }
 ]