chore(ai-review 狀態): 更新 findings.json 與 exclusions.json

已解決 1 條（warning：補 JSON 解析失敗測試），其餘 5 條判定為誤報寫入 exclusions（critical x2 重複項、warning x2、info x1），findings 清空。

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.gitea/ai-review/exclusions.json

@@ -28,5 +28,35 @@
     "role": "Assassin",
     "original_finding": "移除 `--no-check-certificate`。若確實有無法解決的憑證問題，應排查來源網域的信任鏈或安裝正確的憑證，而不是直接關閉安全機制。",
     "reason": "AI 對話收斂判定為誤報（問題在最新程式碼中不成立或不適用）"
+  },
+  {
+    "location": "app/index.js:41",
+    "role": "Assassin",
+    "original_finding": "Action 未對 GITEA_SERVER_URL 進行格式驗證，攻擊者若能控制 CI/CD 環境變數，即可將該值設定為惡意 URL，導致 GITEA_TOKEN 外洩。建議嚴格驗證格式並符合網域白名單。",
+    "reason": "GITEA_SERVER_URL 由 Gitea Actions 平台注入（gitea.server_url），非一般威脅模型下使用者可控；loadConfig 已加入 http/https URL 格式驗證；網域白名單屬各部署環境特定決策，不宜硬寫進通用 action。"
+  },
+  {
+    "location": "app/index.js:18",
+    "role": "Maya",
+    "original_finding": "主邏輯函式 main 處理了 loadConfig 與 fetchReleases 的例外情境，但缺乏針對這些失敗路徑的整合測試。",
+    "reason": "前提已不成立：test/index.test.js 已以相依注入新增 main 成功路徑，以及 loadConfig 失敗、fetchReleases 失敗兩條失敗路徑的整合測試。"
+  },
+  {
+    "location": "app/output.js:16",
+    "role": "Assassin",
+    "original_finding": "writeOutput 直接接收 file 路徑並 fs.appendFileSync 寫入，預設來源為 GITHUB_OUTPUT，存在任意檔案寫入／路徑穿越風險。建議對路徑加入嚴格驗證。",
+    "reason": "GITHUB_OUTPUT 由 Action runner 注入並指向授權的暫存輸出檔，寫入它正是回傳 step output 的標準機制；對通用 action 而言硬性限制路徑會破壞功能，且該變數於正常威脅模型中非使用者可控。"
+  },
+  {
+    "location": "app/version.js:4",
+    "role": "Leo",
+    "original_finding": "版本號區段的進位上限（10）被直接硬編碼在程式中，未來調整進位規則需深入核心修改。建議設為配置常數或參數化。",
+    "reason": "進位上限已抽出為模組頂層具名常數 SEGMENT_LIMIT，可單點調整；進位規則為本 action 固定的業務規則，參數化屬尚無需求的過度設計。"
+  },
+  {
+    "location": "app/logger.js:4",
+    "role": "Leo",
+    "original_finding": "日誌分隔線寬度與符號直接硬編碼在模組內，調整風格需改多處。建議集中管理並提供通用產生函數。",
+    "reason": "分隔線已是模組頂層集中定義的常數 LINE/SUBLINE，單點即可調整；為固定的視覺樣式再加產生函數屬過度設計。"
   }
 ]