app/package.json 的 npm test（node --test，cwd 為 app/）只會探索 app/test/，
repo 根目錄另一份 test/ 中的 main 整合測試（index.test.js）因此從未被執行。
將 config/index/releases/version 收斂至 app/test/（修正 require 路徑），
保留 output 測試，移除重複且無法執行的 repo 根 test/。現 app/test/ 共 34 筆測試皆可執行。

@@ -58,0 +59,4 @@
+function assertRepository(name, value) {
+    const parts = value.split('/');
+    const isRepoFormatValid = parts.length === 2
+        && parts.every((part) => part.length > 0 && part.length <= 100

@@ -58,0 +60,4 @@
+    const parts = value.split('/');
+    const isRepoFormatValid = parts.length === 2
+        && parts.every((part) => part.length > 0 && part.length <= 100
+            && /^[A-Za-z0-9._-]+$/.test(part)

@@ -58,0 +62,4 @@
+        && parts.every((part) => part.length > 0 && part.length <= 100
+            && /^[A-Za-z0-9._-]+$/.test(part)
+            && part !== '.' && part !== '..');
+    if (!isRepoFormatValid) {

@@ -65,2 +65,3 @@
         } catch {
-            throw new Error(`release API 回傳資料無法解析 (page=${page})`);
+            // 以字元（而非 UTF-16 碼元）截斷回傳內容片段，避免拆分多位元組字元造成亂碼
+            const contentSnippet = Array.from(text).slice(0, 200).join('');

@@ -66,1 +66,3 @@
-            throw new Error(`release API 回傳資料無法解析 (page=${page})`);
+            // 以字元（而非 UTF-16 碼元）截斷回傳內容片段，避免拆分多位元組字元造成亂碼
+            const contentSnippet = Array.from(text).slice(0, 200).join('');
+            throw new Error(`release API 回傳資料無法解析 (page=${page})，回應內容片段：「${contentSnippet}」`);

@@ -60,2 +62,4 @@
+        GITEA_TOKEN: 'null',
     });
+
     assert.equal(config.token, null);

@@ -55,2 +30,4 @@
+            assert.deepEqual(releases, [{ tag_name: 'v1.0.0' }]);
+        },
     );
 });

@@ -58,0 +60,4 @@
+const REPO_SEGMENT_PATTERN = /^[A-Za-z0-9._-]+$/;
+
+// 驗證 repository 為 owner/repo 格式（拒絕 . 與 .. 路徑穿越段、空段、過長或含非法字元的段）
+function assertRepository(name, value) {

@@ -65,2 +68,3 @@
         } catch {
-            throw new Error(`release API 回傳資料無法解析 (page=${page})`);
+            // 以字元（而非 UTF-16 碼元）截斷回傳內容片段，避免拆分多位元組字元造成亂碼
+            const contentSnippet = Array.from(text).slice(0, API_ERROR_SNIPPET_LENGTH).join('');

@@ -67,1 +69,4 @@
+            // 以字元（而非 UTF-16 碼元）截斷回傳內容片段，避免拆分多位元組字元造成亂碼
+            const contentSnippet = Array.from(text).slice(0, API_ERROR_SNIPPET_LENGTH).join('');
+            throw new Error(`release API 回傳資料無法解析 (page=${page})，回應內容片段：「${contentSnippet}」`);
         }

@@ -70,0 +77,4 @@
+    );
+});
+
+test('fetchReleases 對非陣列回應拋錯', async () => {

@@ -58,0 +62,4 @@
+// 單一 repository 區段是否合法：長度在範圍內、僅含允許字元，且非 . 或 .. 路徑穿越段
+function isValidRepoSegment(part) {
+    return part.length > 0
+        && part.length <= MAX_REPO_NAME_LENGTH

@@ -64,3 +67,3 @@
             pageJson = JSON.parse(text);
         } catch {
-            throw new Error(`release API 回傳資料無法解析 (page=${page})`);
+            // 先以 UTF-16 長度粗略上限截斷（避免將可能極大的回應整個陣列化），

@@ -65,2 +68,3 @@
         } catch {
-            throw new Error(`release API 回傳資料無法解析 (page=${page})`);
+            // 先以 UTF-16 長度粗略上限截斷（避免將可能極大的回應整個陣列化），
+            // 再以字元（而非 UTF-16 碼元）精準截斷，避免拆分多位元組字元造成亂碼

@@ -58,0 +60,4 @@
+const REPO_SEGMENT_PATTERN = /^[A-Za-z0-9._-]+$/;
+
+// 單一 repository 區段是否合法：長度在範圍內、僅含允許字元，且非 . 或 .. 路徑穿越段
+function isValidRepoSegment(part) {

@@ -6,0 +11,4 @@
+function truncateString(text, limit) {
+    const bounded = text.slice(0, limit * 2);
+    return Array.from(bounded).slice(0, limit).join('');
+}