Mr.Xia
c62ac37611
group_horse_racing: - settle_race: rewrite with 7 bug fixes (race condition, draw double-credit, empty participants, etc.) - models.py: reorder fields for correct defaults, add indexes - message_service: add logger import danding_points: - api.py: add finally blocks to 3 methods (add_points, get_history, get_leaderboard) - database.py: add finally block to get_user_balance chatai: - __init__.py: deprecated API→asyncio.to_thread, deduplicate logging, taskkill filter for safety - screenshot.py: XSS protection with bleach on HTML content - requirements.txt: add bleach dependency danding_qqpush: - api.py L13: fix self-referencing _renderer NameError crash - api.py: lazy singleton pattern via _get_renderer() instead of per-request ImageRenderer - __init__.py: mask Token in log output (security) All 34 tests pass.
2.9 KiB
2.9 KiB
danding_qqpush 评审报告
修复前问题清单 (5项)
| # | 严重度 | 问题 | 文件 |
|---|---|---|---|
| 1 | 严重 | init_bot() 在模块加载时调用，bot尚未连接必然失败 |
init.py |
| 2 | 中 | PIL 图片渲染在 async handler 中同步执行，阻塞 event loop | api.py |
| 3 | 中 | Token 硬编码默认值 "danding-8HkL9xQ2" 泄露安全隐患 |
config.py |
| 4 | 低 | get_bot() 中 silent except 吞没错误，调试困难 |
sender.py |
| 5 | 低 | validate_token 使用 == 比较，存在时序攻击风险 |
utils.py |
修复内容
init.py
- 移除模块级
init_bot()调用 - 改为
@driver.on_bot_connect异步钩子，确保 bot 就绪后再初始化 - 移除未使用的
get_bots导入
api.py
- PIL
render_to_base64()包装为asyncio.to_thread()，避免阻塞事件循环 - 添加
import asyncio
config.py
- Token 默认值改为空字符串，强制用户配置
FontPaths列表默认值改为 tuple，符合 Pydantic 最佳实践
sender.py
- 添加
logger导入 get_bot()的 silent except 改为logger.warning()记录异常
utils.py
validate_token改用secrets.compare_digest()防时序攻击
修复后验证 (12/12 ✓)
| 检查项 | 结果 |
|---|---|
| init: on_bot_connect hook | ✓ |
| init: no module-level init_bot() | ✓ |
| init: model_dump not .dict() | ✓ |
| api: asyncio.to_thread for PIL | ✓ |
| api: asyncio import | ✓ |
| config: no hardcoded token | ✓ |
| config: FontPaths is tuple | ✓ |
| sender: logger import | ✓ |
| sender: no silent except | ✓ |
| sender: logger.warning in get_bot | ✓ |
| utils: secrets.compare_digest | ✓ |
| text_parser: validate_text exists | ✓ |
代码质量总结
修复后评级：B+ (架构清晰，安全问题已修复，async处理合理)
第二轮修复 (新增4项)
| # | 严重度 | 问题 | 文件 |
|---|---|---|---|
| 6 | 严重 | api.py L13 自引用 _renderer = _renderer，运行时 NameError 崩溃 |
api.py |
| 7 | 严重 | 每次请求新建 ImageRenderer，加载字体文件，性能极差 |
api.py |
| 8 | 中 | __init__.py Token 明文输出到日志，信息泄露 |
init.py |
| 9 | 中 | image_render.py 双 Pilmoji 上下文，标题和正文各创建一次 |
image_render.py |
修复详情
api.py
- L13:
_renderer = _renderer→_renderer: Optional['ImageRenderer'] = None（修复 NameError） - 新增
_get_renderer(config)懒加载单例函数，首次调用创建，后续复用 _send_image_push用_get_renderer(config).render_to_base64()替代每次ImageRenderer(config)- 加
Optional导入
init.py
- Token 日志掩码：
plugin_config.Token[:4] + "***"
测试结果
- 34/34 通过（含原有 + 回归）