修复项目主要错误

问题报告.md

@@ -0,0 +1,214 @@
+# NebulaShell 代码审查报告
+
+> 审查日期：2026-05-04
+
+---
+
+## 一、严重问题
+
+### 1. `plugin-storage` 路径穿越漏洞（CRITICAL）
+
+**文件**: `store/NebulaShell/plugin-storage/main.py:131-132`
+
+```python
+def _resolve_path(self, path: str) -> Path:
+    return self.data_dir.resolve()  # 完全忽略了 path 参数！
+```
+
+`_resolve_path` 方法**完全忽略传入的 `path` 参数**，始终返回 `data_dir` 本身。这意味着 `read_file("../../../etc/passwd")` 和 `read_file("safe.txt")` 都返回同一个路径。虽然这避免了路径穿越，但**文件读写功能实际上被破坏了**——所有文件操作都指向同一个目录。`serve_file` 方法（第 96-129 行）有正确的路径穿越检查，但 `_resolve_path` 没有使用它。
+
+---
+
+### 2. `plugin-storage` 方法实现完全错误（CRITICAL）
+
+**文件**: `store/NebulaShell/plugin-storage/main.py`
+
+多个方法实现与签名完全不符：
+
+- **`get()`（第 17-20 行）**：参数是 `key, default`，但方法体写的是 `self._data[key] = value`（set 的逻辑），且 `_save()` 未定义
+- **`delete()`（第 22-24 行）**：返回 `key in self._data` 而不是执行删除
+- **`keys()`（第 26-29 行）**：调用 `self._data.clear()` 清空数据，然后 `_save()` 未定义
+- **`size()`（第 31-33 行）**：返回 `self._data.copy()` 而不是长度
+- **`set_many()`（第 35-40 行）**：返回一个字典而不是执行设置操作
+
+---
+
+### 3. `http-api` 路由处理未实现（CRITICAL）
+
+**文件**: `store/NebulaShell/http-api/router.py:2-4`
+
+```python
+class HttpRouter:
+    def handle(self, request: Request) -> Response:
+        pass  # 空实现！
+```
+
+HTTP 路由的 `handle()` 方法为空，所有 HTTP 请求都会返回 `None`，导致服务器无法正常响应。
+
+---
+
+### 4. `http-api` 的 `init()` 调用 `self.server.start()` 但 `server` 为 `None`（CRITICAL）
+
+**文件**: `store/NebulaShell/http-api/main.py:7-8`
+
+```python
+def init(self, deps: dict = None):
+    self.server.start()  # self.server 是 None！
+```
+
+`__init__` 中 `self.server = None`，但 `init()` 直接调用 `self.server.start()`，会抛出 `AttributeError`。
+
+---
+
+### 5. `code-reviewer` 核心逻辑未实现（HIGH）
+
+**文件**: `store/NebulaShell/code-reviewer/core/reviewer.py:10-34`
+
+`run_check` 方法中使用了未定义的变量 `filepath`（第 14 行），且没有文件遍历逻辑。`main.py` 中的 `check()` 方法也是 `pass`。整个代码审查插件**实际上无法运行**。
+
+---
+
+### 6. `code-reviewer` 引用检查器使用未定义变量（HIGH）
+
+**文件**: `store/NebulaShell/code-reviewer/checks/references.py`
+
+- **`_scan_project_modules`（第 43-53 行）**：使用了未定义的 `dir_path`、`base_name` 变量
+- **`_scan_plugin_modules`（第 55-62 行）**：同样使用了未定义的变量
+- **`check()`（第 64-104 行）**：使用了未定义的 `tree` 变量
+- **`_is_module_available()`（第 125-155 行）**：参数是 `module_name, file_path`，但方法体使用了未定义的 `module_name`（第 125 行）
+
+---
+
+## 二、安全问题
+
+### 7. CORS 配置过于宽松（MEDIUM）
+
+**文件**: `store/NebulaShell/http-api/server.py:72-74`
+
+```python
+self.send_header("Access-Control-Allow-Origin", "*")
+```
+
+OPTIONS 预检请求返回 `Access-Control-Allow-Origin: *`，但配置中实际设置了允许的来源列表。应使用配置中的 `CORS_ALLOWED_ORIGINS`。
+
+---
+
+### 8. 限流器线程安全问题（MEDIUM）
+
+**文件**: `store/NebulaShell/http-api/rate_limiter.py:156-168`
+
+`_is_rate_limited` 方法中使用了 `self.requests[limit_key]` 但没有加锁，且使用了 `popleft()` 但 `self.requests[limit_key]` 初始化为 `[]`（列表，不是 deque），会抛出 `AttributeError`。
+
+---
+
+### 9. CSRF 中间件缺少 `json` 导入（MEDIUM）
+
+**文件**: `store/NebulaShell/http-api/csrf_middleware.py:138`
+
+第 138 行使用了 `json.dumps()`，但 `json` 只在第 168 行的局部作用域中导入。模块顶部没有 `import json`。
+
+---
+
+### 10. 插件加载器 `_load_config` 安全检查可绕过（LOW）
+
+**文件**: `store/NebulaShell/plugin-loader/main.py:433-436`
+
+```python
+for p in ['import ', 'from ', 'open(', 'exec(', 'eval(', 'compile(', 'os.', 'sys.', 'subprocess', 'lambda', 'def ', 'class ']:
+    if p in content:
+```
+
+这种字符串包含检查很容易被绕过，例如 `import  `（多加空格）、`#import`（注释中）等。
+
+---
+
+## 三、代码质量问题
+
+### 11. 大量空方法和未实现功能（HIGH）
+
+- `oss/plugin/base.py`：空文件
+- `http-api/router.py`：`handle()` 空实现
+- `code-reviewer/main.py`：`check()` 空实现
+- `code-reviewer/checks/quality.py`：`_calculate_complexity()` 空实现
+- `code-reviewer/checks/references.py`：`_is_name_defined()` 空实现
+
+---
+
+### 12. 重复的中间件实现（MEDIUM）
+
+**文件**: `store/NebulaShell/http-api/middleware.py` 和 `store/NebulaShell/http-api/rate_limiter.py`
+
+`RateLimitMiddleware` 在两个文件中都有实现（`middleware.py:87-201` 和 `rate_limiter.py:41-122`），功能重复。`MiddlewareChain` 使用的是 `middleware.py` 中的版本，而 `rate_limiter.py` 中的版本未被使用。
+
+---
+
+### 13. `plugin-storage` 的 `_load()` 方法始终写空数据（MEDIUM）
+
+**文件**: `store/NebulaShell/plugin-storage/main.py:12-15`
+
+```python
+def _load(self):
+    data_file = self.data_dir / "data.json"
+    with open(data_file, "w", encoding="utf-8") as f:
+        json.dump(self._data, f, ...)
+```
+
+`_load()` 方法名暗示加载数据，但实际上是用空数据覆盖文件。每次初始化都会清空持久化数据。
+
+---
+
+### 14. `plugin-storage` 的 `stop()` 方法在 `start()` 之前执行配置加载（MEDIUM）
+
+**文件**: `store/NebulaShell/plugin-storage/main.py:164-181`
+
+`stop()` 方法中加载配置并初始化 `shared`，但 `start()` 中只是打印日志。配置加载应该在 `start()` 或 `init()` 中完成。
+
+---
+
+### 15. 成就系统异常被静默吞掉（LOW）
+
+多处代码使用 `try/except Exception: pass` 模式，隐藏了潜在的错误，不利于调试。
+
+---
+
+### 16. 硬编码的配置默认值不一致（LOW）
+
+`oss/config/config.py` 中 `HOST` 默认值为 `127.0.0.1`，但 `http-api/server.py:30` 中 `HttpServer.__init__` 的默认值是 `"0.0.0.0"`，存在不一致。
+
+---
+
+## 四、架构问题
+
+### 17. 插件加载顺序依赖隐式约定
+
+`plugin-loader` 通过 `load_priority: "first"` 标记和硬编码的 `core_plugins` 集合来控制加载顺序，缺乏清晰的优先级机制。
+
+---
+
+### 18. `use()` 函数绕过插件管理器
+
+`plugin-bridge/main.py` 中的 `use()` 函数可以直接从文件系统加载插件实例，绕过了 `plugin-loader` 的权限检查和生命周期管理。
+
+---
+
+### 19. 测试覆盖率不足
+
+测试文件主要集中在配置和日志等基础功能，核心的 HTTP 路由、插件加载、安全中间件等功能缺乏有效测试。
+
+---
+
+## 总结
+
+| 等级 | 数量 | 关键问题 |
+|------|------|----------|
+| CRITICAL | 4 | 路径穿越、方法实现错误、路由空实现、空指针 |
+| HIGH | 3 | 代码审查器不可用、未定义变量 |
+| MEDIUM | 5 | CORS、线程安全、重复实现、数据丢失 |
+| LOW | 3 | 安全检查绕过、异常静默、配置不一致 |
+
+**最紧急的修复项**：
+1. 修复 `plugin-storage` 的所有方法实现
+2. 实现 `http-api` 的路由处理
+3. 修复 `http-api` 的 `init()` 空指针问题
+4. 修复 `code-reviewer` 的未定义变量
+5. 统一限流器实现，修复线程安全问题