wangjia d9d3de26b8 fix(security): 附件 GET 端点防同源存储型 XSS——非白名单图片(svg/html等)强制下载+octet-stream+nosniff+CSP sandbox ...

maestro 双复审漏掉的真实 HIGH：上传文件与 API 同源，inline 渲染会在 console 源执行其脚本。只对 png/jpeg/gif/webp 允许 inline 预览，其余强制 attachment 下载并改 content-type 为 octet-stream，加 X-Content-Type-Options:nosniff + CSP sandbox 双重兜底。带 SVG 安全单测。

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

2026-06-30 01:59:34 +08:00

..

fixtures

phase3(集成测试): 真 worker 进程 spawn → 重启 re-adopt 存活 worker → ingest;死亡→回收重试

2026-06-13 13:07:42 +08:00

attachments.test.ts

fix(security): 附件 GET 端点防同源存储型 XSS——非白名单图片(svg/html等)强制下载+octet-stream+nosniff+CSP sandbox

2026-06-30 01:59:34 +08:00

budget.test.ts

feat: 项目级成本预算系统（按模型×token 精确计费 + 超额自动暂停）

2026-06-24 15:29:44 +08:00

cc.test.ts

feat(executor): SDK 抖动 resume 续跑 + worker 池化评估暂缓 [tsk_74Acz1Nh4K1J]

2026-06-13 15:03:25 +08:00

checks.test.ts

feat(rule13): 执行前分歧重评估闸——main 撞声明范围→needs_attention 重评估

2026-06-25 20:15:02 +08:00

classify.test.ts

feat(complexity): 新增 AUTO·由模型判断 复杂度档位 (tsk_zacmwH3chZpG)

2026-06-13 10:46:37 +08:00

cleanup.test.ts

feat(cleanup): exec_review 合并后回收 runs/<runId>/ 工作目录 + 定期扫尾 [tsk_6uziW1Dg-ftQ]

2026-06-13 15:02:23 +08:00

db-migration.test.ts

feat(models+gate): 模型按项目可配置(默认 opus-4.8) + diff 声明外文件硬闸

2026-06-25 07:06:32 +08:00

exec-merge.test.ts

feat(agent): ② exec 自动放行（autoApproveExec）+ 抽出共享合并流程

2026-06-24 22:58:37 +08:00

ingest.test.ts

fix(ingest): autoApproveExec 传错 id 致自动合并不触发（线上实测捕获）

2026-06-24 23:51:07 +08:00

mcp.test.ts

feat: MCP/CLI 追平 Phase 2 后端能力（score/复审/合并/额度/归档）

2026-06-13 10:35:34 +08:00

memory-inject.test.ts

feat(models+gate): 模型按项目可配置(默认 opus-4.8) + diff 声明外文件硬闸

2026-06-25 07:06:32 +08:00

merge.test.ts

fix(merge): in-place 合并脏树守卫忽略未跟踪文件(--untracked-files=no)

2026-06-13 14:40:31 +08:00

metrics.test.ts

fix: 全量替换 claude-fable-5 → claude-opus-4-8（模型不可用）

2026-06-14 15:14:09 +08:00

models.test.ts

feat(models+gate): 模型按项目可配置(默认 opus-4.8) + diff 声明外文件硬闸

2026-06-25 07:06:32 +08:00

notify.test.ts

feat: PR 审核流程 + 自动合并 + macOS 通知 + 订阅额度透传 + 归档详情

2026-06-13 03:22:30 +08:00

orchestrator.test.ts

feat: 编排器跨项目全局并发上限闸（tsk_erQHNYdn6i9g）

2026-06-29 19:11:42 +08:00

patch.test.ts

feat: 支持依赖(deps)创建后编辑 (tsk_UQ7sNRM0Yi1L)

2026-06-13 10:33:39 +08:00

pipeline.test.ts

feat(rule13): 执行前分歧重评估闸——main 撞声明范围→needs_attention 重评估

2026-06-25 20:15:02 +08:00

reviewer.test.ts

feat: PR 审核流程 + 自动合并 + macOS 通知 + 订阅额度透传 + 归档详情

2026-06-13 03:22:30 +08:00

sandbox.test.ts

feat(executor): worker OS 级沙箱 + 资源限额（sandbox-exec / ulimit）[tsk_oTFzOMeAU20D]

2026-06-13 15:08:18 +08:00

store.test.ts

feat(retry+decompose): 范围型驳回不重试 + 拆解 prompt 补 scope 铁律

2026-06-29 23:32:10 +08:00

sync.test.ts

feat: 重试与超时策略细化（可配 + 退避）tsk_N5wO3Armums2

2026-06-13 04:04:41 +08:00

transcript.test.ts

feat(transcript): 归档详情内回放执行/复审转录 (tsk_O9q0_u78_NPo)

2026-06-13 10:42:57 +08:00

usage.test.ts

feat: PR 审核流程 + 自动合并 + macOS 通知 + 订阅额度透传 + 归档详情

2026-06-13 03:22:30 +08:00

worker-integration.test.ts

phase3(集成测试): 真 worker 进程 spawn → 重启 re-adopt 存活 worker → ingest;死亡→回收重试

2026-06-13 13:07:42 +08:00

worktree.test.ts

fix(executor): node_modules 软链写入仓库本地 exclude,杜绝被提交进历史

2026-06-13 09:18:18 +08:00