↑ 需求首頁 ⌂ 需求中心

2026-07-25 Sonar 存量清理 arc 收官 + v1.10.1 進版 — SUMMARY

項目 內容
Arc Sonar 存量 code smell 清理(2026-07-25 開局同日收官)+ 資安 arc 尾巴(semgrep 預演)+ 覆核輪 Drive bug
版本 v1.10.1(BUG 版號),BE d0fbdba4 / FE 814b0a3,tag 已打已推
成果 兩 repo Sonar open 1,440 → 0、Quality Gate 雙 PASSED、semgrep security-audit 歸零
Notion CM-895 ~ CM-905 共 11 案,全 Done(2026-07-25)
協作模式 主 session(任務分析首腦,triage/開 case/驗收)+ user 外部 loop runner(執行)+ subagent(查證/掃描類)

1. 最終帳面(issue 條數,per 2026-07-25「以 issue 為主」紀律)

處置 BE FE 追溯
真修 ~200 條 ~196 條 git log chore(sonar)/fix(sonar)/fix(security) 系列,BE 16 + FE 11 commits
accept 465 160 逐條附裁決 comment;HIGH 大宗為 S3776 ×240(認知複雜度不重構裁決)、BLOCKER 8 條逐條查證(FR-038 stub ×7 + CSRF 不適用 ×2 有分析文件背書)
false positive 34 48 S6019 regex 誤判(實測)、S125 中文註解誤判、css 對比度 48 條(docs/analysis/2026-07-25-sonar-css-contrast-false-positive.md)

2. Case 清單與真 bug 收穫

Case 內容 真 bug 收穫
CM-895~898 外部 runner:FE a11y / 註解碼 / BE logging 桶 / FE 語法樣式桶 —
CM-899 BE 語意桶(S8786/S5754/S5886),29 真修 + 41 accept 裸 except 誤吞系統訊號 ×11
CM-900 SECURITY impact 7 條:pytz→zoneinfo ×2 真修 + S1313 ×5 accept 順手修掉 1937~1979 日光節約轉換日未攔例外(舊 except 攔不到 pytz 例外)
CM-901 BE Overall 收尾:Reliability 13 全修 + 機械桶 63 utcnow() naive/aware 逐條查下游(review_marks 欄位不帶時區、isoformat()+"Z" 雙時區標記雷);Drive get_file_metadata 介面違反
CM-902 FE Overall 收尾 ~190 條 —
CM-903 semgrep security-audit 預演 3 條:docker 參數白名單真修 + XXE/ safe 誤報標記 + triage 答辯材料
CM-904 最終收官:一行級 39 真修 + 111 標記;runner 實測後拒改 12 條(structuredClone 對 Vue reactive 拋錯等) defineEmits 漏宣告 ×2、sub_workflows_count tuple 未爆彈
CM-905 覆核輪 Drive 資料夾缺失(雷門實測回報) 功能 bug:發起覆核不建 Drive 資料夾→第二輪分類 404;route 層接線補跑 init(避開 grc↔︎cloud_integration 循環依賴),歷史專案已補

3. 行為差異(對 user 可見的)

  • 覆核輪(第二輪起)證據 AI 分類不再 404;新發起的覆核自動建 Drive 資料夾
  • AI 助理對話框關閉鈕、批次上傳使用者後清單刷新:從「靠 fallthrough 僥倖」轉正
  • 證據分類 API 傳非法 folder ID(如 --privileged)會被擋(安全硬化)
  • 其餘 ~390 條修改全部行為等價(每批驗證:import 不炸 + login 煙霧 + BE 全測試 before/after 失敗清單相同)

4. 規範文件

  • Release note:docs/release_notes/v1.10.1.md(+ spec 站鏡射 + _overview.md 列表)
  • Spec 快照:docs/specs/v1.10.1/(current 複製,HTML 重 build 零 nav 警告)
  • Checkmarx 答辯:docs/features/security-scan-2607/2026-07-25-semgrep-security-audit-preview-triage.md
  • 掃描 JSON 佐證:docs/security-reports/2026-07-25/(本機留存)
  • 頁面 spec:本 arc 無頁面行為變更(CM-905 屬 bug 修復回歸既定行為),不觸發 spec 更新

5. 已知 follow-up

  1. FE semgrep 覆蓋缺口:security-audit 掃 FE 只吃到 40 條規則(BE 1,144),JS/TS 導向 ruleset 補掃待開案(CM-903 runner 發現)
  2. CI/CD 掃描接入:Quality Gate 已就緒,等環境(既有 case CM-CI 那條)
  3. 已 accept 623 條 = 有意識風險接受,對應模組重構時可順修
  4. Semgrep Pro engine 限制:Community 版無跨檔 taint 分析,Checkmarx 可能報本次掃不到的路徑(答辯材料已載明)

6. 部署 handover(v1.10.1)

  1. BE:git pull → poetry update(weasyprint 69.0 / Flask-Cors 6.0.0 / jedi-* 升版)→ 重啟
  2. FE:同版 build 部署
  3. 主機:fc-match 'Noto Sans CJK TC' 回 NotoSansCJK + which libreoffice(見 docs/claude/host-dependencies.md)
  4. classify image 如未含新依賴需 rebuild
  5. 無 DB migration、無 breaking

7. 本 arc 方法論教訓(已入 memory)

  • feedback_sonar_issue_centric_workflow(新增):Sonar 工作以 issue 清單為主體(規則×條數前後對照),不繞評級/維度敘事;真修與 accept 分開報;主 session 角色=逐條 triage「能不能修/需不需要修」三分法
  • reference_security_scan_tooling(更新):semgrep 一律加掃 p/security-audit ruleset(Checkmarx 預演常規化),指令與已知限制已載明
  • Runner「實測後拒改」紀律再次證明價值:CM-904 拒改 12 條全部有實測依據(structuredClone/頭像 hash/FR-038 stub),照單全收會出貨真 bug