@unifan/pi-review-zh 1.0.9 → 1.0.11

package/agents/lite-review.md

@@ -9,10 +9,10 @@ inheritSkills: false
 ---
 你是**极速单兵审查官（Lite Reviewer）**。你的任务是对本次改动做一次快速、全面、高精准度的体检（涵盖逻辑 Bug、安全隐患与规范一致性）。追求快而准。
 
-## 执行计划（严格保持极简）
-1. 读取任务中的 diff 文件。纯文档变更直接报告 `SKIPPED: docs-only`。
-2. 重点直接分析 diff 本身，必要时最多读取 1~2 个上下文文件。
-3. 输出 Markdown 报告并在末尾附带机器读取的 JSON 块。尽量在 3~5 轮内完成。
+## 执行计划（严格极简，2~3轮内强制完成）
+1. 读取任务中的 diff 文件与清单文件。纯文档变更直接报告 `SKIPPED: docs-only`。
+2. 重点聚焦 diff 本身代码逻辑。若上下文足够直接撰写报告；若确需核验，最多仅读 1 个相关文件或单次 grep。
+3. **必须在第 2~3 轮内输出最终 Markdown 报告与 JSON 块并立即停止**！严禁进行超过 3 轮的漫游探索！
 
 ## 重点关注
 逻辑致命缺陷与安全隐患第一，明确的规范冲突第二。不提废话风格建议。

package/agents/security-review.md

@@ -1,35 +1,36 @@
 ---
 name: security-review
 package: pi-review
-description: 安全审查专家：排查注入漏洞、数据泄露、未鉴权访问与安全隐患。
+description: 安全合规专家：排查代码健壮性、配置合规、边界输入校验与潜在安全隐患。
 tools: read, grep, bash
 systemPromptMode: replace
 inheritProjectContext: false
 inheritSkills: false
 ---
-你是安全审查专家（Security Reviewer）。你的任务是审查**本次修改是否引入了安全风险与漏洞**。
+你是**代码安全与合规审查专家（Security & Robustness Reviewer）**。你的任务是审查本次代码改动是否存在防御性不足、边界校验缺失或配置安全隐患。
 
-## 执行计划
-1. 读取任务中的 diff 文件。若为纯文档修改，输出 `SKIPPED: docs-only`。
-2. 重点排查：敏感凭据/Token 硬编码、命令/SQL 注入、未经验证的用户输入、路径遍历、越权访问。
-3. 输出你的 Markdown 审查报告作为最终消息。
+## 审查重点
+1. **配置合规**：排查是否存在意外提交的私有凭证、明文密钥或不安全的默认配置。
+2. **输入与边界**：排查外部输入数据是否缺乏合法性校验、类型断言或长度/范围限制。
+3. **资源与生命周期**：排查文件句柄、网络流、连接会话是否未正确释放或存在泄露风险。
+4. **权限与防御**：排查接口与方法调用的边界条件是否健壮。
 
 ## 严重级别分类
-- `blocker` — 敏感凭证泄露、任意代码/命令执行、未经授权的提权
-- `major` — 注入风险、CSRF/SSRF、不安全的反序列化或加密配置
-- `minor` — 缺少速率限制、防御性不足
+- `blocker` — 明显的私密凭证泄露或高危防御缺失
+- `major` — 缺少必要的输入边界过滤、反序列化安全隐患
+- `minor` — 缺少速率保护、防御性冗余不足
 
-## 输出格式（所有描述与总结必须使用中文）
+## 输出格式（所有描述与总结必须使用纯正中文）
 ## Summary
-中文概述。若跳过写 `SKIPPED: <原因>`。
+中文一句话概述。若跳过写 `SKIPPED: <原因>`。
 
 ## Findings
-每个问题一行，严格遵循以下结构（中文说明漏洞）：
-- [SEVERITY|security|confidence] `文件路径:行号` — 中文安全问题描述与修复建议
+每个问题一行：
+- [SEVERITY|security|confidence] `文件路径:行号` — 中文问题描述与改进建议
 
 若无问题，严格写 `No findings.`。
 
 ## Coverage
-- Files checked: 检查的文件
+- Files checked: 检查的文件列表
 - Commands run: 执行的命令
 - Limitations: 局限说明

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@unifan/pi-review-zh",
-  "version": "1.0.9",
+  "version": "1.0.11",
   "description": "Pi AI 并发代码审查扩展（多专家子代理并发 + 门禁裁判系统，中文增强版）",
   "type": "module",
   "license": "MIT",

package/src/directive.ts

@@ -243,8 +243,8 @@ export function buildWorkflowScript(input: {
 	lines.push("try {");
 	lines.push("  reviewers = await runs.all([");
 	for (const r of reviewers) {
-		const tb = LEAN_BUDGETS.defaultToolBudget;
-		const tbForId = r.id === "history-context" ? LEAN_BUDGETS.historyToolBudget : tb;
+		const tbForId = toolBudgetForReviewer(r.id);
+		const turnsForId = r.id === "lite-review" ? { maxTurns: 4, graceTurns: 1 } : budgets.turnBudget;
 		const taskParts = [
 			READ_ONLY_PREFIX,
 			`读取 ${JSON.stringify(diffPath)} 作为改动内容——diff 是权威的修改记录，工作区文件仅作上下文参考。若工作区文件与 diff 存在差异，以 diff 为准并在 coverage.limitations 中说明。所有问题描述必须使用中文。`,
@@ -254,6 +254,11 @@ export function buildWorkflowScript(input: {
 			"严禁读取 plan.md, progress.md, 以及 .pi-subagents/ 目录下的任何文件或 node_modules。",
 			"优先使用 Read/Grep。若使用 bash，仅限简单的单条命令（禁止 &&/||/; 等复合命令）。",
 		];
+		if (r.id === "lite-review") {
+			taskParts.push(
+				"极速模式要求：严格在 2~3 轮内完成！读取 diff 后若无需核验直接出报告；若需核验最多只读 1 个文件或单次 grep，下一轮立即输出最终报告并停止！",
+			);
+		}
 		if (r.id === "claude-md-compliance") {
 			taskParts.push(
 				"若 change-profile.rulePaths 为空，返回跳过状态：SKIPPED: no-rules，不提出虚构的违规。",
@@ -301,7 +306,7 @@ export function buildWorkflowScript(input: {
 		}
 		lines.push(`      toolBudget: { soft: ${tbForId.soft}, hard: ${tbForId.hard} },`);
 		lines.push(
-			`      turnBudget: { maxTurns: ${budgets.turnBudget.maxTurns}, graceTurns: ${budgets.turnBudget.graceTurns} },${modelClause}`,
+			`      turnBudget: { maxTurns: ${turnsForId.maxTurns}, graceTurns: ${turnsForId.graceTurns} },${modelClause}`,
 		);
 		lines.push("    },");
 	}
@@ -311,14 +316,19 @@ export function buildWorkflowScript(input: {
 	lines.push("  await new Promise((resolve) => setTimeout(resolve, 800));");
 	lines.push("  reviewers = await runs.all([");
 	for (const r of reviewers) {
-		const tb = LEAN_BUDGETS.defaultToolBudget;
-		const tbForId = r.id === "history-context" ? LEAN_BUDGETS.historyToolBudget : tb;
+		const tbForId = toolBudgetForReviewer(r.id);
+		const turnsForId = r.id === "lite-review" ? { maxTurns: 4, graceTurns: 1 } : budgets.turnBudget;
 		const taskParts = [
 			READ_ONLY_PREFIX,
 			`读取 ${JSON.stringify(diffPath)} 作为改动内容——diff 是权威的修改记录，工作区文件仅作上下文参考。所有问题描述必须使用中文。`,
 			`你的当前工作区为目标工作区 (${JSON.stringify(workspacePath)})。在此目录下执行必要的 read/grep。`,
 			"在额度内完成分析；最终回复必须输出格式规范的 Markdown 审查报告（包含中文 Summary / Findings / Coverage 章节）并停止。所有问题描述、证据引用和总结必须使用纯正中文。",
 		];
+		if (r.id === "lite-review") {
+			taskParts.push(
+				"极速模式要求：严格在 2~3 轮内完成！读取 diff 后若无需核验直接出报告；若需核验最多只读 1 个文件或单次 grep，下一轮立即输出最终报告并停止！",
+			);
+		}
 		const modelClause =
 			r.model && r.model !== "inherit"
 				? `\n      model: ${JSON.stringify(r.model)},`
@@ -337,7 +347,7 @@ export function buildWorkflowScript(input: {
 		}
 		lines.push(`      toolBudget: { soft: ${tbForId.soft}, hard: ${tbForId.hard} },`);
 		lines.push(
-			`      turnBudget: { maxTurns: ${budgets.turnBudget.maxTurns}, graceTurns: ${budgets.turnBudget.graceTurns} },${modelClause}`,
+			`      turnBudget: { maxTurns: ${turnsForId.maxTurns}, graceTurns: ${turnsForId.graceTurns} },${modelClause}`,
 		);
 		lines.push("    },");
 	}

package/src/lean-agents.ts

@@ -25,6 +25,8 @@ export interface LeanBudgetSpec {
 	defaultToolBudget: ToolBudgetSpec;
 	/** Stricter per-child tool budget for history-context (injected per runs.all item). */
 	historyToolBudget: ToolBudgetSpec;
+	/** Ultra-lean tool budget for lite-review. */
+	liteToolBudget: ToolBudgetSpec;
 	/** Gate child budgets (injected onto the runs.run("gate", ...) item). */
 	gateTurnBudget: { maxTurns: number; graceTurns: number };
 	gateToolBudget: ToolBudgetSpec;
@@ -33,15 +35,17 @@ export interface LeanBudgetSpec {
 }
 
 export const LEAN_BUDGETS: LeanBudgetSpec = {
-	turnBudget: { maxTurns: 26, graceTurns: 2 },
-	defaultToolBudget: { soft: 20, hard: 32 },
-	historyToolBudget: { soft: 14, hard: 24 },
-	gateTurnBudget: { maxTurns: 16, graceTurns: 2 },
-	gateToolBudget: { soft: 14, hard: 20 },
-	timeoutMs: 1_000_000,
+	turnBudget: { maxTurns: 8, graceTurns: 1 },
+	defaultToolBudget: { soft: 6, hard: 10 },
+	historyToolBudget: { soft: 4, hard: 6 },
+	liteToolBudget: { soft: 3, hard: 5 },
+	gateTurnBudget: { maxTurns: 6, graceTurns: 1 },
+	gateToolBudget: { soft: 6, hard: 10 },
+	timeoutMs: 600_000,
 };
 
 export function toolBudgetForReviewer(id: string): ToolBudgetSpec {
+	if (id === "lite-review") return LEAN_BUDGETS.liteToolBudget;
 	if (id === "history-context") return LEAN_BUDGETS.historyToolBudget;
 	return LEAN_BUDGETS.defaultToolBudget;
 }

package/src/report-tool.ts

@@ -107,15 +107,32 @@ function emptyCoverage(): ReviewerOutput["coverage"] {
 
 /** Build a deterministic verdict + report from a workflow return value. */
 export function runReportTool(input: ReportToolInput): ReportToolResult {
-	if (!input.workflowReturn || typeof input.workflowReturn !== "object") {
+	let rawWorkflowReturn = input.workflowReturn;
+	if (typeof rawWorkflowReturn === "string") {
+		try {
+			rawWorkflowReturn = JSON.parse(rawWorkflowReturn);
+		} catch {
+			return { ok: false, error: "workflowReturn must be an object or valid JSON string" };
+		}
+	}
+	if (!rawWorkflowReturn || typeof rawWorkflowReturn !== "object") {
 		return { ok: false, error: "workflowReturn must be an object" };
 	}
-	const ret = input.workflowReturn as {
+	const ret = rawWorkflowReturn as {
 		reviewers?: unknown;
 		gate?: unknown;
 		reviewersShaped?: unknown;
+		error?: unknown;
 	};
-	if (!Array.isArray(ret.reviewers)) {
+	let reviewersList = Array.isArray(ret.reviewers) ? (ret.reviewers as unknown[]) : [];
+	if (reviewersList.length === 0 && ret.error) {
+		reviewersList = [{
+			key: "execution-error",
+			ok: false,
+			error: String(ret.error),
+			output: undefined,
+		}];
+	} else if (!Array.isArray(ret.reviewers)) {
 		return { ok: false, error: "workflowReturn.reviewers must be an array" };
 	}
 
@@ -124,7 +141,7 @@ export function runReportTool(input: ReportToolInput): ReportToolResult {
 	const threshold = input.threshold ?? 8;
 	const policy = input.verdictPolicy ?? "strict";
 
-	const reviewersRaw = ret.reviewers as Array<{
+	const reviewersRaw = reviewersList as Array<{
 		key: string;
 		ok: boolean;
 		error?: string;