fix(ci): check-push-paths 恢复脚本下载——e052c054移除checkout导致脚本找不到 #1582

Merged

xiaoxia merged 1 commits from fix/ci-check-push-paths-checkout into develop 2026-08-31 20:00:26 +08:00

Conversation 3 Commits 1 Files Changed 1

+1 -1

xiaoxia commented 2026-08-31 19:44:51 +08:00

Owner

Copy Link

Copy Source

问题

commit e052c054（流水线第一批提速）移除了 check-push-paths job 的 checkout 步骤，但该 job 仍然执行 bash scripts/ci/ci_push_paths.sh。runner 上没有代码仓库，脚本文件不存在，直接报错。

导致整条 CI 链路断裂：check-push-paths 失败 → build-staging 全部 skipped → deploy-staging 失败。

修复

将 bash scripts/ci/ci_push_paths.sh 改为先通过 raw API 下载脚本再执行（与 CI 中其他 job 的做法一致）：

# 修改前
run: |
  bash scripts/ci/ci_push_paths.sh

# 修改后
run: |
  curl -sfH "Authorization: token $GITHUB_TOKEN" -o /tmp/_ci_push_paths.sh "${GITHUB_API_URL}/repos/${GITHUB_REPOSITORY}/raw/scripts/ci/ci_push_paths.sh?ref=${GITHUB_SHA}" && bash /tmp/_ci_push_paths.sh

保持了提速意图（不需要完整 checkout），同时确保脚本可以正常执行。

## 问题 commit e052c054（流水线第一批提速）移除了 check-push-paths job 的 checkout 步骤，但该 job 仍然执行 `bash scripts/ci/ci_push_paths.sh`。runner 上没有代码仓库，脚本文件不存在，直接报错。 导致整条 CI 链路断裂：check-push-paths 失败 → build-staging 全部 skipped → deploy-staging 失败。 ## 修复 将 `bash scripts/ci/ci_push_paths.sh` 改为先通过 raw API 下载脚本再执行（与 CI 中其他 job 的做法一致）： ```yaml # 修改前 run: | bash scripts/ci/ci_push_paths.sh # 修改后 run: | curl -sfH "Authorization: token $GITHUB_TOKEN" -o /tmp/_ci_push_paths.sh "${GITHUB_API_URL}/repos/${GITHUB_REPOSITORY}/raw/scripts/ci/ci_push_paths.sh?ref=${GITHUB_SHA}" && bash /tmp/_ci_push_paths.sh ``` 保持了提速意图（不需要完整 checkout），同时确保脚本可以正常执行。

xiaoxia added 1 commit 2026-08-31 19:44:52 +08:00

fix(ci): check-push-paths 恢复脚本下载——commit e052c054 移除了 checkout 导致 runner 上无脚本文件 2cde32794f

gitea-actions bot commented 2026-08-31 19:50:07 +08:00

Copy Link

Copy Source

🚀 预览环境已部署

项目	详情
PR号	#1582
预览链接	https://pr-1582.preview.xiaoxiajianji.com
API环境	staging

💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。

🔄 每次提交新代码后预览环境会自动更新。

🗑️ PR 关闭或合并后，预览环境会自动清理。

🚀 **预览环境已部署** | 项目 | 详情 | |------|------| | PR号 | #1582 | | 预览链接 | [https://pr-1582.preview.xiaoxiajianji.com](https://pr-1582.preview.xiaoxiajianji.com) | | API环境 | staging | > 💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。 > > 🔄 每次提交新代码后预览环境会自动更新。 > > 🗑️ PR 关闭或合并后，预览环境会自动清理。

auto-approve-bot commented 2026-08-31 19:50:39 +08:00

Collaborator

Copy Link

Copy Source

【阻塞级判定】

• 是否存在阻塞级问题：是
• 阻塞级问题数量：1 个

📊 审查概览

• 整体评价：需修改
• 建议级问题数量：1 个

🔴 阻塞级问题（必须修复）

1. [.gitea/workflows/ci-pipeline.yml: 879] 引入不必要的网络依赖与安全风险
   • 问题类型：逻辑错误 / 安全隐患
   • 问题描述：CI 流水线通常在执行前已经通过 checkout 步骤将代码拉取至本地，直接执行本地文件 bash scripts/ci/ci_push_paths.sh 是最高效且可靠的方式。修改为通过 curl 从 GitHub API 动态下载脚本，不仅增加了网络延迟和 API 限流（Rate Limit）导致构建失败的风险，还引入了“执行远程下载脚本”的安全反模式（缺乏完整性校验，存在中间人攻击或供应链攻击的理论风险）。
   • 修改建议：回退该修改，继续使用本地文件执行命令 bash scripts/ci/ci_push_paths.sh。如果本地文件确实不存在，应检查 checkout 步骤的配置或仓库结构，而不是绕过本地文件系统。

💡 改进建议（不阻塞合并）

1. [.gitea/workflows/ci-pipeline.yml: 879] 敏感信息泄露风险
   • 具体内容：在命令行中使用 -H "Authorization: token $GITHUB_TOKEN" 可能会导致 Token 在进程列表（ps）中可见，存在敏感信息泄露风险。虽然在容器化 CI 环境中风险相对较低，但最佳实践是避免在命令行参数中传递敏感凭证。建议使用 ~/.netrc 文件或 CI 系统提供的内置认证机制（如 actions/checkout 自动处理的认证）。

✅ 良好实践

无

---

_{🤖 由 AI 代码审查机器人自动生成 | 2026-08-31 11:50:39 | 模型:}

### 【阻塞级判定】 - 是否存在阻塞级问题：是 - 阻塞级问题数量：1 个 ### 📊 审查概览 - 整体评价：需修改 - 建议级问题数量：1 个 ### 🔴 阻塞级问题（必须修复） 1. **[.gitea/workflows/ci-pipeline.yml: 879] 引入不必要的网络依赖与安全风险** - 问题类型：逻辑错误 / 安全隐患 - 问题描述：CI 流水线通常在执行前已经通过 `checkout` 步骤将代码拉取至本地，直接执行本地文件 `bash scripts/ci/ci_push_paths.sh` 是最高效且可靠的方式。修改为通过 `curl` 从 GitHub API 动态下载脚本，不仅增加了网络延迟和 API 限流（Rate Limit）导致构建失败的风险，还引入了“执行远程下载脚本”的安全反模式（缺乏完整性校验，存在中间人攻击或供应链攻击的理论风险）。 - 修改建议：回退该修改，继续使用本地文件执行命令 `bash scripts/ci/ci_push_paths.sh`。如果本地文件确实不存在，应检查 `checkout` 步骤的配置或仓库结构，而不是绕过本地文件系统。 ### 💡 改进建议（不阻塞合并） 1. **[.gitea/workflows/ci-pipeline.yml: 879] 敏感信息泄露风险** - 具体内容：在命令行中使用 `-H "Authorization: token $GITHUB_TOKEN"` 可能会导致 Token 在进程列表（ps）中可见，存在敏感信息泄露风险。虽然在容器化 CI 环境中风险相对较低，但最佳实践是避免在命令行参数中传递敏感凭证。建议使用 `~/.netrc` 文件或 CI 系统提供的内置认证机制（如 `actions/checkout` 自动处理的认证）。 ### ✅ 良好实践 无 --- _{🤖 由 AI 代码审查机器人自动生成 | 2026-08-31 11:50:39 | 模型:} <!-- AI_CODE_REVIEW_AUTO_COMMENT -->

xiaoxia merged commit b6c340a352 into develop 2026-08-31 20:00:26 +08:00

gitea-actions bot commented 2026-08-31 20:06:40 +08:00

Copy Link

Copy Source

🗑️ 预览环境已清理

PR #1582 已关闭或合并，对应的预览环境已被清理。

如有需要，可以重新打开 PR 来重新生成预览环境。

🗑️ **预览环境已清理** PR #1582 已关闭或合并，对应的预览环境已被清理。 > 如有需要，可以重新打开 PR 来重新生成预览环境。

Sign in to join this conversation.

Reviewers

No Reviewers

Labels

Clear labels

P0

阻塞性，必须立即处理

P1

高优先级

P2

中优先级

P3

低优先级/后考虑

architecture

架构设计

backend

后端相关

blocked

阻塞中

bug

Bug修复

ci-bug

CI本身的bug

ci-optimization

CI优化类任务

ci-pipeline

CI流水线/workflow相关

cleanup

代码清理

devops

运维/部署/CI

documentation

文档相关

feature

新功能

frontend

前端相关

question

需要讨论确认

ready

PR CI通过，可合并

refactor

代码重构

No Label

Milestone

No items

No Milestone

Projects

Clear projects

No project

Assignees

Clear assignees

auto-approve-bot xiaoxia

No Assignees

3 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: xiaoxia/xiaoxia-saas#1582