🤖 AI Full Scan Report
| Severity |
Count |
| 🔴 Error |
8 |
| 🟡 Warning |
2 |
| 🔵 Info |
0 |
🔴 Errors
src/bridge/bridgeStatusUtil.ts:54 — 在 buildBridgeConnectUrl 函数中，直接将 environmentId 拼接到 URL 查询参数中，未调用 validateBridgeId 进行校验。这可能导致 URL 注入漏洞。src/bridge/bridgeStatusUtil.ts:63 — 在 buildBridgeSessionUrl 函数中，直接将 sessionId 和 environmentId 拼接到 URL 查询参数中，未调用 validateBridgeId 进行校验。这可能导致 URL 注入漏洞。src/bridge/codeSessionApi.ts:30 — 在 createCodeSession 函数中，baseUrl 被直接拼接到 URL 字符串中（${baseUrl}/v1/code/sessions），但未调用任何校验函数（如 validateBridgeId）。这可能导致 URL/路径注入漏洞。src/bridge/codeSessionApi.ts:56 — 在 fetchRemoteCredentials 函数中，baseUrl 和 sessionId 被直接拼接到 URL 字符串中（${baseUrl}/v1/code/sessions/${sessionId}/bridge），但未调用任何校验函数（如 validateBridgeId）。这可能导致 URL/路径注入漏洞。src/bridge/createSession.ts:89 — 构造 URL 时使用了未校验的变量 baseUrlOverride，未调用 validateBridgeId 等校验函数，存在 URL 注入风险。src/bridge/createSession.ts:137 — 构造 URL 时使用了未校验的变量 opts?.baseUrl 和 sessionId，未调用 validateBridgeId 等校验函数，存在路径注入风险。src/bridge/createSession.ts:175 — 构造 URL 时使用了未校验的变量 opts?.baseUrl 和 sessionId，未调用 validateBridgeId 等校验函数，存在路径注入风险。src/bridge/createSession.ts:203 — 构造 URL 时使用了未校验的变量 opts?.baseUrl 和 compatId，未调用 validateBridgeId 等校验函数，存在路径注入风险。
🟡 Warnings
src/bridge/bridgeMessaging.ts:145 — onInboundMessage 是异步函数（返回 Promise），但代码使用了 void 调用。如果该函数内部抛出异常，错误将被静默吞掉，无法被外层捕获。src/bridge/bridgeMessaging.ts:268 — transport.write 是发送消息到传输层的方法，通常是异步操作。代码使用了 void 调用。如果写入失败（Promise reject），错误会被静默吞掉，调用方无法感知传输失败。
Generated by Newma Review
🤖 AI Full Scan Report
🔴 Errors
src/bridge/bridgeStatusUtil.ts:54— 在 buildBridgeConnectUrl 函数中，直接将 environmentId 拼接到 URL 查询参数中，未调用 validateBridgeId 进行校验。这可能导致 URL 注入漏洞。src/bridge/bridgeStatusUtil.ts:63— 在 buildBridgeSessionUrl 函数中，直接将 sessionId 和 environmentId 拼接到 URL 查询参数中，未调用 validateBridgeId 进行校验。这可能导致 URL 注入漏洞。src/bridge/codeSessionApi.ts:30— 在 createCodeSession 函数中，baseUrl 被直接拼接到 URL 字符串中（${baseUrl}/v1/code/sessions），但未调用任何校验函数（如 validateBridgeId）。这可能导致 URL/路径注入漏洞。src/bridge/codeSessionApi.ts:56— 在 fetchRemoteCredentials 函数中，baseUrl 和 sessionId 被直接拼接到 URL 字符串中（${baseUrl}/v1/code/sessions/${sessionId}/bridge），但未调用任何校验函数（如 validateBridgeId）。这可能导致 URL/路径注入漏洞。src/bridge/createSession.ts:89— 构造 URL 时使用了未校验的变量 baseUrlOverride，未调用 validateBridgeId 等校验函数，存在 URL 注入风险。src/bridge/createSession.ts:137— 构造 URL 时使用了未校验的变量 opts?.baseUrl 和 sessionId，未调用 validateBridgeId 等校验函数，存在路径注入风险。src/bridge/createSession.ts:175— 构造 URL 时使用了未校验的变量 opts?.baseUrl 和 sessionId，未调用 validateBridgeId 等校验函数，存在路径注入风险。src/bridge/createSession.ts:203— 构造 URL 时使用了未校验的变量 opts?.baseUrl 和 compatId，未调用 validateBridgeId 等校验函数，存在路径注入风险。🟡 Warnings
src/bridge/bridgeMessaging.ts:145— onInboundMessage 是异步函数（返回 Promise），但代码使用了 void 调用。如果该函数内部抛出异常，错误将被静默吞掉，无法被外层捕获。src/bridge/bridgeMessaging.ts:268— transport.write 是发送消息到传输层的方法，通常是异步操作。代码使用了 void 调用。如果写入失败（Promise reject），错误会被静默吞掉，调用方无法感知传输失败。Generated by Newma Review