[Plugin] astrbot_plugin_webui

[1-20182]

插件信息

{
  "name": "astrbot_plugin_webui",
  "display_name": "astrbot梦幻webui插件",
  "desc": " 🌸 AstrBot 梦幻 WebUI 插件 一个可爱又强大的 AstrBot 多用户管理面板，让管理变得萌萌哒~",
  "author": "飞翔的死猪",
  "repo": "https://github.com/1-20182/astrbot_plugin_webui",
  "tags": [
    "功能",
    "优化"
  ],
  "social_link": "https://github.com/1-20182"
}

插件检查清单

• 我的插件经过完整的测试
• 我的插件不包含恶意代码
• 我已阅读并同意遵守该项目的 行为准则。

[astrpluginreviewer]

🤖 AI代码审核报告 for astrbot_plugin_webui

您好！我已经对你提交的插件代码进行了初步自动化审核，作为初步参考:

main.py

1. 数据持久化目录不符合框架建议

   • 用户数据目录使用了 context.data_dir / 'data/webui_data'，以及多处 get_astrbot_data_path()。
   • 按要求，插件持久化数据应优先通过 StarTools.get_data_dir() 获取插件专属目录，当前实现会增加路径耦合和迁移成本。

2. 异步环境中存在同步网络 I/O

   • _get_local_ip() 使用了同步 socket 操作，并在 initialize()（async）中直接调用。
   • 在高并发或网络异常场景下会阻塞事件循环，影响其他协程响应。

3. /api/market 的连接器复用逻辑有缺陷

   • connector = aiohttp.TCPConnector(...) 在循环外创建，但循环内反复创建 ClientSession(connector=connector)。
   • 第一个 session 关闭后可能连带关闭 connector，后续 URL 请求可能失败（典型“connector closed”问题）。

4. 会话 Cookie 安全属性不足

   • 登录后 set_cookie('session_id', ...) 仅设置了 httponly，缺少 secure、samesite 等关键属性。
   • 在跨站请求场景中存在被滥用风险（尤其配合无 CSRF 防护时）。

5. 缺少 CSRF 防护

   • 多个敏感 POST/DELETE 接口（创建用户、删用户、重置密码、插件安装/卸载/更新）仅依赖 Cookie 会话，无 CSRF token 校验。
   • 若管理员登录状态存在，可能被第三方站点诱导触发管理操作。

6. 密码哈希强度不足

   • UserManager 使用 sha256(password) 直接哈希，无盐、无拉伸（如 PBKDF2/bcrypt/argon2）。
   • 易受彩虹表/离线撞库攻击。

7. 存在存储型 XSS 风险

   • 用户名等字段未做严格字符限制，前端大量通过 innerHTML 拼接渲染（如用户列表、插件列表等）。
   • 若恶意用户名/描述写入数据，可能注入脚本。

8. 过度宽泛异常捕获导致问题隐蔽

   • 多处 except: 或 except Exception 后仅返回“失败”，缺乏精确异常分类。
   • 会掩盖真实错误来源，降低可维护性和排障效率。

9. 前端页面切换逻辑依赖隐式全局 event

   • showPage(page) 内使用 event.target，但函数签名未接收事件对象。
   • 在部分环境/严格模式下会报错，导致导航激活状态异常。

10. HTML/CSS 模板存在明显不完整样式声明

    • 多处 background:、color: 等属性值缺失。
    • 会造成界面渲染异常，影响可用性与后续维护。

11. 单文件职责过重

    • 一个 main.py 同时承担：用户系统、认证会话、插件管理 API、市场抓取、人格管理、静态页面与超长前端脚本。
    • 可维护性差，测试粒度粗，后续改动容易引入回归问题。

---

user_manager.py

1. 数据持久化目录不符合框架建议

   • 使用 get_astrbot_data_path()/webui_data 作为持久化路径。
   • 按要求应优先使用 StarTools.get_data_dir() 以使用插件专属数据目录。

2. 密码存储使用 MD5（高危）

   • _hash_password() 采用 hashlib.md5，且无盐。
   • MD5 已不适合密码存储，存在高风险被快速破解。

3. 用户插件配置键设计不一致（逻辑缺陷）

   • add_user() 初始化的是 self.user_plugins[qq]；
   • 但 set_user_plugin_config()/get_user_plugin_config() 使用 f"{qq}:{group_id}" 作为 key。
   • 导致初始化数据与真实读取路径不一致，产生“无效初始化”和数据语义混乱。

4. 删除用户时未清理该用户所有群组配置

   • delete_user() 仅删除 self.user_plugins[qq]，不会清理 qq:* 的分组配置键。
   • 会残留脏数据，长期造成配置污染。

5. 异常处理粒度过粗

   • _load_data() 把多个文件加载包在同一 try 内，任一文件损坏会影响其他文件加载。
   • 不利于容错和数据恢复。

6. 未使用导入项影响代码整洁度

   • os、Optional、Set 未使用。
   • 反映模块边界和实现有漂移，降低可读性。

---

代码评审团

人物一：Linus Torvalds（刀锋模式）
“你这不是模块，是‘超级函数宇宙飞船’。main.py 一把梭：后端、鉴权、市场抓取、前端模板全塞进去。能跑不代表能维护。先拆层：auth/user/plugin/api/template，各管各的，不然下次修一个按钮会炸三个接口。”

人物二：Steve Jobs（产品洁癖模式）
“安全体验就是产品体验。管理员一旦登录，缺少 CSRF + Cookie 安全属性，等于把‘误触即管理’留给攻击者。你的 UI 很可爱，但信任链不可爱。把安全默认做对，用户才能无感使用。”

人物三：Geralt of Rivia（猎魔人务实模式）
“真正的怪物在细节里：MD5、无盐 SHA256、qq 与 qq:group 键混用、删除不清理残留。它们不会立刻咬你，但会在最糟糕的时候出现。先把数据模型和密码策略收紧，再谈功能扩张。”

Disclaimer: 以上评审内容由 AI 自动生成，所涉及人物形象与现实无关，不代表真实人物观点。如果给出的建议无关痛痒请忽略。

---

🔍 审核摘要

统计信息

• 仓库文件总数: 2 个 Python 文件
• 已选择审核文件: 2 / 2
  已发送至 AI 审核的文件清单

main.py
user_manager.py

---

此报告由AI自动生成，旨在提供初步反馈和改进建议，不能完全替代人工审核。最终决策以社区维护者的人工审核为准。目前自动审核（仓库地址）处于试验阶段，如遇问题请向维护者反馈。