chore(review): small hardening items in MCP guard, RPC client, sandbox runner, CSV export, file launch
維護者通常 1 天內回覆
還沒有人認領這個 Issue。
評估
- 難度
- 4/5
- 預估耗時
- 3-5 天
- 新手友好度
- 35/100
研究方向
Start with the listed files: lib/core/mcp/mcp_sql_guard.dart, lib/core/mcp/mcp_socket_host.dart, lib/core/extensions/rpc/json_rpc_stdio_client.dart, lib/core/extensions/sandbox/sandbox_process_runner.dart, the CSV export files, and lib/core/platform/file_launch_service.dart. Read each relevant function and its existing tests, then choose one finding to address; the issue suggests splitting larger items. Done means the chosen behavior is fixed and covered by a focused test.
由索引模型根據 Issue 內容生成。
描述
Small findings from a review of areas with no open issues. Split into separate issues if any grows.
- MCP SQL guard (
lib/core/mcp/mcp_sql_guard.dart:40-49):_forbiddenFunctionslacksQUERY_TO_XML*/CURSOR_TO_XML/TABLE_TO_XML*,PG_ADVISORY_*,PG_SLEEP,LO_*,NEXTVAL/SETVAL. No bypass found (the read-only session is the second layer), this is defence in depth._explainForbiddenincludesREPLACE, which refusesEXPLAIN SELECT REPLACE(...)(false positive). - McpSocketHost (
lib/core/mcp/mcp_socket_host.dart:90-95): a line before authentication has no length limit and the number of unauthenticated sockets is unbounded (loopback only, 5 s handshake). - JsonRpcStdioClient.sendRequest (
lib/core/extensions/rpc/json_rpc_stdio_client.dart:86-95):_stdin.writelnis outside thetry; on a closed sink it throws synchronously and leaves_pending[id]behind. - SandboxProcessRunner.start (
lib/core/extensions/sandbox/sandbox_process_runner.dart:123-145): the scratch directory is created beforeSandboxLaunchCommand.build; an exception there leaks it. - CSV export (
lib/core/csv/result_grid_csv.dart,save_result_grid_csv.dart): no UTF-8 BOM (Excel misreads Cyrillic), no formula-injection guard for cells starting with= + - @,\ninstead of CRLF while documented as RFC 4180, the write error cause is swallowed. - FileLaunchService (
lib/core/platform/file_launch_service.dart):hasPendingTargetduplicateshasPendingTargets; path comparison inresolveOrRegisterSqliteConnectionis case-sensitive (duplicate connections on Windows/macOS).
- 主要語言
- Dart
- 星號
- 23
- 分支
- 1
- 平均合併
- 31 分鐘
- 30 天內合併 PR
- 570
環境準備
在瀏覽器裡用你自己的 GitHub 帳號啟動這個專案的開發容器。
- 沒有 Dockerfile 或 Docker Compose 檔案
- 有 Pull Request 範本
- 閱讀貢獻指南
從這裡開始
- 先讀完整個 Issue，再讀專案的貢獻指南。
- 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
- Fork 儲存庫，在一個分支上完成修改。
- 送出 Pull Request，並在描述裡引用這個 Issue 編號。
QueryaHub/Querya-Desktop 的其他 Issue
-
enhancement ui
難度 2/5 1-3 小時 新手友好度 78/100
QueryaHub/Querya-Desktop#1689 ·
維護者通常 1 天內回覆
-
ui(dialogs): make destructive query and DML preview dialogs adaptive and prevent table name overflow未關閉bug frontend
難度 2/5 1-3 小時 新手友好度 82/100
QueryaHub/Querya-Desktop#1642 ·
維護者通常 1 天內回覆
-
bug error-handling settings
難度 1/5 1-3 小時 新手友好度 78/100
QueryaHub/Querya-Desktop#1637 ·
維護者通常 1 天內回覆
-
enhancement
難度 1/5 1 小時以內 新手友好度 88/100
QueryaHub/Querya-Desktop#1636 ·
維護者通常 1 天內回覆
-
enhancement marketplace
難度 2/5 1-3 小時 新手友好度 78/100
QueryaHub/Querya-Desktop#1635 ·
維護者通常 1 天內回覆
查看 QueryaHub/Querya-Desktop 的全部 Issue
相似的 Issue
-
good-first-issue P3
難度 2/5 1-3 小時 新手友好度 88/100
flutter/dart-intellij-third-party#758 ·
維護者通常 1 天內回覆
-
Bug: Incorrect location coordinates on logged Sound Meter data可能已有人在做 @Jashan32 今天認領。 未關閉
難度 2/5 1-3 小時 新手友好度 72/100
維護者通常 1 天內回覆
-
area/archive bug
難度 2/5 1-3 小時 新手友好度 76/100
DarkFlippers/qUnleashed#374 ·
維護者通常 1 天內回覆
-
agent:in-progress agent:ready feature P2 · 中 区域: 悬浮窗
難度 2/5 1-3 小時 新手友好度 85/100
ASDW51/DanmuFloat#178 ·
維護者通常 1 天內回覆
-
Missing workouts未關閉enhancement
難度 2/5 1-3 小時 新手友好度 67/100
維護者通常 5 天內回覆