[Plugin] astrbot_plugin_memorix

[exynos967]

插件信息

{
  "name": "astrbot_plugin_memorix",
  "display_name": "Memorix",
  "desc": "让AstrBit拥有可检索、可维护、可追溯的长期记忆——图谱+向量混合检索，内置生命周期管理与 WebUI。",
  "author": "薄暝",
  "repo": "https://github.com/exynos967/astrbot_plugin_memorix",
  "tags": [
    "长期记忆",
    "图谱",
    "webui",
    "向量",
    "检索",
    "人物画像"
  ]
}

插件检查清单

• 我的插件经过完整的测试
• 我的插件不包含恶意代码
• 我已阅读并同意遵守该项目的 行为准则。

[astrpluginreviewer]

🤖 AI代码审核报告 for astrbot_plugin_memorix

您好！我已经对你提交的插件代码进行了初步自动化审核，作为初步参考:

main.py

1. 命令尾部解析存在误判风险（逻辑正确性）
   _parse_tail() 使用 text.startswith(prefix) 直接匹配 "mem"，缺少词边界判断。像 "/member ..." 这类字符串会被错误截断，导致命令参数解析异常。

2. 记忆注入缺少长度上限（潜在性能/稳定性）
   on_llm_request() 将检索片段和画像文本直接拼接进 system_prompt，没有做总长度限制。长期运行后可能导致 prompt 膨胀、响应变慢、token 成本不可控。

3. 全量入库缺少敏感信息过滤（安全/隐私）
   on_all_messages() 与 on_llm_response() 会将消息原文直接入库，未见脱敏策略（如 token、口令、私密标识）。在“记录所有事件”开启时存在敏感数据持久化风险。

---

memorix/init.py

1. 运行时修改 sys.path 带来导入污染风险（安全/可维护性）
   在包初始化阶段将 _BASE_DIR 插入 sys.path，可能改变模块解析优先级，导致同名模块被意外覆盖或劫持，降低可预测性与可维护性。

---

memorix/app_context.py

1. 日志实现不符合框架约束（框架适配）
   使用 from .amemorix.common.logging import get_logger，未使用 from astrbot.api import logger。

2. 数据目录获取方式不符合框架约束（数据持久化）
   通过 get_astrbot_data_path() + 手工拼接目录，而非 StarTools.get_data_dir()。

3. scope 目录存在路径穿越风险（安全）
   _scope_dir() 仅替换了 / 和 \，未处理 ..。若 scope_key=".."，base / ".." 可跳出目标目录层级，存在越界写入风险。

---

memorix/scope_router.py

1. scope 清洗不充分，可能间接触发路径问题（安全）
   _sanitize() 同样只替换 /、\，保留 .. 等特殊片段；与下游按路径拼接时组合，可能引入目录越界风险。

---

memorix/adapters/astrbot_event_adapter.py

未发现需要报告的问题。

---

memorix/adapters/napcat_gateway.py

1. 异常被静默吞掉（可维护性/可观测性）
   except Exception: return None 没有任何日志，线上排障困难，且无法区分“消息不存在”和“网关调用失败”。

---

memorix/amemorix/init.py

未发现需要报告的问题。

---

memorix/amemorix/main.py

未发现需要报告的问题。

---

memorix/amemorix/app.py

1. 日志实现不符合框架约束（框架适配）
   使用自定义 get_logger，未使用 from astrbot.api import logger。

---

memorix/amemorix/auth.py

1. 日志实现不符合框架约束（框架适配）
   使用自定义 get_logger，未使用 from astrbot.api import logger。

---

memorix/amemorix/bootstrap.py

1. 日志实现不符合框架约束（框架适配）
   使用自定义 get_logger，未使用 from astrbot.api import logger。

2. 使用 pickle.load 读取本地元数据（安全）
   _resolve_vector_dimension() 直接反序列化 vectors_metadata.pkl。若该文件可被篡改，存在任意代码执行风险（pickle 反序列化经典风险）。

---

memorix/amemorix/context.py

1. 日志实现不符合框架约束（框架适配）
   使用自定义 get_logger，未使用 from astrbot.api import logger。

---

memorix/amemorix/llm_client.py

1. 日志实现不符合框架约束（框架适配）
   使用自定义 get_logger，未使用 from astrbot.api import logger。

---

memorix/amemorix/settings.py

1. 日志实现不符合框架约束（框架适配）
   使用自定义 get_logger，未使用 from astrbot.api import logger。

---

memorix/amemorix/task_manager.py

1. 日志实现不符合框架约束（框架适配）
   使用自定义 get_logger，未使用 from astrbot.api import logger。

2. 队列 task_done() 重复调用（逻辑严重错误）
   _import_worker() 与 _summary_worker() 在 cancel_requested 分支里先调用了一次 task_done()，随后 finally 又会再调用一次。会触发 ValueError: task_done() called too many times，导致 worker 异常退出。

3. 包内导入路径不稳健（可维护性/可移植性）
   使用 from amemorix... 顶层绝对导入，而非相对导入；在不同安装/运行方式下容易出现 ModuleNotFoundError 或依赖 sys.path hack。

4. 大量访问底层私有属性（可维护性）
   在维护循环中直接访问 _canonicalize、_node_to_idx、_edge_hash_map、_conn 等私有成员，内部实现一旦调整将高概率破坏功能。

---

代码评审团

人物一：Linus Torvalds（刀法精准型）
“task_done() 调两次这种 bug，不是‘风格问题’，是会把 worker 直接打崩的 correctness 问题。先把状态机理顺：每次 get() 必须严格对应一次 task_done()，别在分支里和 finally 里双写。”

人物二：Ada Lovelace（结构与抽象派）
“你们的 scope 现在像一串未经证明安全的符号，随后又被映射成目录路径。请把‘输入规范化’与‘存储寻址’做成可验证的纯函数，并对 ..、保留名、空值做严格封闭处理。”

人物三：Tony Stark（工程落地派）
“观测性太弱：网关异常全吞、日志体系又分裂。出问题时你会像在黑屋里修反应堆。统一日志入口、保留错误上下文、对关键链路加结构化日志，不然线上事故全靠猜。”

Disclaimer: 以上评审内容由 AI 自动生成，所涉及人物形象与现实无关，不代表真实人物观点。如果给出的建议无关痛痒请忽略。

---

🔍 审核摘要

统计信息

• 仓库文件总数: 81 个 Python 文件
• 已选择审核文件: 15 / 81
  已发送至 AI 审核的文件清单

main.py
memorix/__init__.py
memorix/app_context.py
memorix/scope_router.py
memorix/adapters/astrbot_event_adapter.py
memorix/adapters/napcat_gateway.py
memorix/amemorix/__init__.py
memorix/amemorix/__main__.py
memorix/amemorix/app.py
memorix/amemorix/auth.py
memorix/amemorix/bootstrap.py
memorix/amemorix/context.py
memorix/amemorix/llm_client.py
memorix/amemorix/settings.py
memorix/amemorix/task_manager.py

注意：由于项目规模或Token限制，本次仅审核了部分优先文件。以上报告内容由 AI 直接生成。

---

此报告由AI自动生成，旨在提供初步反馈和改进建议，不能完全替代人工审核。最终决策以社区维护者的人工审核为准。目前自动审核（仓库地址）处于试验阶段，如遇问题请向维护者反馈。

[astrbot-plugin-copybara]

插件信息已同步到集合仓库。
PR: AstrBotDevs/AstrBot_Plugins_Collection#276
已自动合并 PR #276

该插件已上架。
This plugin is now published.