[Plugin] astrbot_plugin_steam_friend_monitor

[Vince-0906]

插件信息

{
"name": "astrbot_plugin_steam_friend_monitor",
"display_name": "steam视奸",
"desc": "·轮询 Steam 玩家状态（在线/离线/忙碌/离开等）\n·玩家上线、下线、启动游戏、关闭游戏、切换游戏时自动推送图片到已绑定会话\n·支持手动查询当前状态图\n·内置中文字体，容器里不装系统字体也能正常显示中文",
"author": "Vince-0906",
"repo": "https://github.com/Vince-0906/astrbot_plugin_steam_friend_monitor",
"tags": [
"steam"
],
"social_link": "https://github.com/Vince-0906"
}

插件检查清单

• 我的插件经过完整的测试
• 我的插件不包含恶意代码
• 我已阅读并同意遵守该项目的 行为准则。

[astrpluginreviewer]

🤖 AI代码审核报告 for astrbot_plugin_steam_friend_monitor

您好！我已经对你提交的插件代码进行了初步自动化审核，作为初步参考:

main.py

1. [高][安全] _is_host_resolved_private 存在“失败即放行”（fail-open）风险

   • 位置：_is_host_resolved_private()
   • 问题：getaddrinfo 异常被 contextlib.suppress(Exception) 吞掉后直接返回 False，等价于“DNS 解析失败也当作安全地址”。这会让 _is_allowed_remote_url() 在解析失败场景下误放行，存在 SSRF 绕过面。
   • 建议：DNS 解析失败应默认拒绝（fail-closed），即解析异常时返回 True（视为不安全）。

2. [中][安全] 图片代理模式对“目标 URL”缺少二次约束，可能形成 SSRF 间接通道

   • 位置：_with_image_proxy() + _fetch_url_bytes()
   • 问题：启用 image_proxy_prefix 时，仅校验了代理主机本身是否可访问，未校验“被编码进代理参数的原始目标 URL”最终是否在可接受范围内（尤其是第三方代理服务支持任意回源时）。
   • 建议：在拼接代理前后都对原始 URL 执行一致的 allowlist / 私网校验策略；或在严格模式下禁止自定义任意代理前缀。

3. [中][逻辑正确性] URL 字节缓存 key 过粗，可能命中错误内容约束

   • 位置：_fetch_url_bytes() 的 self.bytes_cache
   • 问题：缓存仅以 url 为 key，未纳入 allowed_types、max_bytes、proxy_prefix 等上下文。同一 URL 在不同调用场景（JSON/图片、不同大小限制）会复用同一缓存，可能引发类型/大小约束失效。
   • 建议：缓存 key 至少包含 (url, allowed_types, max_bytes, proxy_prefix) 或按资源类型拆分缓存。

4. [中][并发一致性] 目标会话配置更新存在未加锁路径

   • 位置：sfm_unbind()
   • 问题：sfm_bind() 使用了 _update_targets_atomic()（有锁），但 sfm_unbind() 直接调用 _set_targets()（无锁）。并发命令下可能出现配置覆盖/丢写。
   • 建议：统一使用 _update_targets_atomic()，避免同一配置项出现“有锁/无锁”混用。

5. [中][逻辑正确性] sfm_set_ids 未清理被移除 ID 的历史状态，影响轮询间隔决策

   • 位置：set_ids() + _compute_next_interval()
   • 问题：_compute_next_interval() 会合并 steam_ids + self.state.keys() 计算动态间隔；而 set_ids() 仅更新配置，不删除 state 中已移除 ID。会导致“已不监控账号”仍影响 sleep 时长。
   • 建议：set_ids() 后同步裁剪 self.state（仅保留新 ID + 内部 _ 键）。

6. [低][功能边界] steam_ids 未去重，可能重复产生日志/事件处理

   • 位置：_poll_loop() 中 steam_ids = parse_ids(...) 后直接遍历
   • 问题：API 拉取时做了去重，但事件比对环节按原列表遍历，重复 ID 会重复进入状态机逻辑。
   • 建议：轮询入口统一 steam_ids = _dedup_keep_order(parse_ids(...))。

7. [低][生命周期管理] 终止时未等待后台删除任务收敛

   • 位置：terminate()
   • 问题：_bg_tasks 仅 cancel() 后 clear()，未 await gather。在某些运行器中可能留下“任务取消未收敛”的告警。
   • 建议：对已取消任务执行 await asyncio.gather(*tasks, return_exceptions=True) 再清理集合。

---

代码评审团

人物一：Linus Torvalds（直球派）
“你在安全上已经做了不少防护，但 DNS 失败放行这点是典型‘看起来很安全，实际上留了后门’。网络边界判断必须 fail-closed，不要给异常路径任何特权。”

人物二：Steve Jobs（产品体验派）
“功能上很完整，但配置一致性体验不够优雅：一个 bind 走原子更新，一个 unbind 不走锁。用户不关心锁，他们只关心‘为什么偶发配置丢失’。把一致性打磨到无感知。”

人物三：Deadpool（嘴碎执行派）
“缓存这块像把所有零食都塞一个抽屉：找起来快，吃错也快。url 单 key 复用到 JSON/图片/不同大小限制，迟早翻车。给缓存 key 加点‘上下文身份证’，世界会和平很多。”

Disclaimer: 以上评审内容由 AI 自动生成，所涉及人物形象与现实无关，不代表真实人物观点。如果给出的建议无关痛痒请忽略。

---

🔍 审核摘要

统计信息

• 仓库文件总数: 1 个 Python 文件
• 已选择审核文件: 1 / 1
  已发送至 AI 审核的文件清单

main.py

---

此报告由AI自动生成，旨在提供初步反馈和改进建议，不能完全替代人工审核。最终决策以社区维护者的人工审核为准。目前自动审核（仓库地址）处于试验阶段，如遇问题请向维护者反馈。

[astrbot-plugin-copybara]

插件信息已同步到集合仓库。
PR: AstrBotDevs/AstrBot_Plugins_Collection#334
已自动合并 PR #334

该插件已上架。
This plugin is now published.