[Plugin] astrbot_plugin_minimax_alert

[Crystar-1]

插件信息

{
  "name": "astrbot_plugin_minimax_alert",
  "display_name": "MiniMax 用量查询",
  "desc": "查询 MiniMax Token Plan API 用量信息，支持国内版和国际版。查看5小时周期和本周周期的剩余额度。",
  "author": "Crystar-1",
  "repo": "https://github.com/Crystar-1/astrbot_plugin_minimax_alert"
}

插件检查清单

• 我的插件经过完整的测试
• 我的插件不包含恶意代码
• 我已阅读并同意遵守该项目的 行为准则。

[astrpluginreviewer]

🤖 AI代码审核报告 for astrbot_plugin_minimax_alert

您好！我已经对你提交的插件代码进行了初步自动化审核，作为初步参考:

main.py

审查结果：未发现明显问题。
代码结构清晰，正确继承了 Star，正确从 astrbot.api.event 导入了 filter 并正确使用了 logger，异步方法调用和异常兜底处理也都符合规范。

---

init.py

框架适应性问题

• 违规引入日志库：代码中使用了 import logging 并调用了 logging.warning()。根据框架严格要求，严禁使用 Python 内置的 logging 模块。必须且只能通过 from astrbot.api import logger 来进行日志记录。

---

api.py

代码质量与最佳实践

• 反模式的手动抛出库级异常：在 HTTP 请求失败的逻辑分支中，代码手动构造并抛出了 aiohttp.ClientResponseError。这是非常不推荐的反模式（Anti-pattern）。此异常通常是由 aiohttp 框架在调用 response.raise_for_status() 时自动抛出的底层异常。业务代码应该直接抛出自定义的业务异常（如代码中已定义的 QueryError），而不是去伪造 HTTP 客户端库的异常。
• 潜在的 JSON 解析崩溃：在处理正常状态码时（response.status == 200），直接调用了 await response.json()。如果服务异常时返回了一个伪装成 200 的 HTML 或纯文本（例如某些网关错误或拦截页面），json() 方法会抛出 aiohttp.ContentTypeError。由于底部的 except 块只捕获了 ClientResponseError、ClientConnectorError 等特定异常，这个 JSON 解析异常将无法被捕获而导致崩溃。
• 冗余的类型判断逻辑：

  if isinstance(data, dict):
      data_keys = len(data)
  elif isinstance(data, list):
      data_keys = len(data)
  else:
      data_keys = 0

  这段代码过于啰嗦，完全可以使用更优雅的元组判断来简化：data_keys = len(data) if isinstance(data, (dict, list)) else 0。

---

config.py

审查结果：未发现明显问题。

---

parser.py

审查结果：未发现明显问题。

---

whitelist.py

功能实现与安全逻辑（严重）

• 违背安全原则的“失效开放（Fail-Open）”漏洞：在 check_whitelist 方法中，存在这样的逻辑：

  if not self._whitelist:
      return True

  这意味着，如果用户在配置中未填写任何白名单人员（或者管理员不慎清空了配置），白名单系统不仅没有生效，反而会允许所有人的访问。这严重违背了安全设计中的**默认拒绝（Default Deny）**原则。通常白名单如果为空，就应该拒绝所有人。如果需要一个“关闭白名单功能”的选项，应该显式增加一个布尔值开关（如 enable_whitelist），而不是用“列表是否为空”这种模糊的状态来决定是否放行全宇宙。

潜在缺陷或问题

• 引用污染风险：在 set_whitelist(self, whitelist: list[str]) 以及 __init__ 中，直接执行了 self._whitelist = whitelist。如果外部传入的是一个列表对象的引用，外部对该列表的后续修改将意外改变内部白名单的状态。考虑到安全相关的组件，应使用浅拷贝 self._whitelist = whitelist.copy() if whitelist else []，以确保对象状态的封装和独立。

---

代码评审团

Linus Torvalds：
“我简直不敢相信我的眼睛。在 __init__.py 里，你大摇大摆地写着 import logging？你们的框架指南白纸黑字地写着『必须且只能用 astrbot.api.logger』，你是把规范当成用完即弃的餐巾纸了吗？！还有 api.py，你居然在代码里手动去实例化并抛出一个 aiohttp.ClientResponseError？你以为你是谁？HTTP 客户端底层的 C 扩展吗？那是框架向你报告错误用的，不是让你拿来玩角色扮演的。该用 QueryError 包装就老老实实包装，别写这种反直觉的垃圾代码！”

Steve Jobs：
“我们需要谈谈什么叫‘极致的产品直觉’。看看你的 whitelist.py。如果你口袋里的贵宾名单是空的，你的处理逻辑居然是——让大马路上的所有人直接进场？（return True）。这就好比你给房子装了全世界最先进的指纹锁，然后设定‘如果系统里没有任何人的指纹，就给所有陌生人敞开大门’。这不是代码层面的 Bug，这是设计灵魂上的巨大瑕疵！用户需要的是确定性，而不是在清空名单时突然遭遇系统的裸奔。”

GLaDOS (光圈科技 AI)：
“人类的碳基大脑果然容易产出可笑的逻辑。让我们欣赏一下 api.py 里的这件艺术品：‘如果是字典就算长度，如果是列表也算长度，否则算作 0’。你们连 isinstance(data, (dict, list)) 这样的简单语法都想不到吗？看着这八行毫无意义的冗余代码，我的 CPU 都在隐隐作痛。不仅如此，你在设置白名单时直接把外部引用的列表拿了过来。只要外面的人动一下手指修改这个列表，你的内部防御就彻底土崩瓦解。不过也无所谓了，反正你的白名单只要空了就会向全世界放行，这个安全系统从头到尾就是一个黑色幽默。”

---

🔍 审核摘要

统计信息

• 仓库文件总数: 6 个 Python 文件
• 已选择审核文件: 6 / 6
  已发送至 AI 审核的文件清单

main.py
__init__.py
api.py
config.py
parser.py
whitelist.py

---

此报告由AI自动生成，旨在提供初步反馈和改进建议，不能完全替代人工审核。最终决策以社区维护者的人工审核为准。目前自动审核（仓库地址）处于试验阶段，如遇问题请向维护者反馈。

当前仓库：Crystar-1/astrbot_plugin_minimax_alert
剩余触发次数：3

[astrbot-plugin-copybara]

插件信息已同步到集合仓库。
PR: AstrBotDevs/AstrBot_Plugins_Collection#388
已自动合并 PR #388

该插件已上架。
This plugin is now published.