[Plugin] astrbot_plugin_daily_album

[10knamesmore]

插件信息

{
  "name": "astrbot_plugin_daily_album",
  "display_name": "每日专辑推荐",
  "desc": "每日专辑推荐 - 定时向指定会话推送一张专辑推荐，支持 LLM、联网搜索、自定义脚本三种来源",
  "author": "wanger",
  "repo": "https://github.com/10knamesmore/astrbot_plugin_daily_album",
  "tags": [
    "音乐"
  ]
}

插件检查清单

• 我的插件经过完整的测试
• 我的插件不包含恶意代码
• 我已阅读并同意遵守该项目的 行为准则。

[astrpluginreviewer]

🤖 AI代码审核报告 for astrbot_plugin_daily_album

您好！我已经对你提交的插件代码进行了初步自动化审核，作为初步参考:

main.py

1. 异步生命周期管理缺陷（可能导致“已卸载插件仍注册定时任务”）

   • __init__ 中直接 asyncio.create_task(self._init())，但未保存 task 引用，也未在 terminate 中取消。
   • 风险：插件若在 _init() 的 sleep(5) 期间被卸载，任务仍可能继续执行并注册 cron，造成幽灵任务或重复任务。

2. 共享配置对象被并发修改，存在竞态条件

   • cmd_today 与 tool_recommend_album 会临时改写 self.config["target_sessions"]、self.config["recommend_prompt"]。
   • 在异步并发场景下，不同请求会互相污染配置（A 会话可能收到 B 的 prompt 或推送目标）。
   • 建议改为局部参数传递，避免改写全局配置对象。

3. “今日是否已推送”检查不在锁内，存在并发重复推送窗口

   • _daily_handler 在加锁前检查 last_push_date，随后调用 _run_recommend() 才进入锁。
   • 多个并发触发（如重复调度/手动触发交叉）时可同时通过检查，导致同日重复推送。

4. 使用明文 HTTP 访问网易云接口

   • _search_netease_song_id 调用 http://music.163.com/...。
   • 明文传输有中间人篡改风险，属于安全最佳实践问题（应优先 HTTPS）。

5. 外部接口响应健壮性不足

   • 网易云搜索/详情请求未检查 resp.status，直接 resp.json(content_type=None)。
   • 异常响应（反爬、302、HTML）时会频繁进入 broad exception，行为不可预期，排障困难。

6. 可读性问题：历史命令展示 artist 列表为 Python 原始表示

   • cmd_history 直接输出 r['artist']，会出现 ['A', 'B'] 格式，不利于用户阅读（应 join）。

---

sources/init.py

1. 配置类型缺乏防御性校验
   • sub = config.get(cfg_key, {}) 后直接 sub.get(...)，若配置误填为非 dict（如字符串/列表）会触发 AttributeError。
   • 在生产环境中这是常见配置边界问题，建议先做 isinstance(sub, dict) 兜底。

---

sources/base.py

（未发现需报告的问题）

---

sources/llm.py

1. LLM 输出 JSON 类型未校验，可能运行时崩溃

   • _parse_album_json 返回值声明为 dict | None，但实际 json.loads 可能得到 list/str/int。
   • fetch() 中直接 data.get(...)，若不是 dict 会抛 AttributeError。

2. 配置解析缺乏容错

   • max_history = int(self._config.get("max_history_in_prompt", 30)) 未捕获 ValueError/TypeError。
   • 配置值异常时会直接中断推荐流程。

---

sources/query_extractor.py

（未发现需报告的问题）

---

sources/script.py

1. 在异步流程中执行同步阻塞 + 网络 I/O（严重）

   • _ensure_requirements 使用 subprocess.run([... pip install ...])，会阻塞事件循环。
   • 这属于异步环境中典型反模式，且包含网络安装行为，可能卡住整个 bot 响应。

2. 高风险安全面：运行并安装不受信任脚本依赖

   • 自动读取脚本 REQUIREMENTS 并执行 pip 安装，再 exec_module 运行脚本顶层代码。
   • 若脚本来源不可信，等同于直接执行任意代码 + 供应链攻击入口。

3. 脚本配置字段类型处理有逻辑 bug

   • script_file 预期列表：files[0]。若用户误配为字符串，files[0] 会取第一个字符，路径失真。
   • 应显式区分 str 与 list[str]。

4. 对脚本函数类型假设过强

   • 直接 await fetch_fn(...)，若用户写的是同步函数会 TypeError。
   • 建议兼容 sync/async（iscoroutinefunction 分支处理）。

5. 字段归一化存在潜在异常

   • 列表字段处理 kwargs[k] = [str(x) for x in v] 假定 v 可迭代。
   • 当 v 为非可迭代标量（如 int）会抛异常，未被捕获。

---

sources/web_search.py

1. 外部 HTTP 响应状态码未检查
   • Tavily/Bing 请求后未判断 resp.status，直接解析 JSON/HTML。
   • 遇到 403/429/5xx 时会进入异常分支但缺乏明确错误语义，影响稳定性和可观测性。

---

test/dummy_script.py

（未发现需报告的问题）

---

代码评审团

人物一：Linus Torvalds（直给型）
你这并发改 self.config 的做法像在多人协作时直接 force push 主分支——能跑，但迟早炸。把“请求态参数”塞进“全局配置态”是经典竞态来源。建议：所有推荐参数改成函数入参，别改全局共享状态。

人物二：Ada Lovelace（严谨型）
LLM 输出是概率文本，不是强类型对象。json.loads 成功不代表结构正确，你需要“结构验证层”。建议：在 LLMSource.fetch 增加 schema/type guard（至少断言 dict、关键字段类型、值域）。

人物三：Tony Stark（工程效率派）
在异步机器人里同步 pip install？这相当于在高峰期把服务器拿去手工升级驱动。功能炫，但会拖垮响应。建议：依赖安装移到离线部署阶段；运行期只做白名单脚本加载，绝不在线装包。

Disclaimer: 以上评审内容由 AI 自动生成，所涉及人物形象与现实无关，不代表真实人物观点。如果给出的建议无关痛痒请忽略。

---

🔍 审核摘要

统计信息

• 仓库文件总数: 8 个 Python 文件
• 已选择审核文件: 8 / 8
  已发送至 AI 审核的文件清单

main.py
sources/__init__.py
sources/base.py
sources/llm.py
sources/query_extractor.py
sources/script.py
sources/web_search.py
test/dummy_script.py

---

此报告由AI自动生成，旨在提供初步反馈和改进建议，不能完全替代人工审核。最终决策以社区维护者的人工审核为准。目前自动审核（仓库地址）处于试验阶段，如遇问题请向维护者反馈。

当前仓库：10knamesmore/astrbot_plugin_daily_album
剩余触发次数：4

[astrbot-plugin-copybara]

插件信息已同步到集合仓库。
PR: AstrBotDevs/AstrBot_Plugins_Collection#393
已自动合并 PR #393

该插件已上架。
This plugin is now published.