[Plugin] astrbot_plugin_vrc_friend_radar

[zhumengling]

插件信息

{
  "name": "astrbot_plugin_vrc_friend_radar",
  "display_name": "vrchat好友雷达",
  "desc": "监控 VRChat 好友上线、下线、状态变化与地图切换，并将变化合并播报到指定群聊。",
  "author": "zhumengling",
  "repo": "https://github.com/zhumengling/astrbot_plugin_vrc_friend_radar",
  "tags": [
    "vrchat"
  ]
}

插件检查清单

• 我的插件经过完整的测试
• 我的插件不包含恶意代码
• 我已阅读并同意遵守该项目的 行为准则。

[astrpluginreviewer]

🤖 AI代码审核报告 for astrbot_plugin_vrc_friend_radar

您好！我已经对你提交的插件代码进行了初步自动化审核，作为初步参考:

main.py

1. 高风险凭据暴露设计
   /vrc登录 用户名 密码 采用明文命令参数，凭据会出现在聊天记录、可能也会进入平台侧日志/审计系统。即使仅管理员可用，仍属于高风险泄露面。

2. 验证码会话可用性问题
   submit_code 中先 pop_pending_login，再尝试登录；若验证码错误，会话已被移除，用户必须重新 /vrc登录。这属于流程逻辑缺陷（容错性差）。

3. 重复实现导致维护成本上升
   detect_changes 与 _format_events_for_push 中事件格式化逻辑重复（尤其 location_changed 分支），后续改文案或规则时易出现不一致。

4. 潜在性能问题（串行网络请求）
   在 sync_friends / friend_list / online_friend_list 中循环 await self._get_world_name(...)，会导致多次串行外部 API 请求，列表较大时响应明显变慢。

---

core/config.py

1. 数据持久化路径不符合框架规范
   data_dir 使用 plugin_dir / "data"，未通过 StarTools.get_data_dir() 获取标准插件数据目录，存在部署一致性与路径管理风险。

2. 配置解析缺少健壮性
   多处 int(self._read(...)) 未处理 ValueError/TypeError（如配置写成非数字字符串），可能在插件启动阶段直接抛异常。

---

core/db.py

1. 事件展示字段错误
   list_recent_events 构造 RadarEvent 时将 display_name 赋值为 friend_user_id，导致事件展示名称错误（逻辑正确性问题）。

2. 去重查询缺乏索引支持
   event_exists_since 高频按 dedupe_key + created_at 查询，但建表未建立对应索引，事件量上来后会产生明显查询退化。

---

core/monitor.py

1. 后台任务吞异常
   _run_loop 里 except Exception: pass 直接吞掉所有异常，故障不可观测，且会掩盖真实问题（登录失效、API异常、数据异常等）。

2. 去重流程存在 N+1 查询问题
   _dedupe_events 对每个事件都调用一次 db.event_exists_since，事件多时数据库查询次数线性放大，影响轮询性能。

3. 敏感信息短期明文驻留
   PendingLoginSession 在内存保存 username/password，虽有 TTL，但仍扩大敏感数据暴露面（尤其在崩溃转储/调试场景）。

---

core/repository.py

1. 重复建表调用开销
   _get_raw/_set_raw 每次都 _ensure_table()->initialize()，虽然 CREATE TABLE IF NOT EXISTS 可重入，但会引入不必要 SQL 往返与锁竞争机会。

---

core/session_store.py

1. 敏感会话明文落盘
   session.json 直接保存用户名、密码、cookie，且未做权限收敛或加密处理，属于高风险本地泄露点。

2. 异常静默处理
   load() 捕获所有异常直接返回 None，无日志，出现文件损坏/反序列化问题时难定位。

---

core/vrchat_client.py

1. 凭据导出设计风险
   export_session() 返回并持久化 username/password/cookie，其中密码不应作为长期可恢复数据存储。

2. 客户端状态缺乏并发保护
   多个 asyncio.to_thread(...) 任务共享 _api_client/_username/_password，无锁保护；并发登录/拉取/查询时存在竞态风险。

3. 重登录资源释放不完整
   成功登录或恢复前未显式关闭旧 _api_client，可能导致连接/资源残留。

4. 异常封装不一致
   _fetch_friend_snapshots_sync 过程中的第三方异常未统一转换为 VRChatClientError，上层某些调用路径只捕获 VRChatClientError，会出现异常逸出。

5. 可观测性不足
   _get_world_info_sync/_search_worlds_sync 大量 except Exception: return None/[]，没有日志或错误上下文，问题排查困难。

---

core/world_cache.py

1. 缓存无淘汰策略
   world_cache.json 只增不减，无 TTL/容量上限，长期运行可能持续膨胀。

2. 写盘策略粗糙
   set() 每次更新立即全量 save()，在短时间频繁更新时会造成不必要 I/O 放大与延迟抖动。

---

tests/smoke_test.py

1. 无效导入
   importlib.util 未使用，增加噪音并降低可读性。

---

代码评审团

人物一：Linus Torvalds（硬核、直接）
“except Exception: pass 这玩意儿就是把垃圾扫到地毯下面。你不是修 bug，你是在藏 bug。至少把异常打出来，不然线上炸了你只能靠玄学。”

人物二：Steve Jobs（产品体验导向）
“让用户在群里输入 /vrc登录 用户名 密码 是非常不优雅且危险的交互。安全和体验不是可选项。登录流程应该默认‘不暴露秘密’。”

人物三：Deadpool（嘴碎但点子实用）
“每条事件都查一次数据库去重？兄弟你这是在给数据库做有氧运动。批量查、加索引、再不济先内存去重，别让 SQL 跑马拉松。”

Disclaimer: 以上评审内容由 AI 自动生成，所涉及人物形象与现实无关，不代表真实人物观点。如果给出的建议无关痛痒请忽略。

---

🔍 审核摘要

统计信息

• 仓库文件总数: 15 个 Python 文件
• 已选择审核文件: 15 / 15
  已发送至 AI 审核的文件清单

main.py
core/__init__.py
core/config.py
core/db.py
core/diff.py
core/models.py
core/monitor.py
core/notifier.py
core/repository.py
core/search_state.py
core/session_store.py
core/utils.py
core/vrchat_client.py
core/world_cache.py
tests/smoke_test.py

---

此报告由AI自动生成，旨在提供初步反馈和改进建议，不能完全替代人工审核。最终决策以社区维护者的人工审核为准。目前自动审核（仓库地址）处于试验阶段，如遇问题请向维护者反馈。

当前仓库：zhumengling/astrbot_plugin_vrc_friend_radar
剩余触发次数：4