[Plugin] astrbot_plugin_soupai

[KONpiGG]

插件信息

{
  "name": "astrbot_plugin_soupai",
  "desc": "AI 海龟汤推理游戏插件，支持自动生成谜题、智能判断、验证系统、智能提示、存储库管理等功能。网络题库包含近300道海龟汤，还在持续更新中。",
  "author": "KONpiGG",
  "repo": "https://github.com/KONpiGG/astrbot_plugin_soupai",
  "tags": [
    "海龟汤"
  ],
  "social_link": ""
}

插件检查清单

• 我的插件经过完整的测试
• 我的插件不包含恶意代码
• 我已阅读并同意遵守该项目的 行为准则。

[astrpluginreviewer]

🤖 AI代码审核报告 for astrbot_plugin_soupai

您好！我已经对你提交的插件代码进行了初步自动化审核，作为初步参考:

main.py

1. 安全漏洞与最佳实践

• 严重安全漏洞：不安全的反序列化

  • 位置: ThreadSafeStoryStorage.load_usage_record 方法。

  • 问题: 该方法使用 pickle.load() 从文件中加载数据。pickle 模块不是安全的，执行 pickle.load() 可能会导致任意代码执行。如果 _usage.pkl 文件被恶意篡改，攻击者可以借此在您的系统上执行恶意代码。

  • 建议: 强烈建议更换为更安全的数据序列化格式，如 JSON。由于您已经有了 JSON 格式的备份文件 _usage.json，可以考虑优先使用 JSON 进行读写，并将 pickle 作为历史兼容方案或完全移除。

    # 在 ThreadSafeStoryStorage.load_usage_record 中
    # 危险代码
    with open(self.usage_file, "rb") as f:
        self.used_indexes = pickle.load(f)
    
    # 在 ThreadSafeStoryStorage.save_usage_record 中
    # 危险代码
    with open(self.usage_file, "wb") as f:
        pickle.dump(self.used_indexes, f)

2. 潜在缺陷或问题

• 并发模型问题：在异步代码中使用了线程锁

  • 位置: ThreadSafeStoryStorage 及其子类中的所有加锁方法，例如 get_story, add_story, reset_usage 等。

  • 问题: 代码在异步环境 (async def) 中调用了使用 threading.Lock 的同步方法。threading.Lock 是一个阻塞式锁，当异步事件循环中的一个任务调用它时，会阻塞整个事件循环，直到锁被释放。这会严重影响程序的并发性能，违背了使用 asyncio 的初衷。

  • 建议: 在异步代码中，应使用 asyncio.Lock 来代替 threading.Lock，以实现非阻塞的协程安全。您需要将所有使用锁的方法改为 async def，并使用 async with self.lock: 的语法。

    # 示例：
    import asyncio
    
    class AsyncSafeStorage:
        def __init__(self):
            self.lock = asyncio.Lock()
            # ...
    
        async def get_story(self):
            async with self.lock:
                # ... 你的线程安全操作
                pass

3. 框架适应性检查

• 数据持久化路径不规范

  • 位置: SoupaiPlugin.__init__ 方法。

  • 问题: 您通过 Path(__file__).resolve().parent.parent / "plugin_data" / "soupai" 的方式硬编码了数据存储路径。这使得插件的路径结构与框架实现强耦合，如果未来框架的目录结构发生变化，插件将无法正常工作。

  • 建议: 应该遵循框架规范，使用 StarTools.get_data_dir() 方法来获取插件专属的数据目录。这能确保路径的正确性和可移植性。

    # from astrbot.api.star import StarTools # 需要导入
    # ...
    # 在 SoupaiPlugin.init 方法中
    # self.data_path = StarTools.get_data_dir() # StarTools 会自动根据插件名创建目录
    # 之后所有文件路径都基于 self.data_path 构建

4. 可维护性与可读性

• 硬编码的机器人ID

  • 位置: SoupaiPlugin._is_at_bot 方法。
  • 问题: 方法中硬编码了机器人QQ号 bot_id = "3999329688"。这导致该插件只能用于这一个特定的机器人账号，降低了代码的可移植性和复用性。
  • 建议: 应通过 self.context.get_qq() 或其他框架提供的方式动态获取当前机器人的ID。

• 过于复杂的解析逻辑

  • 位置: SoupaiPlugin.generate_story_with_llm 方法。
  • 问题: 该方法中用于解析LLM返回内容的 if/elif/else 逻辑块非常长且复杂，包含了多种硬编码的字符串格式判断（如 题面：, **题面**, \n答案： 等）。这种实现方式难以维护，当LLM返回格式稍有变化时就可能解析失败。
  • 建议: 可以考虑使用正则表达式来匹配多种可能的格式，或者将解析逻辑抽象成一个更灵活的函数，以提高代码的健壮性和可读性。

• 函数职责不单一

  • 位置: SoupaiPlugin._start_game_session 方法中的嵌套函数 game_session_waiter。
  • 问题: game_session_waiter 函数体过于庞大，承担了处理游戏状态查询、强制结束、历史记录查看、提示、验证、正常问答等多种职责。这使得函数难以理解和维护。
  • 建议: 将 game_session_waiter 中的不同指令处理逻辑（如 /验证、/提示 等）进一步拆分到独立的私有辅助方法中，使主会话函数只负责分发和流程控制。

5. 功能实现与逻辑正确性

• 定时任务的触发时机可能延迟
  • 位置: SoupaiPlugin._start_auto_generate 方法。
  • 问题: 该方法中的 while True 循环每隔一小时 (asyncio.sleep(3600)) 检查一次当前时间是否在 auto_generate_start 和 auto_generate_end 之间。这意味着，如果插件在自动生成的时间窗口内（例如3:30）启动，它需要等到下一个整点（4:00）才会开始执行生成任务，而不是立即开始。
  • 建议: 如果希望在进入时间窗口后能更快地响应，可以在循环开始前或每次 sleep 后增加一次立即检查。不过，当前实现对于非精确的后台任务来说通常是可以接受的，此项仅作为潜在的逻辑优化点提出。

---

🔍 审核摘要

统计信息

• 仓库文件总数: 1 个 Python 文件
• 已选择审核文件: 1 / 1
  已发送至 AI 审核的文件清单

main.py

---

此报告由AI自动生成，旨在提供初步反馈和改进建议，不能完全替代人工审核。最终决策以社区维护者的人工审核为准。目前自动审核处于试验阶段，如遇问题请向维护者反馈。

[KONpiGG]

改动

• 使用 JSON 替代原有的 pickle 文件进行持久化，以避免不安全的反序列化操作。插件现在通过一个 _usage.json 文件统一读取与保存使用记录。
• 插件的数据目录路径改为通过框架提供的工具函数动态获取，避免使用硬编码路径。
• 机器人 QQ ID 改为通过运行时上下文动态获取，而非使用硬编码字符串。

[Soulter]

已经上架！