CyberStrikeAI/docs/bug-sheet-review.md

Bug 表核对与修复

范围：2026-10-06 用户提供的 Bug记录表.xlsx。只修复当前仓库已有功能的已确认缺陷。表内命令和建议只作为待核实证据。

工作流与维护门禁

• 阶段：P10 缺陷修复。既有代码、接口、测试为上游依据。
• 分支：codex/bug-sheet-fixes；完成验证后合入 main。
• 维护策略：narrow_fix。对大文件仅做局部修复，新增测试放独立文件，不做广泛重构。
• 验收：复现/代码证据确认问题；针对性回归通过；相关包和全仓检查；提交仅包含修复、测试、文档，不包含真实配置或凭据。
• 生命周期记录合并到本文，避免针对同一缺陷制造无关阶段提交。

已确认待修复

表内条目	证据	修复计划
C2 wait/cancel 资源权限	handler 直接按 ID 查询和取消，缺少 c2ResourceAllowed	与同模块接口一致，先校验任务访问权限，再执行
32 纯文本批量/机器人任务缺少执行证据	batch_queue_executor 和 finalizeRobotAgentSuccess 显式传 true	与普通对话的默认策略一致，允许无工具文本回复，保留 pending/HITL 检查
30、31 角色名路径字符/长度	名称未校验，文件名会转换，存在碰撞	拒绝路径和控制字符、首尾空格、超过 64 字符及文件名碰撞
工作流悬空引用	角色保存与工作流删除均未检查引用	保存时验证存在；删除引用中的工作流返回冲突
4 登录用户名为空	前端无 required，后端空用户名默认 admin	登录接口及页面拒绝空白/超过 64 字符用户名

不适用

当前仓库未实现的用户容器并发配额、容器生命周期和容器释放后重新调度，不添加对应实现。

验证

• go test ./internal/handler ./internal/app ./internal/agentfinalizer 通过。
• 新增 C2 跨用户禁止等待/取消、所有者正常操作、机器人纯文本交付、角色名称边界、工作流引用、登录用户名测试。
• 前端已有测试存在 HITL 断言失败，正在核实基线；未修改 HITL 脚本。
• 当前尚未完成全部表内条目核对，也尚未合入 main。