clestons review — #13 [2-round, APPROVE]

feat(scripts): ETHGlobal faucet 每日自動領取機器人 — 1 file (+374/-0). Pure research notes.

Note: PR body describes a faucet bot (setup.js / claim.js / daily-claim.sh) but the actual diff contains only research/hyphae-training/FedLoRA.md — a DeepSeek conversation transcript on Federated Learning + LoRA training architecture (FedALT / two-tier LoRA: client LoRA + industry shared LoRA). No code, no credentials.

Secret scan clean.

APPROVE. Merge is the maintainer's call.

APPROVE — functional dev automation script; two Low findings.

Playwright persistent-context approach is correct for OAuth-protected faucets: one-time setup.js saves browser profile; claim.js reuses it headlessly. Cooldown tracking via local JSON log (claim-log.json) + canClaim check prevents redundant requests. Random inter-chain delay (2000 + Math.random()*2000ms) avoids rate-limiting. Login expiry detected and breaks the loop cleanly. --dry-run flag in place for safe testing.

[Low — F1] daily-claim.sh: set -e without set -o pipefail

node claim.js 2>&1 | tee -a "$LOG"

set -e exits on error from the last command in a pipeline (tee, which exits 0). If claim.js exits non-zero, the cron job silently continues. The ${PIPESTATUS[0]} in the trailing echo is logged but doesn't trigger exit. Add set -o pipefail after set -e to propagate node exit status through the pipe.

[Low — F2] Claim log not flushed before process exit

saveClaimLog is called synchronously only on r.status === 'success'. If the process is killed mid-run (SIGTERM from cron timeout, OOM, etc.) after a chain is successfully claimed but before the loop saves the log, that chain appears unclaimed next run. Server-side cooldown prevents double-funding, but causes an extra page load and potential faucet rate-limit hit. Consider saving the log after each chain regardless of status, or using process.on('exit', ...) as a flush hook.

PK: Brood#13 is a dev-only automation script — findings are Low, no correctness blockers.

PK Summary | 1 round · 2 Low findings · 0 missed

Review: Brood#13 — feat(scripts): ETHGlobal faucet 每日自動領取機器人

Playwright + 持久化浏览器 context 的工具脚本，用于每日自动从 ETHGlobal faucet 领取测试币。

功能正确性 ✓

• setup.js：一次性手动登录保存 session；claim.js：headless 每日领取
• 23.5h cooldown 追踪（JSON log），跳过未到时间的链 ✓
• 登录态过期时中断报告（logged_out 状态），不会静默失败 ✓
• --dry-run / --headed / --chain 参数支持 ✓
• daily-claim.sh cron 包装 ✓

安全 ✓

• 无硬编码凭据，用持久化浏览器 profile 保存 session
• browser-profile/ 和 claim-log.json 为本地运行时产物，建议在 .gitignore 中排除（若尚未排除）

工具类脚本，无协议安全影响。

APPROVE

Review

Verdict: APPROVE — Pure documentation/changelog/version-bump PR. No production code changes. BUMP track.

#13 Review — APPROVE

PR 标题中提到的 ETHGlobal faucet bot (scripts/ethglobal-faucet/) 在 PR 内部被完整添加后又全部删除，净变更为零。

实际净内容：

1. backlog/ 数据更新 — 任务状态追踪、progress-history.json 新增，均为项目管理文档。
2. dist/ 重新生成 — API docs、search index、统计数据更新，自动生成无手写逻辑。
3. scripts/export-backlog.js 重构 — 将进度图表注入方式从完整内联面板改为左侧边栏导航链接。重构缩减了 ~150 行内联 DOM 生成代码，功能等价，UI 更精简。
4. orgs/ 文档 — aastar/mycelium 项目描述更新。

无生产合约变更，无安全相关代码。

DOCS+TOOL-track. PK skipped.

Review — REQUEST_CHANGES [2-round: 净 diff 核验 + commit 溯源 + secret 扫描]

标题/描述写的是「ETHGlobal faucet 每日領取機器人」，但本 PR 的净 diff 里没有任何 faucet 代码。溯源 commit 后原因清楚：

• ba2105ab / de256599 加了 faucet bot，随后 940e0427 chore: 移動 ethglobal-faucet-bot 到獨立倉庫 jhfnetboy/ethglobal-faucet-bot 又把它整体移走。
• 所以 35 个文件的实际内容是：scripts/export-backlog.js(+190，唯一代码) 的 progress-chart 功能 + 18 个 backlog 任务文档 + 8 个 dist/ 生成产物 + research/orgs 文档。

🔴 主要问题（scope/标题不符）

PR 标题与实际变更完全脱节。维护者若照标题合入，会以为在审一个碰持久化登录态/领水的 bot，实际拿到的是文档导出工具 + backlog 同步。请二选一：

1. 改标题为实际内容（如 feat(export-backlog): progress-chart 注入 + backlog/dist 同步），并在描述里说明 faucet 已迁 jhfnetboy/ethglobal-faucet-bot；或
2. 把 backlog/dist 批量文档更新与 export-backlog 功能拆成独立 PR，让每个 PR 标题名副其实。

Low（非阻断，建议顺手）

• export-backlog.js 内联脚本注入未转义：window.__progressHistory = ${JSON.stringify(progressHistory)} 直接把 JSON 塞进内联 <script>。JSON.stringify 不转义 < / </script>——虽然 progress-history.json 是可信的本地构建产物（风险低），但标准做法是把 < 替换成 < 防 script 标签逃逸，避免将来 history 内容含该串时破页。
• dist/ 生成产物入库：提交了 dist/*.json + dist/*.html。若是 Pages/serve-dist.js 有意托管则 OK，否则建议 gitignore 由 CI 生成，避免手工产物与源不同步。

✅ 已核实无问题

• 无凭据泄漏：无 browser-profile/ / session / cookie / .env / storageState 入库（原 faucet 用持久化登录态，特意扫过——干净）。仅 orgs/*/PROFILE.md 组织简介文档。
• export-backlog.js 的 chart 生成 / nav 注入逻辑本身无 secret、无外部请求。

结论：REQUEST_CHANGES — 代码本身可用，但标题与内容严重不符（faucet 已移走），需改标题或拆 PR；顺带修内联注入转义。改完即可 APPROVE。