Source Review原始碼審閱
PASS 通過
審閱範圍如實記載:上游是大型 Java monorepo,逐檔審讀不可行,且上游原始碼不進買家的執行路徑 —— runtime 為官方發行映像 kestra/kestra:v1.3.30,compose 以 tag 加 digest 釘死,同一個 digest 取到的是同一份映像;上游碼僅作查核快照與衍生開發基礎。我方加工檔逐行審閱(docker-compose.yml、flows/ 兩條示範流程、scripts/init-env.sh、QUICKSTART.md、LICENSE-99LL、.env.example),皆為本產線手寫。已查到的對外連線面:AI 示範流程呼叫 api.openai.com(需買家自填金鑰,流程預設 disabled)、網頁介面登入後向 api.kestra.io 取消息與範本並帶上實例識別碼、平台的匿名使用回報預設開啟且同樣送往 api.kestra.io(我方 compose 未關閉它)。移除面:上游掛載 docker socket 的 dind compose 與 GitHub workflows 已刪;交付用的 compose 不掛 socket、不以 root 執行。