feat(bot): סוג קובץ חדש "סקיל" — אחסון נפרד מגיבויים

[amirbiron]

✨ תיאור קצר

פיצ'ר חדש בבוט: סוג קובץ "סקיל". כשמעלים ZIP, אפשר לבחור לשמור אותו כסקיל — אחסון קבוע byte-for-byte, נפרד לגמרי מהגיבויים — במקום כגיבוי. נועד לארכיון קוד לטווח ארוך שמשותף הלאה: בלי מחיקת retention ובלי הזרקת metadata.json לתוך הארכיון.

הערה: זהו ענף מצטבר. ה-PR כולל גם עבודות קודמות שכבר תוארו: תיקוני Config Inspector (עמוד 2 לפי שירות, סטטוס Set, מיסוך URL), הקשחת יצירת ZIP (Zip-Slip, מגבלות, בחירת שם), ופתקים דביקים ב-MCP. הפירוט למטה מתמקד בפיצ'ר החדש (סקילים).

📦 שינויים עיקריים

• קוד (Backend)
• בוט טלגרם
• מסד נתונים/מיגרציות
• תיעוד (docs/)
• DevOps/CI/CD

פירוט (סקילים):

• SkillManager חדש (file_manager.py): קולקציית GridFS "skills" נפרדת. שמירת bytes as-is (fs.put ישיר — בלי לפתוח/לדחוס את ה-ZIP ובלי metadata.json מוזרק), כך שהורדה מחזירה את הקובץ byte-for-byte. תמיד מונגו, בלי תלות ב-BACKUPS_STORAGE ובלי משתנה סביבה חדש. skill_id ייחודי (timestamp+uuid) מונע התנגשות; שם קובץ עם סיומת ייחוד מונע דריסה בין סקילים עם אותו שם.
• בידוד מלא מהגיבויים: קולקציית skills לעולם לא נסרקת/נמחקת ע"י cleanup_expired_backups (כבול ל-backups), ו-restore ... purge=True אינו חשוף עליה.
• ניתוב בהעלאה (handlers/documents.py): _maybe_store_zip_copy מציג שני כפתורים "📝 סקיל" / "📦 גיבוי" במקום שמירה אוטומטית. ה-bytes נשמרים זמנית בקובץ tmp ייעודי (עזרי stash ב-utils.py, מחיקות מוגבלות ל-allowlist) עד לבחירה מפורשת; אם לא בוחרים — כלום לא נשמר.
• SkillMenuHandler חדש (skill_menu_handler.py, prefix skill_): רשימת סקילים + פעולות זהות ל-ZIP (הורדה/מחיקה/תיוג/הערה). כפתור "📝 סקילים" נוסף בתפריט "📚 הצג את כל הקבצים שלי". תיוג/הערה עוברים דרך ה-facade הגנרי הקיים (מפתח user_id + id).

🧪 בדיקות

• Unit — tests/test_skill_manager.py (5 טסטים): שמירה+הורדה byte-for-byte (הקריטי), אימות בעלות, בידוד מ-cleanup של הגיבויים, ושני סקילים עם אותו שם שאינם דורסים. טסטי הגיבויים הקיימים (test_gridfs_backups, test_backup_cleanup_gridfs_budget) נשארו ירוקים — 52 טסטים רלוונטיים ירוקים בסך הכל.
• Integration
• Manual — py_compile נקי על כל הקבצים ששונו.

🧪 בדיקות נדרשות ב‑PR

• 🔍 Code Quality & Security
• Unit Tests (3.11)
• Unit Tests (3.12)

📝 סוג שינוי

• feat: פיצ'ר חדש (סוג קובץ "סקיל")

✅ צ'קליסט

• הקוד עוקב אחרי הסגנון
• בדיקות רצות ועוברות
• תיעוד — לא נוסף משתנה סביבה, לכן אין שינוי ב-environment-variables.rst/config_inspector_service.py. עיינתי בהנחיות הריפו לפני המימוש.
• אין סודות/מפתחות בקוד
• אין מחיקות מסוכנות — מחיקות ה-tmp מוגבלות ל-allowlist ייעודי (codebot_pending_zip/) עם בדיקת נתיב (_is_under_pending_dir)
• הודעת הקומיט תואמת Conventional Commits

🧩 השפעות/סיכונים

שינוי התנהגות: העלאת ZIP רגילה כעת דורשת בחירה מפורשת (סקיל/גיבוי) במקום שמירה אוטומטית לגיבוי (בהתאם להחלטת המשתמש). אין מיגרציות DB. קולקציית skills חדשה ונפרדת — אינה נוגעת בנתוני הגיבויים הקיימים.

🧯 סיכון / החזרה לאחור (Rollback)

git revert של קומיט הסקילים (606a1c1). קולקציית skills עצמאית; אין schema/מיגרציה. ביטול בטוח — הגיבויים ממשיכים לעבוד כרגיל.

[github-actions]

🧯 Dangerous deletes guard report

Policy: see .cursorrules — dangerous deletions are blocked unless wrapped safely.

Summary:

• Flagged findings (blocking): 0
  0
• Excluded matches (not blocking): 15
• Total matches (all files): 129

Flagged findings (file:line:snippet):
(none)

Excluded matches (by path pattern)

./node_modules/mermaid/dist/mermaid.js.map:4:  "sourcesContent": ["/**\n* Default values for dimensions\n*/\nconst defaultIconDimensions = Object.freeze({\n\tleft: 0,\n\ttop: 0,\n\twidth: 16,\n\theight: 16\n});\n/**\n* Default values for tr … [truncated]
./node_modules/mermaid/dist/mermaid.min.js.map:4:  "sourcesContent": ["/**\n* Default values for dimensions\n*/\nconst defaultIconDimensions = Object.freeze({\n\tleft: 0,\n\ttop: 0,\n\twidth: 16,\n\theight: 16\n});\n/**\n* Default values fo … [truncated]
./node_modules/mermaid/dist/chunks/mermaid.core/chunk-KS23V3DP.mjs.map:4:  "sourcesContent": ["{\n  \"name\": \"mermaid\",\n  \"version\": \"11.12.0\",\n  \"description\": \"Markdown-ish syntax for generating flowcharts, mindmaps, sequence  … [truncated]
./node_modules/mermaid/dist/chunks/mermaid.esm/chunk-2M32CCKP.mjs.map:4:  "sourcesContent": ["{\n  \"name\": \"mermaid\",\n  \"version\": \"11.12.0\",\n  \"description\": \"Markdown-ish syntax for generating flowcharts, mindmaps, sequence d … [truncated]
./node_modules/mermaid/dist/chunks/mermaid.esm.min/chunk-4HFYJGYH.mjs.map:4:  "sourcesContent": ["{\n  \"name\": \"mermaid\",\n  \"version\": \"11.12.0\",\n  \"description\": \"Markdown-ish syntax for generating flowcharts, mindmaps, sequen … [truncated]
./node_modules/mermaid/dist/chunks/mermaid.esm.min/chunk-4HFYJGYH.mjs:1:var r={name:"mermaid",version:"11.12.0",description:"Markdown-ish syntax for generating flowcharts, mindmaps, sequence diagrams, class diagrams, gantt charts, git graph … [truncated]
./node_modules/mermaid/dist/mermaid.min.js:1524:`,"getStyles"),c1e=RQe});var h1e={};dr(h1e,{diagram:()=>NQe});var NQe,f1e=N(()=>{"use strict";$ge();a1e();l1e();u1e();NQe={parser:Fge,db:n1e,renderer:o1e,styles:c1e}});var m1e,g1e=N(()=>{"use  … [truncated]
./node_modules/katex/package.json:153:    "build": "rimraf dist/ && mkdirp dist && cp README.md dist && rollup -c --failAfterWarnings && webpack && node update-sri.js package dist/README.md",
./node_modules/katex/src/fonts/Makefile:139:	rm -rf pfa ff otf ttf woff woff2
./Dockerfile:42:    rm -rf /var/lib/apt/lists/*
./Dockerfile:121:    rm -rf /var/lib/apt/lists/*
./webapp/static/js/md_preview.bundle.js.map:4:  "sourcesContent": ["// Markdown-it plugin to render GitHub-style task lists; see\n//\n// https://github.com/blog/1375-task-lists-in-gfm-issues-pulls-comments\n// https://github.com/blog/1825-t … [truncated]
./docs/DOCUMENTATION_GUIDE.md:453:rm -rf _build
./docs/Makefile:24:	rm -rf $(BUILDDIR)
./README.md:842:find . -name "__pycache__" -exec rm -rf {} +

[coderabbitai]

Warning

Review limit reached

@amirbiron, you've reached your PR review limit, so we couldn't start this review.

Next review available in: 1 minute

Enable usage-based reviews in Billing to review now. Otherwise, wait until the next included review is available.
You're only billed for reviews past your plan's rate limits ($0.25/file).

How can I continue?

After more reviews become available, a review can be triggered using the @coderabbitai review command as a PR comment. Alternatively, push new commits to this PR.

To avoid repeated limits, reduce automatic review volume by pausing incremental auto-reviews earlier, using label-based review opt-in, excluding WIP or generated PR titles, or requesting reviews manually when the PR is ready. If your team needs uninterrupted high-volume reviews, an organization admin can enable usage-based reviews.

How do review limits work?

CodeRabbit enforces per-developer PR review limits for each organization. Most developers receive the normal plan review availability.

For paid Pro and Pro+ PR reviews, CodeRabbit uses adaptive limits for sustained high-volume activity. When a developer's recent PR review activity reaches the 95th percentile or higher among CodeRabbit users, additional reviews become available more gradually as earlier reviews age out of the rolling window.

Please refer docs for additional details.

Review details

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro Plus

Run ID: ef3de75c-421b-4fa7-8e18-cf04c890d6b3

📥 Commits

Reviewing files that changed from the base of the PR and between 606a1c1 and b4f4844.

📒 Files selected for processing (10)

• conversation_handlers.py
• file_manager.py
• handlers/documents.py
• main.py
• services/config_inspector_service.py
• skill_menu_handler.py
• tests/handlers/test_documents.py
• tests/test_config_inspector_service.py
• tests/test_patch_coverage.py
• utils.py

📝 Walkthrough

Walkthrough

ה-PR מוסיף אחסון וניהול סקילים מתוך ZIP, כולל בחירת יעד, תפריט בוט, דירוגים והערות. בנוסף, מפקח התצורה מסווג משתנים לפי שירות, מציג סטטוס SET ומוסיף תצוגה נפרדת לשירותים אחרים.

Changes

אחסון וזרימות סקילים

Layer / File(s)	Summary
אחסון סקילים ובדיקות file_manager.py, tests/test_skill_manager.py	נוסף אחסון GridFS נפרד לסקילים עם שמירה byte-for-byte, אימות בעלות, מחיקה ומבחני הפרדה מגיבויים.
השהיית ZIP ובחירת יעד utils.py, handlers/documents.py, conversation_handlers.py	ZIP מזוהה נשמר זמנית תחת נתיב מוגן, והמשתמש בוחר בין שמירה כסקיל לבין גיבוי.
תפריט סקילים ושילוב הבוט skill_menu_handler.py, main.py, conversation_handlers.py	נוספו רשימות, פרטים, הורדות, דירוגים, הערות ומחיקות, יחד עם רישום callbacks וכפתורי כניסה לתפריט.

מפקח תצורה לפי שירות

Layer / File(s)	Summary
חוזי סטטוס ושירות services/config_inspector_service.py	נוספו services, סטטוס SET, מוני SET וכללי זיהוי רגישות מעודכנים.
שיוך משתני תצורה לשירותים services/config_inspector_service.py	הגדרות רבות קיבלו שיוך ל-WebApp, Bot, MCP או Webserver ועדכוני ברירות מחדל.
סקירת שירותים וסטטוסים services/config_inspector_service.py	סקירת WebApp מסוננת, שירותים אחרים מוחזרים כמטא-דאטה, וסטטוס SET נכלל בסיכומים ובאימות.
ממשק, תיעוד ובדיקות webapp/app.py, webapp/templates/admin_config_inspector.html, tests/test_config_inspector_service.py, docs/environment-variables.rst	נוספו טאבים לשירותים, עמודת SET, בדיקות חלוקה ותיעוד רכיבי משתני הסביבה.

Estimated code review effort: 4 (Complex) | ~60 minutes

Poem

ZIP קטן נח לו בצד,
מחכה ליעד, מסודר ומיוחד.
סקיל נשמר, דירוג זוהר,
ומפקח שירותים מציג הכול ברור.
Claude Code תפר את החוטים,
CodeKeeper forever 💫

🚥 Pre-merge checks | ✅ 4 | ❌ 1

❌ Failed checks (1 warning)

Check name	Status	Explanation	Resolution
Docstring Coverage	⚠️ Warning	Docstring coverage is 33.33% which is insufficient. The required threshold is 80.00%.	Write docstrings for the functions missing them to satisfy the coverage threshold.

✅ Passed checks (4 passed)

Check name	Status	Explanation
Linked Issues check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check	✅ Passed	Check skipped because no linked issues were found for this pull request.
Title check	✅ Passed	הכותרת מתארת היטב את הפיצ'ר המרכזי: סוג קובץ "סקיל" ואחסון נפרד מגיבויים.
Description check	✅ Passed	התיאור כולל תקציר, שינויים עיקריים, בדיקות, סוג שינוי, צ'קליסט, סיכונים והחזרה לאחור, ולכן הוא ברובו מלא.

✨ Finishing Touches

🧪 Generate unit tests (beta)

• Create PR with unit tests
• Commit unit tests in branch claude/mcp-codekeeper-webapp-ldnzsg

---

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

• X
• Mastodon
• Reddit
• LinkedIn

_{Comment @coderabbitai help to get the list of available commands.}

[github-actions]

⏱️ Performance report

• Run: https://github.com/amirbiron/CodeBot/actions/runs/30205216362
• Artifact: perf-durations

(No performance test durations collected. Mark tests with @pytest.mark.performance.)

[github-actions]

📖 Documentation Preview

The documentation has been built successfully!

• 📦 Download Documentation Artifacts
• 🔍 Check the workflow summary for coverage report
• 📊 Build completed at: Sun, 26 Jul 2026 14:02:56 GMT

To view locally:

1. Download the artifacts
2. Extract the zip file
3. Open index.html in your browser

[chatgpt-codex-connector]

💡 Codex Review

Here are some automated review suggestions for this pull request.

Reviewed commit: 2f84c9f7ea

ℹ️ About Codex in GitHub

Your team has set up Codex to review pull requests in this repo. Reviews are triggered when you

• Open a pull request for review
• Mark a draft as ready
• Comment "@codex review".

If Codex has suggestions, it will comment; otherwise it will react with 👍.

Codex can also answer questions or update the PR. Try commenting "@codex address that feedback".

[codecov]

Codecov Report

❌ Patch coverage is 37.41648% with 281 lines in your changes missing coverage. Please review.

Files with missing lines	Patch %	Lines
skill_menu_handler.py	13.60%	146 Missing ⚠️
file_manager.py	58.73%	38 Missing and 14 partials ⚠️
conversation_handlers.py	4.54%	41 Missing and 1 partial ⚠️
utils.py	54.76%	17 Missing and 2 partials ⚠️
handlers/documents.py	61.53%	8 Missing and 2 partials ⚠️
main.py	28.57%	10 Missing ⚠️
services/config_inspector_service.py	92.85%	1 Missing and 1 partial ⚠️

📢 Thoughts on this report? Let us know!

[coderabbitai]

Actionable comments posted: 7

🧹 Nitpick comments (5)

file_manager.py (1)

1322-1322: 📐 Maintainability & Code Quality | 🔵 Trivial | 💤 Low value

import uuid מיותר — כבר מיובא ברמת המודול (שורה 14).

♻️ ניקוי

-        import uuid
         try:

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@file_manager.py` at line 1322, Remove the redundant local `import uuid` from
the code at this location, since `uuid` is already imported at module scope.
Keep the existing module-level import and all surrounding logic unchanged.

main.py (1)

3597-3614: 📐 Maintainability & Code Quality | 🔵 Trivial | ⚡ Quick win

הבלוק הזה הוא שכפול כמעט מדויק של זרימת ההערה לגיבוי שמעליו.

ההבדל היחיד בין שני הבלוקים הוא שם ה-flag ופרפיקס ה-callback. חילוץ helper קטן ימנע סחיפה בין השניים בעתיד.

♻️ הצעה

async def _handle_note_flow(update, context, flag_key: str, back_prefix: str) -> bool:
    target_id = context.user_data.pop(flag_key, None)
    if not target_id:
        return False
    try:
        from database import db
        ok = db.save_backup_note(update.effective_user.id, target_id, (text or '')[:1000])
        if ok:
            await update.message.reply_text(
                "✅ ההערה נשמרה!",
                reply_markup=InlineKeyboardMarkup(
                    [[InlineKeyboardButton("🔙 חזרה", callback_data=f"{back_prefix}:{target_id}")]]
                ),
            )
            context.user_data['suppress_code_hint_once'] = True
        else:
            await update.message.reply_text("❌ שמירת ההערה נכשלה")
    except Exception:
        logger.exception("save note failed for %s", flag_key)
        await update.message.reply_text("❌ שגיאה בשמירת ההערה")
    return True

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@main.py` around lines 3597 - 3614, חלץ את זרימת שמירת ההערה המשותפת ל-helper
אסינכרוני כגון _handle_note_flow, המקבל את מפתח ה-flag ואת פרפיקס ה-callback.
עדכן את בלוקי הערת הסקיל והגיבוי להשתמש באותו helper, תוך שמירה על שמירת הטקסט,
הודעות ההצלחה/כישלון, דיכוי רמז הקוד והחזרת True; השתמש ב-logger.exception עבור
שגיאות במקום לשכפל את הטיפול בכל בלוק.

conversation_handlers.py (1)

894-894: 🚀 Performance & Scalability | 🔵 Trivial | ⚡ Quick win

קריאת דיסק סינכרונית של עד 20MB על לולאת האירועים.

load_pending_zip_bytes הוא I/O חוסם, ושאר הפונקציה כבר מקפידה על asyncio.to_thread לשמירה. שווה עקביות.

♻️ תיקון מוצע

-    raw = load_pending_zip_bytes((entry or {}).get("path", "")) if entry else None
+    raw = (
+        await asyncio.to_thread(load_pending_zip_bytes, (entry or {}).get("path", ""))
+        if entry else None
+    )

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@conversation_handlers.py` at line 894, עדכן את הקריאה
ל־load_pending_zip_bytes בתוך הפונקציה הנוכחית כך שתתבצע באמצעות
asyncio.to_thread, תוך שמירה על התנאי הקיים והחזרת None כשאין entry. אל תשנה את
התנהגות טעינת הנתיב או את שאר זרימת הפונקציה.

skill_menu_handler.py (1)

150-152: 🚀 Performance & Scalability | 🔵 Trivial | ⚡ Quick win

שתי סריקות GridFS מלאות לכל הורדה.

_find_skill מריץ list_skills (סריקה על כל הסקילים של המשתמש) רק כדי לשלוף את original_name, ומיד אחריו get_skill_bytes סורק שוב. שווה להחזיר גם את המטא-דאטה מקריאה אחת, או לפחות לדלג על _find_skill כשה-bytes לא נמצאו.

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@skill_menu_handler.py` around lines 150 - 152, Eliminate the unconditional
double GridFS scan in the download flow around `_find_skill` and
`skill_manager.get_skill_bytes`: fetch the bytes first and return the existing
not-found response immediately when they are absent, then call `_find_skill`
only for successful downloads to obtain `original_name`. Preserve the current
metadata-based response behavior for found skills.

services/config_inspector_service.py (1)

90-107: 🔒 Security & Privacy | 🔵 Trivial | ⚡ Quick win

הסרת "URL" מ-SENSITIVE_PATTERNS מבוססת על תיוג ידני בלבד.

לאחר ההסרה, ערך שמכיל credentials בתוך URL (כמו https://user:pass@host) יוסתר רק אם המפתח תואם תבנית אחרת (URI/TOKEN/...) או מסומן sensitive=True באופן מפורש. כרגע כל המשתנים הידועים שעלולים להכיל credentials מתויגים נכון (MONGODB_URL, PUSH_DELIVERY_URL, OBS_AI_EXPLAIN_URL וכו'), אבל אין רשת ביטחון אוטומטית למשתנה URL עתידי שישכח לתייג sensitive=True.

שווה לשקול הוספת בדיקה מבוססת-ערך (regex לזיהוי user:pass@ בתוך ה-URL) בתוך mask_value, כהגנה נוספת (defense-in-depth) שלא תלויה רק בזיכרון של המפתח שהגדיר את המשתנה.

Claude Code עשה כאן עבודה יפה בליווי כל שינוי ב-services עם הסבר ותיעוד ב-docstring — ממש מקצועי. CodeKeeper forever 💫

🔒 הצעת תוספת הגנה במיסוך ערכים

+    # זיהוי credentials מוטמעים בכתובת (user:pass@host) גם אם שם המפתח לא "רגיש"
+    _CREDENTIALS_IN_VALUE_RE = re.compile(r"://[^/\s:@]+:[^/\s@]+@")
+
     def mask_value(self, value: str, key: str) -> str:
         if not value:
             return value

-        if self.is_sensitive_key(key):
+        if self.is_sensitive_key(key) or self._CREDENTIALS_IN_VALUE_RE.search(value):
             return self.MASKED_VALUE

         return value

🤖 Prompt for AI Agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

In `@services/config_inspector_service.py` around lines 90 - 107, הוסף
ב־mask_value זיהוי מבוסס־ערך של כתובות URL המכילות credentials בתבנית
user:pass@, והסתר ערכים כאלה גם כאשר שם המשתנה אינו תואם ל־SENSITIVE_PATTERNS
ואינו מסומן sensitive=True. שמור על התנהגות המיסוך הקיימת עבור שאר הערכים.

🤖 Prompt for all review comments with AI agents

Verify each finding against current code. Fix only still-valid issues, skip the
rest with a brief reason, keep changes minimal, and validate.

Inline comments:
In `@conversation_handlers.py`:
- Around line 923-929: Route all four edit_message_text calls in
_handle_zip_route, the skill-list update in skill_menu_handler.py lines 106-106,
and the deletion/tagging confirmation screens in handle_callback_query at
skill_menu_handler.py lines 238-238 through
TelegramUtils.safe_edit_message_text. Use the existing wrapper so only “message
is not modified” is suppressed while other BadRequest errors propagate.
- Around line 919-929: Move cleanup_pending_zip and pending.pop in the save flow
so they run only after save_skill_bytes or save_backup_bytes returns a
successful identifier; preserve the failure path’s pending token and temporary
bytes so the user can retry without re-uploading, while keeping the existing
success and failure messages.

In `@file_manager.py`:
- Around line 1347-1359: Normalize metadata["user_id"] to an int before
constructing final_md and calling fs.put in the skill save flow. Update the
local user_id used in skill_id generation as well, while preserving existing
behavior for valid integer inputs and handling invalid or missing values
according to the surrounding validation conventions.

In `@handlers/documents.py`:
- Around line 1011-1040: Limit the number of pending ZIP entries per user in the
pending ZIP flow before stashing a new file, removing the oldest entries and
their files when the configured capacity is exceeded. Replace the hardcoded
3600-second stale check in this cleanup block with the shared
PENDING_ZIP_TTL_SECONDS constant from utils.py, preserving the existing cleanup
behavior.

In `@main.py`:
- Around line 3612-3613: Update the exception handler around the note-saving
operation to log the full exception via logger.exception while replying with a
generic Hebrew error message that does not interpolate e or expose database
details. Preserve the existing failure-response flow in
update.message.reply_text.

In `@skill_menu_handler.py`:
- Around line 84-100: העבירו את שליפת דירוגי הגיבוי מתוך לולאת הרינדור
האסינכרונית אל thread worker, בדומה לעטיפת _get_skills ב-asyncio.to_thread. אספו
את הדירוגים עבור כל פריטי items בביצוע מרוכז או מקביל לפני בניית lines
ו-keyboard, ואז השתמשו בתוצאות ללא קריאות סינכרוניות בתוך הלולאה; שמרו על דירוג
ריק במקרה של facade חסר או שגיאה.

In `@utils.py`:
- Around line 1657-1679: עדכן את `_pending_zip_dir` ואת
`stash_pending_zip_bytes` כדי לאמת ש-token הוא מזהה בטוח לשם קובץ ללא מפרידי
נתיב או רכיבי traversal, ולדחות ערכים לא תקינים לפני הכתיבה. צור את תיקיית
ה-pending בהרשאות פרטיות למשתמש בלבד, כולל הידוק הרשאות גם אם התיקייה כבר קיימת.
שמור על כתיבה רק לנתיב שנגזר מה-token המאומת.

---

Nitpick comments:
In `@conversation_handlers.py`:
- Line 894: עדכן את הקריאה ל־load_pending_zip_bytes בתוך הפונקציה הנוכחית כך
שתתבצע באמצעות asyncio.to_thread, תוך שמירה על התנאי הקיים והחזרת None כשאין
entry. אל תשנה את התנהגות טעינת הנתיב או את שאר זרימת הפונקציה.

In `@file_manager.py`:
- Line 1322: Remove the redundant local `import uuid` from the code at this
location, since `uuid` is already imported at module scope. Keep the existing
module-level import and all surrounding logic unchanged.

In `@main.py`:
- Around line 3597-3614: חלץ את זרימת שמירת ההערה המשותפת ל-helper אסינכרוני
כגון _handle_note_flow, המקבל את מפתח ה-flag ואת פרפיקס ה-callback. עדכן את
בלוקי הערת הסקיל והגיבוי להשתמש באותו helper, תוך שמירה על שמירת הטקסט, הודעות
ההצלחה/כישלון, דיכוי רמז הקוד והחזרת True; השתמש ב-logger.exception עבור שגיאות
במקום לשכפל את הטיפול בכל בלוק.

In `@services/config_inspector_service.py`:
- Around line 90-107: הוסף ב־mask_value זיהוי מבוסס־ערך של כתובות URL המכילות
credentials בתבנית user:pass@, והסתר ערכים כאלה גם כאשר שם המשתנה אינו תואם
ל־SENSITIVE_PATTERNS ואינו מסומן sensitive=True. שמור על התנהגות המיסוך הקיימת
עבור שאר הערכים.

In `@skill_menu_handler.py`:
- Around line 150-152: Eliminate the unconditional double GridFS scan in the
download flow around `_find_skill` and `skill_manager.get_skill_bytes`: fetch
the bytes first and return the existing not-found response immediately when they
are absent, then call `_find_skill` only for successful downloads to obtain
`original_name`. Preserve the current metadata-based response behavior for found
skills.

🪄 Autofix (Beta)

Fix all unresolved CodeRabbit comments on this PR:

• Push a commit to this branch (recommended)
• Create a new PR with the fixes

---

ℹ️ Review info

⚙️ Run configuration

Configuration used: Organization UI

Review profile: CHILL

Plan: Pro Plus

Run ID: 4fd57f71-2c8e-479a-bfe5-2cf1b4a90320

📥 Commits

Reviewing files that changed from the base of the PR and between 8b52548 and 606a1c1.

📒 Files selected for processing (12)

• conversation_handlers.py
• docs/environment-variables.rst
• file_manager.py
• handlers/documents.py
• main.py
• services/config_inspector_service.py
• skill_menu_handler.py
• tests/test_config_inspector_service.py
• tests/test_skill_manager.py
• utils.py
• webapp/app.py
• webapp/templates/admin_config_inspector.html

[amirbiron]

@claude הארנב הציל אותנו