test: verify multi-review v4.2.3 session-resume fix

[Svtter]

目的

用 PR 自身触发 `multi-review@v4.2.3`，端到端验证 v4.2.3 的 session-resume 修复（串行 import + 等 serve ready line）。

改动

把本仓库 `multi-review.yml` 的 action ref 从 `@v4.1.0` bump 到 `@v4.2.3`。这样这个 PR 触发的 multi-review run 就会用修复后的 action。

验证点

看 `🔍 Multi-Review` job 日志里的 `v2 resume:` 行：

• ✅ 修复：`v2 resume: N/N bundles restored`（所有 reviewer 都有内容）
• ❌ 旧 bug：`v2 resume: 2/7 bundles restored` + 5 个空 reviewer

⚠️ 测试专用 PR，验证完不合入。 验证后会关闭并删分支。

[github-actions]

无

🟡 警告项 / Warnings

1. GitHub Actions 版本标签 v4.2.3 可被仓库所有者重新指向，若 sun-praise/opencode-actions 仓库被攻陷或 tag 被恶意覆盖，CI 可能执行未经审查的代码，存在依赖混淆 / 供应链攻击风险。（security 发现）

🟢 建议项 / Suggestions

1. 建议将 action 引用固定到不可变的 commit SHA（如 @<full-sha>）以替代版本 tag，防范 tag 重写或仓库被攻陷后的供应链攻击。（security

🟡 警告项 / Warnings (1)

• GitHub Actions 版本标签 v4.2.3 可被仓库所有者重新指向，若 sun-praise/opencode-actions 仓库被攻陷或 tag 被恶意覆盖，CI 可能执行未经审查的代码，存在依赖混淆 / 供应链攻击风险。（security 发现）

🟢 建议项 / Suggestions (1)

• 建议将 action 引用固定到不可变的 commit SHA（如 @<full-sha>）以替代版本 tag，防范 tag 重写或仓库被攻陷后的供应链攻击。（security 建议）

💰 Review Cost — $0.0000

Role	Cost (USD)	Input	Output	Reasoning	Cache Read	Cache Write
quality	$0.0000	8,502	63	202	0	0
security	$0.0000	8,511	271	386	0	0
performance	$0.0000	8,514	68	88	0	0
architecture	$0.0000	8,515	75	222	0	0
regression-test	$0.0000	8,952	88	73	0	0
test-value	$0.0000	8,642	109	50	0	0
coordinator	$0.0000	9,122	164	223	0	0
Total	$0.0000	60,758	838	1,244	0	0

📋 各 Reviewer 详细审查结果

quality

可合并 / CAN MERGE

PR 将 multi-review.yml 中的 action 版本引用从 v4.1.0 更新为 v4.2.3，是一次常规的版本升级变更。

阻塞项：无
警告项：无
建议项：无

security

存在风险 / AT RISK

该 PR 仅涉及 GitHub Actions 工作流中 sun-praise/opencode-actions/multi-review action 的版本从 v4.1.0 升级到 v4.2.3，没有其他代码或逻辑变更。总体风险较低。但存在一个非阻塞性的安全注意事项：

阻塞项：无

警告项：

• 使用语义化版本标签（v4.2.3）本身合规，但 GitHub Actions 的 tag 标签可被仓库所有者重新指向，因此存在潜在的依赖混淆 / tag 移动风险。若 sun-praise/opencode-actions 仓库被攻陷或 tag 被恶意覆盖，CI 流程可能执行未经审查的代码。更安全的做法是固定到 commit SHA（如 @<full-sha>）以确保不可变性。

建议项：

• 建议将 action 引用固定到不可变的 commit SHA 而非版本 tag，以防范 tag 重写或仓库被攻陷后的供应链攻击。例如将 sun-praise/opencode-actions/multi-review@v4.2.3 替换为 sun-praise/opencode-actions/multi-review@<commit-sha>。

performance

性能良好 / GOOD

该 PR 仅将 multi-review action 的版本引用从 v4.1.0 升级到 v4.2.3，不涉及任何业务逻辑或代码变更。无性能问题。

阻塞项：无

警告项：无

建议项：无

architecture

架构合理 / SOUND

本次 PR 仅将 .github/workflows/multi-review.yml 中的 action 版本从 v4.1.0 升级到 v4.2.3，是对自身 action 版本引用的常规更新。

阻塞项：无

警告项：无

建议项：无

regression-test

无需回归测试 / NO REGRESSION TESTS NEEDED

CHORE：PR 仅将 workflow 中引用的 action 版本从 v4.1.0 更新为 v4.2.3，未涉及任何业务逻辑、API、行为或功能的修改。这是纯依赖版本更新，无回归测试必要。

阻塞项：无
警告项：无
建议项：无

test-value

测试全部有价值 / ALL TESTS HAVE VALUE

该 PR 仅修改了 .github/workflows/multi-review.yml 中的 actions 版本号（v4.1.0 → v4.2.3），不涉及任何测试文件变更，因此不存在低价值测试问题。

• CRITICAL: 无
• MEDIUM: 无
• LOW: 无
• 阻塞项: 无
• 警告项: 无
• 建议项: 无

[Svitter]

Rank: P3 — single-line dogfood validation for an already-shipped fix; not a merge candidate.

Diff (.github/workflows/multi-review.yml:28): uses: sun-praise/opencode-actions/multi-review@v4.1.0 → @v4.2.3. Trivial and exactly what the body claims — no other files touched, no invariants disturbed.

Why P3, not P0/P1:

• The fix being validated (serial import + serve-ready wait, PR #289) already shipped via #290 (commit e4b8168 Bump version to 4.2.3 is on main).
• The PR body explicitly states "测试专用 PR，验证完不合入. 验证后会关闭并删分支" — author has already declared it test-only and the PR is closed.
• This is the same dogfood pattern as 539bc70 test: verify merged v2 session-resume fixes (later reverted via 9aa4557); once verification succeeds, no merge is needed.

No findings. The bump is correct (v4.2.3 tag exists on main), the workflow body is otherwise untouched, and per the conventions a CHANGELOG.md entry is required only when a package is touched — this is a workflow-only change. Nothing to flag.

Thanks @Svtter — clean, well-scoped e2e validation. The 🔍 Multi-Review run on this branch is the actual deliverable, not the diff.