refactor: address review suggestions from PR #178

[Svtter]

Summary

Addresses all non-blocking suggestions from PR #178 multi-review.

Changes

1. INLINE_CODE_RE newline boundary — /`[^`\n]+`/g prevents cross-line inline code matching, keeping TS/Python regexes identical
2. @internal tag — escapeHashReferences JSDoc now marks it as test-only export, not a public API
3. engines.node >= 20 — Added to multi-review/package.json since tsx@4 and node --import require Node ≥ 20
4. Python smoke tests — TestEscapeHashReferences → TestEscapeHashReferencesSmoke with only 4 representative cases; full coverage stays in platform.test.ts (14 TS tests)
5. Consistency test CAVEAT — Added comment warning that regex extraction is coupled to string literal form

Testing

• 14 TS unit tests pass (npm test)
• 45 Python tests pass (4 smoke + 2 consistency + 39 existing)
• TypeScript build passes (tsc --noEmit)

[github-actions]

无遗漏

PR 的 5 项声明全部在当前代码中正确实现，TS 与 Python 正则保持同步。

#	声明	验证结果
1	INLINE_CODE_RE 换行边界 /`[^`\n]+`/g	✅ multi-review/src/platform.ts:169 与 tests/test_all.py:936 双侧一致
2	escapeHashReferences 添加 @internal JSDoc	✅ multi-review/src/platform.ts:182 已标注 "Exported for testing only"
3	engines.node >= 20	✅ multi-review/package.json:22-24 已加入，lockfile 同步
4	TestEscapeHashReferencesSmoke 4 个代表用例	✅ tests/test_all.py:920-981 恰好 4 个 test_* 方法
5	一致性测试 CAVEAT 注释	✅ tests/test_all.py:984-992 docstring 提示正则提取耦合字符串字面量形式

正则跨语言一致性已核对：HASH_NUM_RE、FENCED_CODE_RE、INLINE_CODE_RE 在 TS 与 Python 中的字符类与跨行行为完全等价（Python 用 re.MULTILINE 对应 TS m 标志）。所有 spec 项均覆盖到位。

opencode session  |  github run

[github-actions]

可合并

三个有效 reviewer（security、performance、architecture）一致认为本 PR 无阻塞问题。quality reviewer 抓取失败，不计入交叉验证。

变更范围：package.json 新增 engines.node >=20；INLINE_CODE_RE 收紧为不跨行；Python 测试用例去重并下放至 TypeScript 权威实现。

阻塞项：无

建议项：

1. escapeHashReferences 同时使用 export 与 @internal 标记存在轻量不一致，建议改为非导出或拆分 internal/test-helpers.ts 入口。
2. tests/test_all.py 中 _run_escape 仍是 escapeHashReferences 的 Python 镜像实现，与 multi-review/src/platform.ts 双轨维护，长期维护成本高；建议未来通过 tsc 编译产物或 Node 子进程统一到 TS 实现（仅记入待办，不属本次范围）。
3. 若未来测试需要直接 import HASH_NUM_RE，建议在注释中点明 re-construct 模式以避免共享 exec/matchAll 状态。

---

📋 各 Reviewer 详细审查结果

quality

（审查失败: fetch failed）

security

安全无虞

本 PR 仅包含三处变更，均不涉及安全相关代码路径：

1. package.json/package-lock.json：新增 engines.node >=20 最低版本约束，未引入新依赖。
2. platform.ts 的 INLINE_CODE_RE：将正则从 /`[^`]+`/g 收紧为 /`[^`\n]+`/g，限制内联代码不跨行匹配，属于防御性收紧，未引入新的匹配面。
3. tests/test_all.py：缩减 Python 镜像实现的测试用例，保留冒烟用例并补全 \ 注释。属于测试覆盖范围调整，与安全无关。

安全分析：

• 未触及输入校验、身份认证、SQL/命令/XSS 注入面。
• escapeHashReferences 的输出是插入零宽空格（U+200B）防止 Markdown 将 #N 渲染为 issue 引用，不涉及 HTML/JS 上下文，无 XSS 风险。
• INLINE_CODE_RE 的字符集从 [^]收紧为[^\n]，匹配的字符串集合是子集，不会产生新的 ReDoS 风险（仍为单字符类的简单线性匹配）。
• 无新增依赖、无 secrets、无敏感数据。

阻塞项：无
建议项：无

performance

性能良好

本次 PR 的性能影响分析：

1. package.json / package-lock.json：仅新增 engines: { "node": ">=20" }，是环境声明，对运行时性能无影响。
2. multi-review/src/platform.ts：将内联代码正则 /[^`]+`/g` 收紧为 `/`[^`\n]+/g。字符类多排除一个 \n 反而会略微减少匹配尝试的字符范围和回溯风险（对跨行输入更友好），属于微小的正向优化，无性能回归。
3. tests/test_all.py：将原 Python 端的正则同步收紧，并删减了若干重复的单元测试用例，改为以 TypeScript 端为权威覆盖（platform.test.ts）。这仅影响测试维护成本，不影响 escapeHashReferences 本身的复杂度 —— 该函数仍是 O(n) 单遍扫描 + 固定数量的正则预编译常量，未引入额外分配、循环或重复扫描。

未发现算法复杂度退化、内存泄漏、N+1 查询、缓存缺失、不必要的重复计算、并发问题或资源滥用。

阻塞项：无
建议项：无

architecture

架构合理

本次 PR 范围明确，变更局部化，整体遵循现有架构模式：

• 正则修复：INLINE_CODE_RE 加 \n 边界限定是单点修改，TypeScript 与 Python 两侧同步更新，未引发散弹式修改。
• 测试去重：将 tests/test_all.py 中 TestEscapeHashReferences 重命名为 TestEscapeHashReferencesSmoke 并大幅删减用例，把完整覆盖下放至 multi-review/src/platform.test.ts（已确认该文件存在且包含 21 处相关引用），方向正确——将"单一权威实现"集中到 TS，Python 侧只保留一致性烟囱测试。
• 依赖声明：engines.node: ">=20" 是标准 manifest 字段，位置正确。
• 跨语言同步测试：TestCrossLanguageHashInstructionConsistency 新增的 CAVEAT 注释坦承了正则解析源码的脆弱性，是良好的架构透明性做法。

阻塞项：无

建议项：

1. escapeHashReferences 同时使用 export 与 @internal 标记，存在轻量不一致。可考虑改为非导出并通过 *.test.ts 同包导入，或拆分 internal/test-helpers.ts 入口；当前文档注释已能传达意图，不阻塞。
2. tests/test_all.py 中 _run_escape 仍是 escapeHashReferences 的 Python 镜像实现（与 multi-review/src/platform.ts 双轨维护）。本 PR 减少了测试重复，但实现级重复仍是长期脆弱点；建议未来通过 tsc 编译产物或 Node 子进程调用 TS 实现，彻底消除双轨（仅记入待办，不属本次 PR 范围）。
3. HASH_NUM_RE 注释中提到"do not share exec/matchAll state across calls"，@internal 提示可与此并置说明测试为何需要直接 import 该函数（虽该 regex 是模块私有，测试似乎未直接 import，但若未来测试需要，建议在注释中点明 re-construct 模式）。