fix(sonar): clear 2.3.1 static analysis findings

Author: thomasasen

CHANGELOG.md

@@ -22,6 +22,9 @@ direkt zu einer versionierten Release-Sektion.
 - Nutzerwirkung: Keine sichtbare Änderung im Userscript; die Agent-/Skill-Anweisungen für Wartung und Release sind klarer getrennt und werden beim lokalen Check robuster validiert.
   Technik: Deprecated Skill-Dateien wurden durch fokussierte Analyse-, Changelog-, Release- und Validierungs-Skills ersetzt; `scripts/check-agent-instructions.mjs` prüft referenzierte Skill-Dateien mit, und `check:agents` ist als npm-Script verdrahtet.
 
+- Nutzerwirkung: Keine sichtbare Änderung; die SonarQube-Nachprüfung für die 2.3.1-Änderungen ist jetzt ohne neue Reliability-Issues und ohne neue unreviewed Security Hotspots sauber.
+  Technik: `x01-player-surface-adapter` vermeidet den direkten `.map(...)`-Callback auf `toPlayerEntry`, und `check-agent-instructions` ersetzt die beanstandeten Regex-/Replace-Pfade durch stringbasierte Normalisierung, Quote-Trimming und deterministisches Regex-Escaping ohne globalen Hotspot-Parser.
+
 ## [2.3.0] - 2026-04-21
 
 ### Changed

dist/autodarts-xconfig.user.js

@@ -5335,7 +5335,7 @@
     return {
       playerDisplayRoot,
       playerCards,
-      players: playerCards.map(toPlayerEntry),
+      players: playerCards.map((node, index) => toPlayerEntry(node, index)),
       source: X01_PLAYER_SURFACE_SOURCE_TOOLS
     };
   }

scripts/check-agent-instructions.mjs

@@ -25,7 +25,7 @@ function parseFrontmatter(text, label) {
     return {};
   }
 
-  const normalized = text.replace(/\r\n/g, '\n');
+  const normalized = text.replaceAll('\r\n', '\n');
   const end = normalized.indexOf('\n---\n', 4);
   if (end === -1) {
     fail(`${label}: unterminated YAML frontmatter`);
@@ -34,14 +34,30 @@ function parseFrontmatter(text, label) {
 
   const fields = {};
   for (const line of normalized.slice(4, end).split('\n')) {
-    const match = line.match(/^([A-Za-z0-9_-]+):\s*(.*)$/);
-    if (match) {
-      fields[match[1]] = match[2].trim().replace(/^['"]|['"]$/g, '');
+    const separatorIndex = line.indexOf(':');
+    if (separatorIndex > 0) {
+      const key = line.slice(0, separatorIndex).trim();
+      if (!/^[A-Za-z0-9_-]+$/.test(key)) {
+        continue;
+      }
+      fields[key] = stripWrappingQuotes(line.slice(separatorIndex + 1).trim());
     }
   }
   return fields;
 }
 
+function stripWrappingQuotes(value) {
+  if (value.length < 2) {
+    return value;
+  }
+
+  const first = value.at(0);
+  const last = value.at(-1);
+  return (first === '"' && last === '"') || (first === "'" && last === "'")
+    ? value.slice(1, -1)
+    : value;
+}
+
 function collectInstructionFiles(skillDirs) {
   const files = [agentsPath];
   for (const dir of skillDirs) {
@@ -55,7 +71,10 @@ function reportMatches(text, regex) {
 }
 
 function escapeRegExp(value) {
-  return value.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
+  const specialCharacters = new Set(['.', '*', '+', '?', '^', '$', '{', '}', '(', ')', '|', '[', ']', '\\']);
+  return Array.from(value, (character) =>
+    specialCharacters.has(character) ? `\\${character}` : character
+  ).join('');
 }
 
 if (!exists(agentsPath)) {

src/features/shared/x01-player-surface-adapter.js

@@ -146,7 +146,7 @@ export function getX01PlayerSurfaceSnapshot(documentRef) {
   return {
     playerDisplayRoot,
     playerCards,
-    players: playerCards.map(toPlayerEntry),
+    players: playerCards.map((node, index) => toPlayerEntry(node, index)),
     source: X01_PLAYER_SURFACE_SOURCE_TOOLS,
   };
 }