المهارات deep-research
📦
deep-research
v3.1.0 مراجعة المحتوى r1 مخاطر عالية ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة
ابحث في المواضيع المعقدة باستخدام Dify
غالبا ما تتطلب أسئلة البرمجة المعقدة مصادر حديثة وسياق تنفيذ. ترسل هذه المهارة الموضوع إلى سير عمل Dify وتعيد دليلا بحثيا منظما.
يدعم: Claude Codex Code(CC)
توقف واطلب التأكيد قبل التثبيت.
راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.
التثبيت باستخدام Agent لدي
انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.
طلب الوكيل
Review the Skillstore skill "deep-research" from https://skillstore.io/skills/21pounder-deep-research.md and its manifest at https://skillstore.io/api/skills/21pounder-deep-research/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.
موارد مهيّأة لـ Agents
استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.
اختبرها
جارٍ استخدام "deep-research". Research OAuth2 login for a Next.js app.
النتيجة المتوقعة:
- ملخص المهمة مع القرارات الرئيسية.
- تدفق المصادقة الموصى به.
- دليل تنفيذ مع خطوات التحقق.
جارٍ استخدام "deep-research". Compare Prisma and Drizzle for a PostgreSQL service.
النتيجة المتوقعة:
موجز مقارنة يغطي سير عمل المخطط، وأسلوب الاستعلام، ودعم الترحيل، ونضج النظام البيئي، ومعايير القرار.
جارٍ استخدام "deep-research". Research real-time notifications for a React and Node.js product.
النتيجة المتوقعة:
تقرير بحثي يتضمن خيارات النقل، وملاحظات التبعيات، وتسلسل التنفيذ، والمشكلات الشائعة، ومراجع المصادر.
التدقيق الأمني
مخاطر عاليةv7 • ٤/٧/٢٠٢٦ فتح التقرير المرتبط بالإصدار
Most TypeScript template-literal and Markdown code-fence detections are false positives for shell execution. Confirmed risks remain around implicit .env loading from parent directories, outbound Dify network calls, configurable endpoints receiving bearer tokens, and instructions that may execute remote workflow guidance locally. No prompt injection attempt was found in the reviewed files.
2
الملفات التي تم فحصها
444
الأسطر التي تم تحليلها
18
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة
مخاوف أمنية مؤكدة (12)
مرتفع
Environment file access
// 自动加载 .env 文件(从脚本目录向上查找)
The code and comments show automatic .env loading from multiple locations, including parent and current working directories. That can read sensitive local configuration implicitly.
مرتفع
Environment file access
// 尝试多个位置加载 .env
The code and comments show automatic .env loading from multiple locations, including parent and current working directories. That can read sensitive local configuration implicitly.
مرتفع
Environment file access
path.resolve(__dirname, "../../../../.env"), // deepresearch/.env
The code and comments show automatic .env loading from multiple locations, including parent and current working directories. That can read sensitive local configuration implicitly.
مرتفع
Environment file access
path.resolve(__dirname, "../../../.env"), // skills/.env
The code and comments show automatic .env loading from multiple locations, including parent and current working directories. That can read sensitive local configuration implicitly.
مرتفع
Environment file access
path.resolve(process.cwd(), ".env"), // 当前工作目录
The code and comments show automatic .env loading from multiple locations, including parent and current working directories. That can read sensitive local configuration implicitly.
مرتفع
Environment file access
baseUrl: config.baseUrl || process.env.DIFY_BASE_URL || "https://api.dify.ai/v1",
Because dotenv has already loaded .env files, this value can come from local environment files and controls the outbound API endpoint.
مرتفع
Environment file access
apiKey: config.apiKey || process.env.DIFY_API_KEY || "",
The client reads DIFY_API_KEY from environment data that may be loaded from .env files. It is a secret used for outbound authorization.
مرتفع
Environment file access
1. The script automatically loads `.env` from the project root (no manual env setup needed)
The documentation confirms the script automatically loads .env from the project root and expects DIFY_API_KEY there. That supports implicit sensitive file access.
عرض جميع النتائج المؤكدة البالغة 12
مرتفع
Environment file access
2. If still failing, check that `.env` contains `DIFY_API_KEY` and `DIFY_BASE_URL`
The documentation confirms the script automatically loads .env from the project root and expects DIFY_API_KEY there. That supports implicit sensitive file access.
مرتفع
Untrusted Remote Workflow Can Drive Local Changes
The skill delegates research to a Dify workflow and then tells users to install dependencies, create files, modify files, set environment variables, and run verification commands from the returned guide. Treating remote workflow output as implementation instructions can lead to unsafe local changes if the workflow or response is compromised.
SKILL.md explicitly directs users to act on the generated guide, and the client accepts guide output from the remote workflow. This is a clear trust boundary risk.
مرتفع
Configurable API Endpoint Receives Bearer Token
DIFY_BASE_URL can override the default endpoint, and the request includes an Authorization bearer token. A malicious or accidental endpoint override could receive the Dify API key.
The endpoint is environment configurable and the same request sends the API key in an Authorization header. The risk follows directly from these adjacent behaviors.
متوسط
Sensitive Research Context Sent to External Service
The client sends coding_task, tech_stack, and max_iterations to the configured Dify workflow endpoint. Research prompts may include proprietary project details, so the skill needs clear disclosure and consent before transmission.
The request body includes the user task and stack, and the skill description states that research is delegated to Dify. The data transfer is intentional but sensitive.
عناصر مراجعة القدرات (18)
هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.
مرتفع
Path resolve with ..
path.resolve(__dirname, "../../../../.env"), // deepresearch/.env
The path walks upward from the script directory to locate parent .env files. Auto-loading secrets outside the skill directory is risky and can surprise users.
مرتفع
Path resolve with ..
path.resolve(__dirname, "../../../.env"), // skills/.env
The path walks upward from the script directory to locate parent .env files. Auto-loading secrets outside the skill directory is risky and can surprise users.
مرتفع
Path traversal sequence
path.resolve(__dirname, "../../../../.env"), // deepresearch/.env
The path walks upward from the script directory to locate parent .env files. Auto-loading secrets outside the skill directory is risky and can surprise users.
مرتفع
Path traversal sequence
path.resolve(__dirname, "../../../.env"), // skills/.env
The path walks upward from the script directory to locate parent .env files. Auto-loading secrets outside the skill directory is risky and can surprise users.
مرتفع
Hidden file access
path.resolve(__dirname, "../../../../.env"), // deepresearch/.env
The path walks upward from the script directory to locate parent .env files. Auto-loading secrets outside the skill directory is risky and can surprise users.
مرتفع
Hidden file access
path.resolve(__dirname, "../../../.env"), // skills/.env
The path walks upward from the script directory to locate parent .env files. Auto-loading secrets outside the skill directory is risky and can surprise users.
مرتفع
Environment variable access (dot notation)
apiKey: config.apiKey || process.env.DIFY_API_KEY || "",
The client reads DIFY_API_KEY from the environment and later uses it as a bearer token. This is legitimate configuration but handles a secret.
مرتفع
Environment variable object
apiKey: config.apiKey || process.env.DIFY_API_KEY || "",
The client reads DIFY_API_KEY from the environment and later uses it as a bearer token. This is legitimate configuration but handles a secret.
مرتفع
dotenv library
const result = dotenv.config({ path: envPath });
dotenv.config loads .env files from configured paths, including parent and current working directories. That can import local secrets without explicit per-run selection.
مرتفع
Generic API/secret keys
apiKey: config.apiKey || process.env.DIFY_API_KEY || "",
The code reads DIFY_API_KEY from the environment and uses it for API authorization. Handling this secret is a real risk if endpoint validation is weak.
متوسط
Fetch API call
const response = await fetch(`${this.config.baseUrl}/workflows/run`, {
The client posts to the configured Dify workflow endpoint and sends research task details. This is intended network egress that can expose project context.
متوسط
Hardcoded URL
baseUrl: config.baseUrl || process.env.DIFY_BASE_URL || "https://api.dify.ai/v1",
The code defaults to https://api.dify.ai/v1 and allows DIFY_BASE_URL override. This defines an outbound service endpoint for the skill.
متوسط
Environment variable access (dot notation)
baseUrl: config.baseUrl || process.env.DIFY_BASE_URL || "https://api.dify.ai/v1",
DIFY_BASE_URL is read from the environment and controls the outbound endpoint. Combined with bearer authorization, endpoint overrides need validation.
متوسط
Environment variable object
baseUrl: config.baseUrl || process.env.DIFY_BASE_URL || "https://api.dify.ai/v1",
DIFY_BASE_URL is read from the environment and controls the outbound endpoint. Combined with bearer authorization, endpoint overrides need validation.
متوسط
Ruby/shell backtick execution
Use `Bash` to run the script with `npx tsx`:
The skill explicitly tells the assistant to use Bash with npx tsx to run the client script. That is intentional external command execution and should require user review.
متوسط
Ruby/shell backtick execution
```bash
The fenced command invokes npx tsx with user-supplied task text. It executes local tooling and may resolve packages at runtime.
متوسط
Ruby/shell backtick execution
```bash
The example commands invoke npx tsx for research tasks. This is external command execution even though the examples are documented.
متوسط
Ruby/shell backtick execution
- `guide`: Complete implementation guide with:
This section tells users to follow generated dependency installation and verification commands from the workflow guide. That can lead to executing commands supplied by a remote workflow.
عوامل الخطر
⚙️ الأوامر الخارجية (32)
scripts/dify-client.ts:20 scripts/dify-client.ts:114 scripts/dify-client.ts:115 scripts/dify-client.ts:116 scripts/dify-client.ts:117 scripts/dify-client.ts:118 scripts/dify-client.ts:124 scripts/dify-client.ts:127 scripts/dify-client.ts:143 scripts/dify-client.ts:146 scripts/dify-client.ts:162 scripts/dify-client.ts:196 scripts/dify-client.ts:198 scripts/dify-client.ts:203 scripts/dify-client.ts:213 scripts/dify-client.ts:235 scripts/dify-client.ts:238 scripts/dify-client.ts:249 SKILL.md:24-46 SKILL.md:46-51 SKILL.md:51-52 SKILL.md:52-55 SKILL.md:55 SKILL.md:57-59 SKILL.md:59-62 SKILL.md:62-71 SKILL.md:71-75 SKILL.md:75-76 SKILL.md:76-97 SKILL.md:97-98 SKILL.md:98 SKILL.md:103-115
🌐 الوصول إلى الشبكة (3)
📁 الوصول إلى نظام الملفات (6)
🔑 متغيرات البيئة (17)
scripts/dify-client.ts:95 scripts/dify-client.ts:96 scripts/dify-client.ts:97 scripts/dify-client.ts:291 scripts/dify-client.ts:95 scripts/dify-client.ts:96 scripts/dify-client.ts:97 scripts/dify-client.ts:291 scripts/dify-client.ts:4 scripts/dify-client.ts:18 scripts/dify-client.ts:96 scripts/dify-client.ts:101 scripts/dify-client.ts:285 scripts/dify-client.ts:291 scripts/dify-client.ts:292 scripts/dify-client.ts:293 SKILL.md:98
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير
شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.
نسخ رابط التقرير
https://skillstore.io/skills/21pounder-deep-research/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportشارة Markdown
[](https://skillstore.io/skills/21pounder-deep-research?utm_source=security_passport_badge)شارة HTML
<a href="https://skillstore.io/skills/21pounder-deep-research?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/21pounder-deep-research/security.svg" alt="Skillstore security assessment" loading="lazy"></a>بطاقة قابلة للتضمين
<iframe src="https://skillstore.io/embed/skills/21pounder-deep-research.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>الاستشهادات الأكاديمية (APA · BibTeX · CFF)
اقتباس APA
21pounder. (2026). deep-research security audit report (audit version 7) [Author version 3.1.0]. Skillstore. https://skillstore.io/skills/21pounder-deep-research/audits/7اقتباس BibTeX
@techreport{21pounder-21pounder-deep-research-2026,
author = {21pounder},
title = {deep-research security audit report (audit version 7)},
institution = {Skillstore},
year = {2026},
number = {7},
url = {https://skillstore.io/skills/21pounder-deep-research/audits/7},
note = {Author version 3.1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "deep-research security audit report (audit version 7)"
version: "3.1.0"
type: report
authors:
- name: "21pounder"
date-released: "2026-07-04"
url: "https://skillstore.io/skills/21pounder-deep-research/audits/7"
identifiers:
- type: other
value: "skillstore:21pounder-deep-research:audit:7"
description: "Skillstore immutable audit report identifier"
مقارنة المتغيرات
5 متغيرات قابلة للتثبيتتبقى مهارة كل مؤلف عنصراً مستقلاً قابلاً للتثبيت. يُرتب المتغير الموصى به وفق أدلة Skillstore.
سبب تصدر هذا المتغير
أعلى تقييم في Skillstore
المؤلف / المصدر تقييم Skillstore موثوقية الأدلة استخدام Skillstore تم التحديث
shubhamsaboo موصى به
shubhamsaboo-deep-research
تقييم Skillstore 80
موثوقية الأدلة متوسط
استخدام Skillstore 21
تم التحديث
2026-09-09
sickn33-deep-research
تقييم Skillstore 78
موثوقية الأدلة مرتفع
استخدام Skillstore 21
تم التحديث
2026-09-09
199-biotechnologies-deep-research
تقييم Skillstore 69
موثوقية الأدلة مرتفع
استخدام Skillstore 167
تم التحديث
2026-09-09
21pounder الحالي
21pounder-deep-research
تقييم Skillstore 38
موثوقية الأدلة متوسط
استخدام Skillstore 25
تم التحديث
2026-09-09
lumacoder-deep-research
تقييم Skillstore 38
موثوقية الأدلة متوسط
استخدام Skillstore 11
تم التحديث
2026-09-09
تقييم Skillstore
سبب هذا التقييم موثوقية الأدلة: متوسط 45
الهندسة المعمارية
100
قابلية الصيانة
87
المحتوى
70
المجتمع
91
الامتثال للمواصفات
ما الذي يمكنك بناؤه
تقييم API جديد
ابحث في نقاط النهاية والأمثلة واعتبارات التكامل قبل بدء أعمال التنفيذ.
مقارنة الخيارات التقنية
اجمع المفاضلات وملاحظات النظام البيئي والتوصيات المدعومة بالمصادر لقرارات البنية.
إعداد ملاحظات التنفيذ
حول مهمة معقدة إلى تحليل وتبعيات وتغييرات ملفات وخطوات تحقق.
جرّب هذه الموجّهات
البحث عن مكتبة
Research how to use [library] for [task]. Use [tech stack] and depth 2.
تخطيط تكامل
Research how to integrate [service or API] into [project stack]. Include setup needs, risks, and verification steps.
مقارنة النهج
Compare [approach A] and [approach B] for [project goal]. Focus on maintainability, performance, security, and migration effort.
إنشاء موجز بحثي
Research [complex task] for [stack]. Include architecture choices, dependencies, risks, migration steps, verification, and source priorities. Use depth 5.
أفضل الممارسات
- راجع نقطة نهاية Dify ومفتاح API قبل تشغيل المهارة.
- أزل الأسرار وبيانات العملاء من مطالبات البحث.
- تعامل مع خطوات التثبيت والتحقق المولدة كتوصيات إلى أن تتم مراجعتها.
تجنب
- لا ترسل كودا مصدريا مملوكا أو بيانات اعتماد كمدخلات بحث.
- لا تشغل الأوامر المولدة دون التحقق من أسماء الحزم والوسوم.
- لا تعتمد على التقرير كمصدر وحيد لقرارات الأمان.
الأسئلة المتكررة
ما الذي تبحثه هذه المهارة؟
تبحث في مهام البرمجة وواجهات API والمكتبات وخيارات التنفيذ وأفضل الممارسات التقنية من خلال سير عمل Dify.
هل تتطلب وصولا خارجيا إلى الشبكة؟
نعم. ترسل طلب البحث إلى نقطة نهاية Dify API المكونة.
ما بيانات الاعتماد المطلوبة؟
يتطلب العميل DIFY_API_KEY. يمكن أيضا تكوين DIFY_BASE_URL وDIFY_WORKFLOW_ID.
هل يمكنها تغيير الملفات المحلية؟
يعيد السكربت إرشادات فقط. يجب على المستخدمين مراجعة أي تغييرات ملفات مقترحة قبل تطبيقها.
هل المخرجات مدعومة بالمصادر؟
صمم سير العمل للبحث في التوثيق والدروس والأوراق البحثية والأمثلة، لكن جودة المصادر تعتمد على سير عمل Dify.
هل ينبغي أن أدرج كودا خاصا في المطالبات؟
لا. أزل الأسرار وبيانات العملاء والكود المملوك قبل إرسال مطالبات البحث إلى خدمة خارجية.
تفاصيل المطور
المؤلف
21pounderالترخيص
MIT
إصدار المؤلف
v3.1.0
مراجعة Skillstore
r1
المستودع
https://github.com/21pounder/terminalAgent/tree/main/deepresearch/.claude/skills/deep-researchمرجع
e9e4712298ed071d92417a41714be123eb8364fa
حداثة الصيانة
٢٣/٧/٢٠٢٦
الاستخدام
22 تنزيلات · 213 مشاهدات
بنية الملفات