📦

api-spectral

Name: api-spectral
Author: AgentSecOps

v0.1.0 مراجعة المحتوى r2 حرج ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة⚡ يحتوي على سكربتات

التحقق من مواصفات API باستخدام Spectral

تحتاج فرق API إلى فحوصات أمان متسقة قبل التنفيذ والإصدار. ترشد هذه المهارة إلى فحص Spectral، وربط قواعد OWASP API، وسير عمل التحقق في CI.

يدعم: Claude Codex Code(CC)

⚠️ 38 ضعيف

لا تثبّت هذا Skill تلقائيًا.

تتطلب السياسة المعتمدة مراجعة المشغّل قبل أي إجراء تثبيت.

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل

Review the Skillstore skill "api-spectral" from https://skillstore.io/skills/agentsecops-api-spectral.md and its manifest at https://skillstore.io/api/skills/agentsecops-api-spectral/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/agentsecops-api-spectral.md manifest موقَّع GET /api/skills/agentsecops-api-spectral/manifest lockfile موقَّع GET /api/skills/agentsecops-api-spectral/lockfile

اختبرها

جارٍ استخدام "api-spectral". يحتوي ملف OpenAPI للدفع على endpoints عامة ومتطلبات أمان مفقودة.

النتيجة المتوقعة:

تسلط المراجعة الضوء على العمليات غير المصادق عليها، وغياب إنفاذ HTTPS، والقواعد اللازمة للتحقق من حقول الاستجابة الحساسة.

جارٍ استخدام "api-spectral". يريد فريق إضافة فحوصات Spectral إلى pull requests.

النتيجة المتوقعة:

تفصل خطة سير العمل بين خطوات التثبيت والفحص والتقرير والفشل، مع حد خطورة موصى به للطرح.

جارٍ استخدام "api-spectral". تحتاج مؤسسة إلى قواعد مخصصة لحوكمة API.

النتيجة المتوقعة:

تحدد الإرشادات أسماء القواعد، ومستويات الخطورة، وربط OWASP، وحالات الاختبار، ورسائل المعالجة لاعتماد متسق.

التدقيق الأمني

حرج

v9 • ٢٣‏/٧‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

Most alerts are false positives caused by Markdown, defensive examples, fixed local file reads, or reference URLs. Confirmed risks include unverified remote downloads, mutable CI dependencies, token exposure, and fail-open scanner steps. These supply-chain and enforcement weaknesses require remediation before publication.

الملفات التي تم فحصها

3,749

الأسطر التي تم تحليلها

عناصر المراجعة

تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (3)

حرج

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The template pipes an unverified installer from a mutable upstream branch directly into bash. This creates a direct supply-chain remote code execution path in CI.

مرتفع

assets/ci-config-template.yml:54-58 assets/ci-config-template.yml:161-164 assets/ci-config-template.yml:196-199 assets/github-actions-template.yml:37-38

Unpinned CI dependencies execute mutable upstream code

The templates install unversioned packages and run actions from mutable tags, including a master branch. Upstream compromise can change code executed by CI.

The files directly show unversioned package installation, mutable action tags, and aquasecurity/trivy-action@master in executable workflow steps.

مرتفع

assets/ci-config-template.yml:125-139 assets/ci-config-template.yml:228-255 assets/github-actions-template.yml:43-58

Security pipeline can pass after scanner failures

Several scanner commands suppress failures, while later checks omit or only warn on some results. Tool errors and detected vulnerabilities can leave the workflow successful.

The templates explicitly use continue-on-error or || true, and the npm audit output is not included in the dependency failure check.

عناصر مراجعة القدرات (4)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

حرج

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The mutable upstream URL supplies an installer directly to bash on the same line. A compromised branch or connection can produce arbitrary CI code execution.

مرتفع

assets/ci-config-template.yml:164

Git platform tokens

GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

The workflow gives GITHUB_TOKEN to a third-party action referenced by a mutable version tag. Compromise of that action could misuse the workflow's repository permissions.

مرتفع

assets/github-actions-template.yml:66

Hardcoded URL

https://raw.githubusercontent.com/SecOpsAgentKit/skills/main/appsec/api-spectral/scripts/parse_spect

The workflow downloads a Python script from a mutable main branch and executes it on line 70 without a digest or signature check. Upstream compromise would execute in CI.

مرتفع

assets/github-actions-template.yml:165

Hardcoded URL

https://raw.githubusercontent.com/SecOpsAgentKit/skills/main/appsec/api-spectral/assets/spectral-owa

The workflow downloads a Spectral ruleset from a mutable main branch and immediately consumes it. Malicious upstream changes could alter validation or load unsafe rule behavior.

عوامل الخطر

⚙️ الأوامر الخارجية (50)

🌐 الوصول إلى الشبكة (25)

📁 الوصول إلى نظام الملفات (9)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 assets/github-actions-template.yml:104 assets/github-actions-template.yml:103 assets/github-actions-template.yml:104 assets/github-actions-template.yml:128 references/custom_rules_guide.md:420 SKILL.md:365 SKILL.md:370

🔑 متغيرات البيئة (23)

⚡ يحتوي على سكربتات (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

الأنماط المكتشفة

Pipe to shell pattern

دقّقه: codex عرض سجل التدقيق →

شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار

نسخ رابط التقرير

https://skillstore.io/skills/agentsecops-api-spectral/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-api-spectral/security.svg)](https://skillstore.io/skills/agentsecops-api-spectral?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/agentsecops-api-spectral?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-api-spectral/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/agentsecops-api-spectral.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

AgentSecOps. (2026). api-spectral security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-api-spectral/audits/9

اقتباس BibTeX

@techreport{agentsecops-agentsecops-api-spectral-2026,
  author = {AgentSecOps},
  title = {api-spectral security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-api-spectral/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "api-spectral security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-api-spectral/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-api-spectral:audit:9"
    description: "Skillstore immutable audit report identifier"

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط

الهندسة المعمارية

100

قابلية الصيانة

المحتوى

المجتمع

الامتثال للمواصفات

ما الذي يمكنك بناؤه

توحيد فحوصات تصميم API

أنشئ قواعد Spectral مشتركة لكي تتبع الفرق متطلبات الأمان والحوكمة نفسها.

مراجعة الأمان قبل الدمج

استخدم قواعد OWASP API لمراجعة تغييرات OpenAPI وتحديد أولويات نتائج التصميم عالية المخاطر.

إضافة فحص API في CI

كيّف قوالب سير العمل لتشغيل فحوصات Spectral ونشر ملاحظات المراجعة في pull requests.

جرّب هذه الموجّهات

فحص مواصفة API واحدة

راجع مواصفة OpenAPI الخاصة بي باستخدام قواعد أمان Spectral. اسرد المشكلات الأعلى أولوية واشرح كل إصلاح بعبارات بسيطة.

إنشاء قواعد OWASP

ساعدني في إنشاء مجموعة قواعد Spectral لمخاطر OWASP API Security Top 10. ركّز على المصادقة وHTTPS والبيانات الحساسة وSSRF.

ضبط إنفاذ CI

صمم سير عمل CI لفحص Spectral API. ابدأ بالتحذيرات، ثم انتقل إلى حظر النتائج الأمنية ذات مستوى الخطأ.

حوكمة محفظة API

خطط لعملية حوكمة Spectral لعدد كبير من مواصفات API. ضمّن ملكية القواعد، ومعالجة الاستثناءات، والتقارير، وتتبع المعالجة.

أفضل الممارسات

ثبّت إصدارات الأدوات وراجع أذونات سير العمل قبل استخدام قوالب CI.
ابدأ بقواعد أمان عالية الثقة، ثم وسّع التغطية بعد مراجعة النتائج الإيجابية الكاذبة.
اربط كل قاعدة مخصصة بمخاطر واضحة، ومالك، ومسار معالجة.

تجنب

لا تحظر عمليات البناء عند كل تحذير قبل أن تفهم الفرق النتائج.
لا تُضمّن بيانات اعتماد حقيقية أو أسماء مضيفين داخلية أو أمثلة حساسة في مواصفات API.
لا تنسخ خطوات التنزيل البعيد إلى CI دون تثبيت الإصدارات وفحوصات السلامة.

الأسئلة المتكررة

هل تشغّل هذه المهارة Spectral تلقائيًا؟

لا. توفر إرشادات ومجموعات قواعد وقوالب سير عمل. أنت تشغّل Spectral في بيئتك.

ما تنسيقات API التي تتم تغطيتها؟

تغطي الإرشادات OpenAPI وAsyncAPI وArazzo حيث يدعم Spectral هذه التنسيقات.

هل يمكنني استخدامها مع Claude وCodex وClaude Code؟

نعم. تدرج بيانات marketplace الوصفية Claude وCodex وClaude Code كأدوات مدعومة.

هل قواعد OWASP مكتملة؟

توفر نقطة بداية عملية. يجب عليك ضبط القواعد لتناسب بنية API ونموذج المخاطر لديك.

هل يمكن استخدام قوالب CI كما هي؟

راجعها أولًا. ثبّت الإصدارات، وأزل التنزيلات غير اللازمة، وقيّد نطاق الرموز قبل استخدامها في الإنتاج.

هل ستجد Spectral كل ثغرة في API؟

لا. تتحقق Spectral من أنماط المواصفات. لا تزال اختبارات وقت التشغيل، ونمذجة التهديدات، ومراجعة الكود مطلوبة.

تفاصيل المطور

المؤلف

AgentSecOps

الترخيص

MIT

إصدار المؤلف

v0.1.0

مراجعة Skillstore

المستودع

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/api-spectral

مرجع

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

حداثة الصيانة

٢٩‏/٧‏/٢٠٢٦

الاستخدام

5 تنزيلات · 463 مشاهدات

بنية الملفات

📁 assets/

📄 .gitkeep

📄 ci-config-template.yml

📄 github-actions-template.yml

📄 rule-template.yaml

📄 spectral-owasp.yaml

📁 references/

📄 custom_rules_guide.md

📄 EXAMPLE.md

📄 owasp_api_mappings.md

📄 WORKFLOW_CHECKLIST.md

📄 SKILL.md

api-spectral

التثبيت باستخدام Agent لدي

موارد مهيّأة لـ Agents

اختبرها

التدقيق الأمني

مخاوف أمنية مؤكدة (3)

عوامل الخطر

الأنماط المكتشفة

نسخ رابط التقرير

شارة Markdown

شارة HTML

بطاقة قابلة للتضمين

اقتباس APA

اقتباس BibTeX

CITATION.cff

تقييم Skillstore

ما الذي يمكنك بناؤه

توحيد فحوصات تصميم API

مراجعة الأمان قبل الدمج

إضافة فحص API في CI

جرّب هذه الموجّهات

أفضل الممارسات

تجنب

الأسئلة المتكررة

تفاصيل المطور

المزيد من AgentSecOps

pytm

container-hadolint

dast-nuclei

sast-semgrep

sca-trivy

dast-zap

global-validation

auth-handler

backend-security-coder

security-review

api-security-testing

api-designer

api-spectral

التثبيت باستخدام Agent لدي

موارد مهيّأة لـ Agents

اختبرها

التدقيق الأمني

مخاوف أمنية مؤكدة (3)

عوامل الخطر

الأنماط المكتشفة

نسخ رابط التقرير

شارة Markdown

شارة HTML

بطاقة قابلة للتضمين

اقتباس APA

اقتباس BibTeX

CITATION.cff

تقييم Skillstore

ما الذي يمكنك بناؤه

توحيد فحوصات تصميم API

مراجعة الأمان قبل الدمج

إضافة فحص API في CI

جرّب هذه الموجّهات

أفضل الممارسات

تجنب

الأسئلة المتكررة

تفاصيل المطور

المزيد من AgentSecOps

pytm

container-hadolint

dast-nuclei

sast-semgrep

sca-trivy

dast-zap

مهارات ذات صلة

global-validation

auth-handler

backend-security-coder

security-review

api-security-testing

api-designer