المهارات Plugin Settings
📦

Plugin Settings

v0.1.0 مراجعة المحتوى r1 مخاطر عالية ⚙️ الأوامر الخارجية📁 الوصول إلى نظام الملفات

تكوين إعدادات إضافة Claude Code

يحتاج مؤلفو الإضافات إلى طريقة بسيطة لتخزين إعدادات خاصة بالمشروع دون تثبيت تكوينات خاصة في المستودع. تشرح هذه المهارة نمطا محليا لإعدادات Markdown مع frontmatter، والتحقق، والأمثلة، والسكربتات المساعدة.

يدعم: Claude Codex Code(CC)
⚠️ 38 ضعيف

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل
Review the Skillstore skill "Plugin Settings" from https://skillstore.io/skills/davila7-plugin-settings.md and its manifest at https://skillstore.io/api/skills/davila7-plugin-settings/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/davila7-plugin-settings.md manifest موقَّع GET /api/skills/davila7-plugin-settings/manifest lockfile موقَّع GET /api/skills/davila7-plugin-settings/lockfile

اختبرها

جارٍ استخدام "Plugin Settings". أحتاج إلى إعدادات محلية لإضافة يمكن تفعيلها أو تعطيلها لكل مشروع.

النتيجة المتوقعة:

تخطيط موصى به لملف إعدادات إضافة .claude، وقيم افتراضية، وإدخال gitignore، وتعليمات إعادة التشغيل.

جارٍ استخدام "Plugin Settings". يحتاج الخطاف لدي إلى رفض عمليات الكتابة التي تتجاوز حد حجم مضبوطا.

النتيجة المتوقعة:

خطة تحليل تقرأ max_file_size، وتتحقق منه كرقم، وتطبق قيمة افتراضية آمنة، وترفض عمليات الكتابة كبيرة الحجم.

جارٍ استخدام "Plugin Settings". أريد لسير عمل وكيل أن يحتفظ بحالة التكرار في ملف محلي.

النتيجة المتوقعة:

تصميم ملف حالة يتضمن عدادات، ومعايير إكمال، وتحديثات ذرية، وتحذيرات حول محتوى المطالبة الموثوق.

التدقيق الأمني

مخاطر عالية
v9 • ١٩‏/٧‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

Most static alerts are false positives caused by Markdown backticks, documented shell examples, error redirection, and deny-list checks. Confirmed issues include command injection in parse-frontmatter.sh and unvalidated Bash arithmetic in documented settings flows. Two medium guidance flaws permit YAML or JSON structure injection; no prompt-injection or exfiltration intent was found.

8
الملفات التي تم فحصها
1,978
الأسطر التي تم تحليلها
3
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (3)

مرتفع
references/real-world-examples.md:171-176
Unvalidated Settings Reach Bash Arithmetic
MAX_ITERATIONS is parsed from frontmatter and used in an arithmetic test without numeric validation, allowing crafted expressions to execute command substitutions.
The documented data flow is direct: a frontmatter string enters Bash arithmetic without an allowlist. Bash recursively evaluates crafted arithmetic expressions.
متوسط
SKILL.md:389-400
Incomplete YAML Serialization
The recommended writer escapes only double quotes before placing user input in YAML. Newlines and document markers can inject fields or Markdown instructions.
The example directly places partially escaped USER_INPUT into a YAML heredoc. It does not reject newlines, backslashes, control characters, or document markers.
متوسط
references/parsing-techniques.md:121-140
Manual JSON Construction Permits Property Injection
One prompt example inserts Markdown body text directly into JSON. Crafted content can add duplicate hook properties before jq parses the object.
The first example concatenates PROMPT into JSON without encoding. The following safer jq --arg example confirms that structured escaping is required.
عناصر مراجعة القدرات (3)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

مرتفع
references/parsing-techniques.md:216
Shell command substitution
NEXT=$((CURRENT + 1))
CURRENT comes from an unvalidated settings value and is evaluated by Bash arithmetic expansion. Crafted arithmetic expressions can trigger command substitution under the user's account.
مرتفع
references/real-world-examples.md:198
Shell command substitution
NEXT_ITERATION=$((ITERATION + 1))
ITERATION is parsed from local frontmatter and used in Bash arithmetic without numeric validation. A crafted arithmetic expression can execute command substitution under the user's account.
مرتفع
scripts/parse-frontmatter.sh:51
Shell command substitution
VALUE=$(echo "$FRONTMATTER" | grep "^${FIELD}:" | sed "s/${FIELD}: *//" | sed 's/^"\(.*\)"$/\1/' | s
The CLI-controlled FIELD value is interpolated into grep and sed programs without validation. Crafted field syntax can inject a GNU sed e command and execute arbitrary shell commands.

عوامل الخطر

⚙️ الأوامر الخارجية (50)
examples/example-settings.md:126 examples/example-settings.md:127 examples/read-settings-hook.sh:17 examples/read-settings-hook.sh:20 examples/read-settings-hook.sh:21 examples/read-settings-hook.sh:22 examples/read-settings-hook.sh:30 examples/read-settings-hook.sh:31 examples/read-settings-hook.sh:55 examples/read-settings-hook.sh:1 references/parsing-techniques.md:33 references/parsing-techniques.md:46 references/parsing-techniques.md:49 references/parsing-techniques.md:54 references/parsing-techniques.md:64 references/parsing-techniques.md:78 references/parsing-techniques.md:93 references/parsing-techniques.md:111 references/parsing-techniques.md:125 references/parsing-techniques.md:134 references/parsing-techniques.md:148 references/parsing-techniques.md:159 references/parsing-techniques.md:174 references/parsing-techniques.md:215 references/parsing-techniques.md:216 references/parsing-techniques.md:260 references/parsing-techniques.md:271 references/parsing-techniques.md:287 references/parsing-techniques.md:316 references/parsing-techniques.md:350 references/parsing-techniques.md:372 references/parsing-techniques.md:385 references/parsing-techniques.md:388 references/parsing-techniques.md:389 references/parsing-techniques.md:390 references/parsing-techniques.md:401 references/parsing-techniques.md:404 references/parsing-techniques.md:429 references/parsing-techniques.md:433 references/parsing-techniques.md:461 references/parsing-techniques.md:464 references/parsing-techniques.md:465 references/parsing-techniques.md:466 references/parsing-techniques.md:503 references/parsing-techniques.md:506 references/parsing-techniques.md:509 references/parsing-techniques.md:512 references/parsing-techniques.md:29 references/parsing-techniques.md:106 references/parsing-techniques.md:197
📁 الوصول إلى نظام الملفات (7)
examples/read-settings-hook.sh:47 references/parsing-techniques.md:93 references/parsing-techniques.md:260 references/real-world-examples.md:101 references/real-world-examples.md:336 references/real-world-examples.md:79 scripts/validate-settings.sh:41
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار
تقييم الأمان

نسخ رابط التقرير

https://skillstore.io/skills/davila7-plugin-settings/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/davila7-plugin-settings/security.svg)](https://skillstore.io/skills/davila7-plugin-settings?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/davila7-plugin-settings?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/davila7-plugin-settings/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/davila7-plugin-settings.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

davila7. (2026). Plugin Settings security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/davila7-plugin-settings/audits/9

اقتباس BibTeX

@techreport{davila7-davila7-plugin-settings-2026, author = {davila7}, title = {Plugin Settings security audit report (audit version 9)}, institution = {Skillstore}, year = {2026}, number = {9}, url = {https://skillstore.io/skills/davila7-plugin-settings/audits/9}, note = {Author version 0.1.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "Plugin Settings security audit report (audit version 9)" version: "0.1.0" type: report authors: - name: "davila7" date-released: "2026-07-19" url: "https://skillstore.io/skills/davila7-plugin-settings/audits/9" identifiers: - type: other value: "skillstore:davila7-plugin-settings:audit:9" description: "Skillstore immutable audit report identifier"

مقارنة المتغيرات

3 متغيرات قابلة للتثبيت

تبقى مهارة كل مؤلف عنصراً مستقلاً قابلاً للتثبيت. يُرتب المتغير الموصى به وفق أدلة Skillstore.

سبب تصدر هذا المتغير

أعلى تقييم في Skillstore
anthropics موصى به

plugin-settings

تقييم Skillstore 81
موثوقية الأدلة مرتفع
استخدام Skillstore 10
تم التحديث

2026-09-09

anthropics

anthropics-plugin-settings

تقييم Skillstore 38
موثوقية الأدلة متوسط
استخدام Skillstore 16
تم التحديث

2026-09-09

davila7 الحالي

davila7-plugin-settings

تقييم Skillstore 38
موثوقية الأدلة متوسط
استخدام Skillstore 12
تم التحديث

2026-09-09

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط
64
الهندسة المعمارية
100
قابلية الصيانة
87
المحتوى
70
المجتمع
70
الامتثال للمواصفات

ما الذي يمكنك بناؤه

إضافة إعدادات مشروع إلى إضافة

عرّف تنسيق ملف إعدادات محلي، ووثق القيم الافتراضية، واقرأ الخيارات البسيطة من الخطافات أو الأوامر.

التحقق من ملفات التكوين المحلية

تحقق من بنية frontmatter، والعلامات المطلوبة، والحقول المنطقية، ووجود نص Markdown قبل الاعتماد على الإعدادات.

تنسيق حالة الوكيل

خزّن حالة مهام خفيفة، وأسماء المنسقين، وعدادات التكرار في ملف محلي خاص بالمشروع.

جرّب هذه الموجّهات

إنشاء إعدادات أساسية 
أنشئ نمط ملف إعدادات محلي بسيطا لإضافتي في Claude Code. ضمّن enabled وmode والقيم الافتراضية وإرشادات إعادة التشغيل.
إضافة تحليل الخطاف 
ساعدني في إضافة تحليل آمن لـ frontmatter إلى خطاف Claude Code يقرأ enabled وstrict_mode وmax_file_size من ملف إعدادات محلي.
التحقق من التكوين 
راجع مخطط إعدادات إضافتي واقترح قواعد تحقق للقيم المنطقية، والحدود الرقمية، والمسارات، والحقول المفقودة.
تصميم أتمتة ذات حالة 
صمم نمط ملف حالة لسير عمل متعدد الخطوات في Claude Code. ضمّن حدود الثقة، والتحديثات الذرية، وقواعد سلامة المطالبات، وسلوك التنظيف.

أفضل الممارسات

  • أبق ملفات الإعدادات المحلية خارج التحكم في الإصدارات ووثق قاعدة gitignore.
  • تحقق من كل قيمة محللة قبل استخدامها في المسارات، أو أوامر shell، أو قرارات الخطافات.
  • عامل محتوى نص Markdown على أنه غير موثوق ما لم يكن المستخدم قد أنشأه صراحة.

تجنب

  • لا تحلل YAML معقدة باستخدام أوامر shell هشة عندما يكون محلل حقيقي متاحا.
  • لا تمرر نص جسم الإعدادات مرة أخرى إلى وكيل دون فحوصات ثقة وموافقة المستخدم.
  • لا تسمح للإعدادات باختيار مسارات ملفات عشوائية، أو جلسات طرفية، أو معاملات shell.

الأسئلة المتكررة

ما تنسيق الملف الذي توصي به هذه المهارة؟
توصي بملفات .claude/plugin-name.local.md مع YAML frontmatter ومحتوى نص Markdown اختياري.
هل من المفترض تثبيت ملفات الإعدادات في المستودع؟
لا. إنها ملفات مشروع محلية ويجب استبعادها باستخدام .claude/*.local.md في .gitignore.
هل يمكن للخطافات قراءة هذه الإعدادات تلقائيا؟
نعم. تعرض الأمثلة خطافات تتحقق من وجود الملف، وتحلل frontmatter، وتطبق خيارات تم التحقق منها.
هل توفر هذه المهارة محلل YAML كاملا؟
لا. تعرض تحليلا عبر shell للحقول البسيطة وتوصي باستخدام yq لملفات YAML الأكثر تعقيدا.
لماذا تتطلب التغييرات إعادة تشغيل؟
يتم تحميل خطافات Claude Code للجلسة، لذلك قد لا تؤثر الإعدادات المتغيرة على الخطافات حتى إعادة التشغيل.
ما مصدر القلق الأمني الرئيسي؟
لا تعامل محتوى نص Markdown المحلي كتعليمات موثوقة ما لم يكن المستخدم قد أنشأه ووافق عليه.

تفاصيل المطور

المؤلف

davila7

الترخيص

MIT

إصدار المؤلف

v0.1.0

مراجعة Skillstore

r1

المستودع

https://github.com/davila7/claude-code-templates/tree/main/cli-tool/components/skills/development/plugin-settings

مرجع

dbe0e719813583400773166a0621f8a9b8185c72

حداثة الصيانة

٢٢‏/٧‏/٢٠٢٦

الاستخدام

7 تنزيلات · 204 مشاهدات

بنية الملفات

📁 examples/

📄 create-settings-command.md

📄 example-settings.md

📄 read-settings-hook.sh

📁 references/

📄 parsing-techniques.md

📄 real-world-examples.md

📁 scripts/

📄 parse-frontmatter.sh

📄 validate-settings.sh

📄 SKILL.md