📦

ticktick-cli

Name: ticktick-cli
Author: DCjanus

مراجعة المحتوى r2 مخاطر عالية 🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة⚡ يحتوي على سكربتات⚙️ الأوامر الخارجية

إدارة مهام TickTick من سطر الأوامر

تُبطئ تحديثات TickTick اليدوية سير العمل البرمجي ووكلاء الذكاء الاصطناعي. تدير هذه المهارة المشاريع والمهام وسجلات التركيز والعادات عبر واجهة سطر أوامر Python وOAuth.

يدعم: Claude Codex Code(CC)

⚠️ 38 ضعيف

توقف واطلب التأكيد قبل التثبيت.

راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل

Review the Skillstore skill "ticktick-cli" from https://skillstore.io/skills/dcjanus-ticktick-cli.md and its manifest at https://skillstore.io/api/skills/dcjanus-ticktick-cli/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/dcjanus-ticktick-cli.md manifest موقَّع GET /api/skills/dcjanus-ticktick-cli/manifest lockfile موقَّع GET /api/skills/dcjanus-ticktick-cli/lockfile

اختبرها

جارٍ استخدام "ticktick-cli". أدرج مشاريعي دون تغيير أي شيء.

النتيجة المتوقعة:

تم العثور على أربعة مشاريع: Inbox وWork وPersonal وLearning. يتضمن كل مشروع معرّفه ووضع العرض.

جارٍ استخدام "ticktick-cli". أنشئ مهمة تقرير عالية الأولوية تستحق يوم الجمعة وتتضمن عنصري قائمة تحقق.

النتيجة المتوقعة:

تم إنشاء مهمة التقرير في المشروع المحدد. أولويتها عالية، وموعد استحقاقها يوم الجمعة، وتتضمن عنصري قائمة التحقق المطلوبين.

جارٍ استخدام "ticktick-cli". اعرض مهام العمل غير المكتملة المستحقة هذا الأسبوع.

النتيجة المتوقعة:

تم العثور على سبع مهام غير مكتملة تستحق هذا الأسبوع. ثلاث منها عالية الأولوية، وواحدة متأخرة بالفعل.

التدقيق الأمني

مخاطر عالية

v9 • ٢٣‏/٧‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

Most static findings are false positives caused by Markdown backticks, ordinary Python imports, error messages, official service URLs, and a plain-text Chinese document. The implementation has genuine risks from non-atomic token permissions, unpinned runtime dependencies, direct destructive commands, and disclosure of the local hostname during OAuth registration.

الملفات التي تم فحصها

2,084

الأسطر التي تم تحليلها

عناصر المراجعة

تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (5)

مرتفع

scripts/ticktick_auth.py:404-409

OAuth Token Permissions Are Applied After Writing

The access token is written before chmod applies mode 0600. On multi-user systems, the process umask can briefly expose a tasks:read and tasks:write bearer token.

The code visibly calls write_text before chmod, so restrictive permissions are not established atomically.

متوسط

scripts/ticktick_cli.py:1-9

Runtime Dependencies Are Not Reproducibly Pinned

The executable script requests dependencies with minimum versions only. Future invocations can install newer, unreviewed package releases and execute their installation or runtime code.

The uv script metadata contains four greater-than-or-equal dependency constraints and no reviewed exact versions.

متوسط

SKILL.md:21 scripts/ticktick_cli.py:507-514 scripts/ticktick_cli.py:662-670

Destructive Commands Lack Programmatic Confirmation

Project and task delete commands immediately call the remote deletion API. The skill asks the agent to confirm intent, but the CLI does not enforce that safeguard.

The documented confirmation rule is clear, while both command handlers delete immediately without a prompt or force option.

منخفض

scripts/ticktick_auth.py:177

System reconnaissance

hostname = socket.gethostname().strip().split(".")[0]

The code reads the local hostname and later includes it in the dynamically registered OAuth client name. This unnecessarily discloses a device identifier to the selected service.

منخفض

scripts/ticktick_auth.py:180

System reconnaissance

return f"ticktick-cli ({hostname}, {today})"

The return value embeds the hostname and date in the client name used by OAuth dynamic registration. A generic name would avoid this low-severity privacy disclosure.

عوامل الخطر

🌐 الوصول إلى الشبكة (15)

scripts/ticktick_api_client.py:322 scripts/ticktick_api_client.py:330 scripts/ticktick_api_client.py:347 scripts/ticktick_api_client.py:8 scripts/ticktick_auth.py:374 scripts/ticktick_auth.py:12 scripts/ticktick_auth.py:137 scripts/ticktick_auth.py:148 scripts/ticktick_auth.py:50 scripts/ticktick_auth.py:51 scripts/ticktick_auth.py:345 scripts/ticktick_auth.py:342 scripts/ticktick_auth.py:345 scripts/ticktick_cli.py:82 SKILL.md:86

📁 الوصول إلى نظام الملفات (3)

scripts/ticktick_auth.py:163 SKILL.md:43 SKILL.md:43

🔑 متغيرات البيئة (2)

scripts/ticktick_auth.py:37 scripts/ticktick_auth.py:40

⚡ يحتوي على سكربتات (2)

scripts/ticktick_cli.py:32-44 scripts/ticktick_cli.py:45-53

⚙️ الأوامر الخارجية (27)

الأنماط المكتشفة

System reconnaissance×2

دقّقه: codex عرض سجل التدقيق →

شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار

نسخ رابط التقرير

https://skillstore.io/skills/dcjanus-ticktick-cli/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/dcjanus-ticktick-cli/security.svg)](https://skillstore.io/skills/dcjanus-ticktick-cli?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/dcjanus-ticktick-cli?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dcjanus-ticktick-cli/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/dcjanus-ticktick-cli.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

DCjanus. (2026). ticktick-cli security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/dcjanus-ticktick-cli/audits/9

اقتباس BibTeX

@techreport{dcjanus-dcjanus-ticktick-cli-2026,
  author = {DCjanus},
  title = {ticktick-cli security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/dcjanus-ticktick-cli/audits/9},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "ticktick-cli security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
  - name: "DCjanus"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/dcjanus-ticktick-cli/audits/9"
identifiers:
  - type: other
    value: "skillstore:dcjanus-ticktick-cli:audit:9"
    description: "Skillstore immutable audit report identifier"

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط

الهندسة المعمارية

قابلية الصيانة

المحتوى

المجتمع

الامتثال للمواصفات

ما الذي يمكنك بناؤه

مراجعة العمل اليومي

أدرج المشاريع النشطة وصفِّ المهام غير المكتملة لإجراء مراجعة يومية واضحة.

أتمتة استقبال المهام

أنشئ مهام منظمة تتضمن تواريخ وتذكيرات ووسومًا وأولويات وقوائم تحقق.

التشغيل عبر وكيل ذكاء اصطناعي

اسمح لوكيل بالاستعلام عن بيانات TickTick وتحديثها باستخدام مخرجات أوامر قابلة للقراءة آليًا.

جرّب هذه الموجّهات

أدرج مشاريعي

أدرج مشاريعي في TickTick. اعرض اسم كل مشروع ومعرّفه. لا تغيّر أي بيانات.

إنشاء مهمة

أنشئ مهمة باسم [title] في المشروع [project]. اضبط تاريخ الاستحقاق على [date]، والأولوية على [priority]، والوسوم على [tags].

مراجعة المهام المفتوحة

اعثر على المهام غير المكتملة في المشروع [project] بين [start] و[end]. جمّعها حسب الأولوية ولخّص العناصر المتأخرة.

تخطيط تحديث دفعي

راجع المهام المطابقة لـ [criteria]. اقترح عمليات نقل أو تحديث أو إكمال. اعرض الخطة أولًا وانتظر التأكيد قبل تغيير البيانات البعيدة.

أفضل الممارسات

استخدم أوامر الإدراج أو الاسترداد أو التصفية للقراءة فقط قبل التخطيط لتغييرات بعيدة.
أكّد مع المستخدم حذف مشروع أو مهمة أو سجل تركيز قبل التنفيذ.
استخدم مخرجات قابلة للقراءة آليًا لسير عمل الوكلاء، واحرص على وضع الخيارات العامة قبل الأوامر الفرعية.