هذا التقرير غير مترجم إلى اللغة المطلوبة. يتم عرض التقرير الإنجليزي الأساسي بدلاً منه.

تقييم أمني مُحدَّث بالإصدار

معرّف التقرير: SA-5ADE2A84

7/15/2026, 3:52:13 PM

test-engineer تقييم أمني v2

تقرير شهادة أمان المهارة

سجل التدقيق
إصدار الماسح 3.0.0 نموذج التدقيق: codex تقرير تاريخي
اسم المهارة
test-engineer
الإصدار
v2
المشرف
zl2023github
المصدر
github.com/zl2023github/software-engineer-skills/tree/main/software-engineering/test-engineer
التغطية
1 الملفات التي تم فحصها · 216 الأسطر التي تم تحليلها
إصدار السياسة
skillstore-security-audit-policy-v1

أعلى مستوى خطورة لنتيجة مؤكدة

مرتفع

يتطلب 1 اكتشاف أمني مؤكد اهتمامًا.

سياق التثبيت

الأدلة التاريخية

قد لا يصف هذا التقرير العنصر القابل للتثبيت حاليًا. افتح صفحة المهارة الحالية للحصول على إرشادات التثبيت.

افتح صفحة Skill الحالية

لا يحظر هذا التقرير البيان أو ملف ZIP ولا يصرح بهما.

Eight static findings are confirmed because their cited ranges direct the agent to install dependencies or execute test, load, Python, and container commands. Eleven findings are false positives caused by Markdown backticks, code fences, tool names, or UTF-8 Chinese documentation rather than executable or obfuscated content. Active API and load testing also lacks explicit authorization and environment safeguards.

موضع التقرير

تقرير تاريخي

افتح سجل التدقيق قبل استخدام هذا التقرير للتثبيت.

إقرار التدقيق

تم استبدال الإقرار

يوجد إقرار أحدث.

التحقق البشري

لم يتم التحقق منه

لم يتم تسجيل أي تحقق بشري لهذا التقرير.

التغطية

1 الملفات التي تم فحصها · 216 الأسطر التي تم تحليلها

9 عناصر معروضة للمراجعة

القيود

لا يدّعي هذا التقرير تنفيذًا في وقت التشغيل أو ضمن بيئة معزولة، ولا يثبت عدم وجود آثار جانبية.

سلسلة الأدلة

اتبع الأدلة من ربط المصدر إلى عقد التثبيت. تدعم الأدلة المتاحة التحقق؛ لكنها ليست ضمانًا للسلامة.

  1. المصدر

    الالتزام والمسار مرتبطان

  2. العنصر البرمجي

    تم ربط تجزئات المحتوى والشجرة.

  3. التدقيق

    مكتمل

  4. عقد التثبيت

    افتح البيان للتحقق

    افتح البيان

القدرات المرصودة

تعني «تمت ملاحظته» أن هذا التقرير سجل أدلة داعمة. ولا يثبت عدم التسجيل أن القدرة غير موجودة.

يحتوي على سكربتات

قد ينفذ تعليمات برمجية مضمنة مع المهارة.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى الشبكة

قد يتصل بخدمات خارجية.

لم يتم تسجيله بواسطة هذا التدقيق

الوصول إلى نظام الملفات

قد يقرأ أو يكتب ملفات محلية.

لم يتم تسجيله بواسطة هذا التدقيق

متغيرات البيئة

قد يقرأ قيماً من بيئة العملية.

لم يتم تسجيله بواسطة هذا التدقيق

الأوامر الخارجية

قد يستدعي أوامر أو برامج خارج المهارة.

تمت ملاحظته في 18 مواضع أدلة

عناصر مراجعة القدرات (8)
متوسط
SKILL.md:127-135
Ruby/shell backtick execution
```
The cited example directs the agent to run pip install and pytest. Installing project requirements and executing tests can run untrusted package or repository code without an approval boundary.
متوسط
SKILL.md:148-155
Ruby/shell backtick execution
```
The example explicitly directs the agent to run a k6 load test. External load generation can affect a target service when authorization and limits are not required.
متوسط
SKILL.md:164-172
Ruby/shell backtick execution
```
The cited range ends with an instruction to run pip installation and pytest commands. These commands can execute downloaded or repository-controlled code.
متوسط
SKILL.md:172
Ruby/shell backtick execution
| Web UI自动化 | Playwright | `pip install playwright && playwright install` → 生成脚本 → `pytest` 运行 |
Line 172 explicitly chains pip install, Playwright installation, and pytest execution. Dependency installation and test execution modify the environment and can execute untrusted code.
متوسط
SKILL.md:173-174
Ruby/shell backtick execution
| API测试 | Python requests / curl | 生成脚本 → `python test_api.py` 执行 |
The range instructs the agent to execute a generated Python API test and includes load-test commands. Generated scripts and supplied targets are not constrained by approval or isolation.
متوسط
SKILL.md:174
Ruby/shell backtick execution
| 性能测试 | k6 / wrk / hey | `k6 run script.js` 或 `wrk -t4 -c100 -d30s URL` |
Line 174 provides direct k6 and wrk command invocations against a URL. These commands generate substantial traffic and can disrupt an unintended target.
متوسط
SKILL.md:175-179
Ruby/shell backtick execution
| 单元测试 | pytest / JUnit / Jest | `pytest -v --tb=short --junitxml=report.xml` |
The cited range includes direct pytest execution and a Docker Compose command. Both execute project-controlled configuration or code and can change the local environment.
متوسط
SKILL.md:179-185
Ruby/shell backtick execution
| 容器化 | Docker Compose | `docker compose up -d` 启动测试环境 |
Line 179 directs the agent to start services with Docker Compose. Repository-controlled compose files can run images, expose ports, mount files, and alter the host environment.

نتائج المخاطر

يتم فصل المخاوف الأمنية المؤكدة عن العناصر التي لا تزال بحاجة إلى مراجعة.

مخاوف أمنية مؤكدة (1)

RISK-001 مرتفع
SKILL.md:69-86SKILL.md:147-154
Missing Authorization Safeguards for Active Testing
The skill requires real API calls and load tests but does not require target ownership, explicit authorization, non-production confirmation, traffic limits, or stop conditions.
The cited workflows explicitly require actual API and performance test execution. The document contains no authorization or production-safety gate for those actions.

إجراءات المعالجة

سجّل هذا التدقيق الإصلاحات المقترحة. تطبيقها مسؤولية المشرف على الصيانة.

  1. FIX-001
    مرتفع
    Active API and load testing instructions do not require proof of authorization, a non-production target, or resource limits.
    Require target authorization, environment confirmation, rate and duration limits, monitoring, and an immediate stop condition before sending traffic.
  2. FIX-002
    متوسط
    The skill directs agents to install dependencies and execute project or container commands without a required approval or isolation step.
    Require command preview and explicit user approval, inspect dependency files, use an isolated environment, and restrict commands to the agreed test scope.

أدلة الخبراء

هوية موضوع غير قابلة للتغيير، وبيانات تعريف الماسح الضوئي، والمطابقات المستبعدة، والأدلة على مستوى المصدر.

موضوع العنصر البرمجي

التزام Marketplace
5ade2a84777b60880ba0b1bc63058ec140d7aac3
تجزئة المحتوى
26b6c482c2c2e3f9e1f493fd0b47a78eef55125f9a04e7337430fcfe0da07655
تجزئة الشجرة
656a088bccc6268601e5c5010f425dfbba3be27de1cc417cbaec719365c3b651
مسار Skill
skills/zl2023github/test-engineer
تجزئة حمولة التدقيق
5b2efabec3ac78b3b2bba33915233e2e

البيانات الوصفية للتحليل

نموذج التدقيق: codex

حالة التحليل: مكتمل

النطاق محدود بالملفات والأسطر والأساليب والأدلة المسجلة. لا يُدّعى تنفيذ وقت التشغيل أو بيئة الاختبار المعزولة.

التحقق والتصدير

تقرير JSON إقرار تدقيق موقّع CITATION.cff SARIF 2.1.0 بيان تثبيت موقّع المصدر

يربط البيان وملف القفل عناصر التثبيت بتجزئات تشفيرية. هذا الادعاء المتعلق بالسلامة منفصل عن التقييم الأمني.

إقرار التدقيق: superseded