📦

api-spectral

Name: api-spectral
Author: AgentSecOps

v0.1.0 Inhaltsrevision r2 Kritisch ⚙️ Externe Befehle🌐 Netzwerkzugriff📁 Dateisystemzugriff🔑 Umgebungsvariablen⚡ Enthält Skripte

API-Spezifikationen mit Spectral validieren

API-Teams benötigen konsistente Sicherheitsprüfungen vor Implementierung und Release. Dieser Skill führt durch Spectral-Linting, die Zuordnung zu OWASP-API-Regeln und CI-Validierungsworkflows.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Diesen Skill nicht automatisch installieren.

Die maßgebliche Richtlinie verlangt vor jeder Installationsaktion eine Prüfung durch einen Bediener.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "api-spectral" from https://skillstore.io/skills/agentsecops-api-spectral.md and its manifest at https://skillstore.io/api/skills/agentsecops-api-spectral/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/agentsecops-api-spectral.md Signiertes manifest GET /api/skills/agentsecops-api-spectral/manifest Signiertes lockfile GET /api/skills/agentsecops-api-spectral/lockfile

Testen

„api-spectral“ wird verwendet. Eine Zahlungs-OpenAPI-Datei hat öffentliche Endpunkte und fehlende Sicherheitsanforderungen.

Erwartetes Ergebnis:

Die Prüfung hebt nicht authentifizierte Operationen, fehlende HTTPS-Durchsetzung und Regeln zur Verifizierung sensibler Antwortfelder hervor.

„api-spectral“ wird verwendet. Ein Team möchte Spectral-Prüfungen zu Pull Requests hinzufügen.

Erwartetes Ergebnis:

Der Workflow-Plan trennt Installations-, Lint-, Berichts- und Fehlerschritte, mit einem empfohlenen Schweregrad-Schwellenwert für den Rollout.

„api-spectral“ wird verwendet. Eine Organisation benötigt benutzerdefinierte Regeln für API-Governance.

Erwartetes Ergebnis:

Die Anleitung definiert Regelnamen, Schweregrade, OWASP-Zuordnungen, Testfälle und Behebungsmeldungen für eine konsistente Einführung.

Sicherheitsaudit

Kritisch

v9 • 23.7.2026 Versionsbericht öffnen

Most alerts are false positives caused by Markdown, defensive examples, fixed local file reads, or reference URLs. Confirmed risks include unverified remote downloads, mutable CI dependencies, token exposure, and fail-open scanner steps. These supply-chain and enforcement weaknesses require remediation before publication.

Gescannte Dateien

3,749

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (3)

Kritisch

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The template pipes an unverified installer from a mutable upstream branch directly into bash. This creates a direct supply-chain remote code execution path in CI.

Hoch

assets/ci-config-template.yml:54-58 assets/ci-config-template.yml:161-164 assets/ci-config-template.yml:196-199 assets/github-actions-template.yml:37-38

Unpinned CI dependencies execute mutable upstream code

The templates install unversioned packages and run actions from mutable tags, including a master branch. Upstream compromise can change code executed by CI.

The files directly show unversioned package installation, mutable action tags, and aquasecurity/trivy-action@master in executable workflow steps.

Hoch

assets/ci-config-template.yml:125-139 assets/ci-config-template.yml:228-255 assets/github-actions-template.yml:43-58

Security pipeline can pass after scanner failures

Several scanner commands suppress failures, while later checks omit or only warn on some results. Tool errors and detected vulnerabilities can leave the workflow successful.

The templates explicitly use continue-on-error or || true, and the npm audit output is not included in the dependency failure check.

Elemente der Fähigkeitsprüfung (4)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Kritisch

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The mutable upstream URL supplies an installer directly to bash on the same line. A compromised branch or connection can produce arbitrary CI code execution.

Hoch

assets/ci-config-template.yml:164

Git platform tokens

GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

The workflow gives GITHUB_TOKEN to a third-party action referenced by a mutable version tag. Compromise of that action could misuse the workflow's repository permissions.

Hoch

assets/github-actions-template.yml:66

Hardcoded URL

https://raw.githubusercontent.com/SecOpsAgentKit/skills/main/appsec/api-spectral/scripts/parse_spect

The workflow downloads a Python script from a mutable main branch and executes it on line 70 without a digest or signature check. Upstream compromise would execute in CI.

Hoch

assets/github-actions-template.yml:165

Hardcoded URL

https://raw.githubusercontent.com/SecOpsAgentKit/skills/main/appsec/api-spectral/assets/spectral-owa

The workflow downloads a Spectral ruleset from a mutable main branch and immediately consumes it. Malicious upstream changes could alter validation or load unsafe rule behavior.

Risikofaktoren

⚙️ Externe Befehle (50)

🌐 Netzwerkzugriff (25)

📁 Dateisystemzugriff (9)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323 assets/github-actions-template.yml:104 assets/github-actions-template.yml:103 assets/github-actions-template.yml:104 assets/github-actions-template.yml:128 references/custom_rules_guide.md:420 SKILL.md:365 SKILL.md:370

🔑 Umgebungsvariablen (23)

⚡ Enthält Skripte (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

Erkannte Muster

Pipe to shell pattern

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/agentsecops-api-spectral/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-api-spectral/security.svg)](https://skillstore.io/skills/agentsecops-api-spectral?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/agentsecops-api-spectral?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-api-spectral/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/agentsecops-api-spectral.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

AgentSecOps. (2026). api-spectral security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-api-spectral/audits/9

BibTeX-Zitat

@techreport{agentsecops-agentsecops-api-spectral-2026,
  author = {AgentSecOps},
  title = {api-spectral security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-api-spectral/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "api-spectral security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-api-spectral/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-api-spectral:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

API-Designprüfungen standardisieren

Gemeinsame Spectral-Regeln erstellen, damit Teams dieselben Sicherheits- und Governance-Anforderungen einhalten.

Sicherheit vor dem Merge prüfen

OWASP-API-Regeln verwenden, um OpenAPI-Änderungen zu prüfen und riskante Designbefunde zu priorisieren.

CI-API-Linting hinzufügen

Die Workflow-Vorlagen anpassen, um Spectral-Prüfungen auszuführen und Review-Feedback in Pull Requests zu veröffentlichen.

Diese Prompts ausprobieren

Eine API-Spezifikation prüfen

Prüfe meine OpenAPI-Spezifikation mit Spectral-Sicherheitsregeln. Liste die Probleme mit der höchsten Priorität auf und erkläre jede Korrektur in einfachen Worten.

OWASP-Regeln erstellen

Hilf mir, einen Spectral-Regelsatz für OWASP API Security Top 10-Risiken zu erstellen. Konzentriere dich auf Authentifizierung, HTTPS, sensible Daten und SSRF.

CI-Durchsetzung abstimmen

Entwirf einen CI-Workflow für Spectral-API-Linting. Beginne mit Warnungen und gehe dann dazu über, Sicherheitsbefunde auf Fehlerebene zu blockieren.

API-Portfolio steuern

Plane einen Spectral-Governance-Prozess für viele API-Spezifikationen. Berücksichtige Regelverantwortung, Ausnahmebehandlung, Reporting und Nachverfolgung der Behebung.

Bewährte Praktiken

Tool-Versionen pinnen und Workflow-Berechtigungen prüfen, bevor CI-Vorlagen verwendet werden.
Mit Sicherheitsregeln mit hoher Zuverlässigkeit beginnen und die Abdeckung erst nach der Prüfung von False Positives erweitern.
Jede benutzerdefinierte Regel einem klaren Risiko, Verantwortlichen und Behebungspfad zuordnen.

Vermeiden

Builds nicht wegen jeder Warnung blockieren, bevor Teams die Befunde verstehen.
Keine echten Zugangsdaten, internen Hostnamen oder sensiblen Beispiele in API-Spezifikationen aufnehmen.
Remote-Download-Schritte nicht ohne Pinning und Integritätsprüfungen in CI kopieren.