Fähigkeiten env-config
📦
env-config
Inhaltsrevision r3 Kritisch 🌐 Netzwerkzugriff🔑 Umgebungsvariablen📁 Dateisystemzugriff⚙️ Externe Befehle
Python-Umgebungskonfiguration verwalten
Python-Projekte geben oft unbeabsichtigt Secrets preis oder driften zwischen Entwicklung, Staging und Produktion auseinander. Dieser Skill gibt Claude, Codex und Claude Code strukturierte Anleitung für sicherere .env-Dateien, Validierung und den Umgang mit Secrets.
Unterstützt: Claude Codex Code(CC)
Diesen Skill nicht automatisch installieren.
Die maßgebliche Richtlinie verlangt vor jeder Installationsaktion eine Prüfung durch einen Bediener.
Mit meinem Agent installieren
Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.
Agent-Anfrage
Review the Skillstore skill "env-config" from https://skillstore.io/skills/autumnsgrove-env-config.md and its manifest at https://skillstore.io/api/skills/autumnsgrove-env-config/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.
Agent-lesbare Ressourcen
Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.
Testen
„env-config“ wird verwendet. Konfiguration für eine neue UV Python-API einrichten.
Erwartetes Ergebnis:
- Ein empfohlenes Dateilayout für Templates und lokale Secrets.
- Eine Liste der erforderlichen Umgebungsvariablen nach Kategorie.
- Befehle zum Installieren von dotenv und Validierungsabhängigkeiten.
„env-config“ wird verwendet. Meinen Produktionsumgebungsplan prüfen.
Erwartetes Ergebnis:
- Eine Warnung zu Werten, die nicht committet werden dürfen.
- Eine Checkliste für die Validierung vor dem Start.
- Vorschläge für Secret-Injection und Rotation zur Laufzeit.
„env-config“ wird verwendet. Fehler beheben, warum Variablen nicht geladen werden.
Erwartetes Ergebnis:
- Eine Abfolge von Prüfungen für Dateispeicherort, Syntax, Arbeitsverzeichnis und dotenv-Ladereihenfolge.
- Sicherere Debug-Anleitung, die das Ausgeben von Secret-Werten vermeidet.
Sicherheitsaudit
Kritischv13 • 23.7.2026 Versionsbericht öffnen
Most static matches reflect the skill's legitimate purpose: local environment configuration, placeholder credentials, documentation, and test fixtures. Confirmed risks include remote scripts piped to shells, plaintext secret disclosure, unsafe permissions, and insecure secret output. No prompt injection or exfiltration intent was found, but 281 lower-priority analyzer matches remain outside this adjudication. Static review was capped at 400/681 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.
10
Gescannte Dateien
3,518
Analysierte Zeilen
5
Prüfelemente
0
Falschmeldungen ignoriert
Bestätigte Sicherheitsbedenken (13)
Kritisch
Pipe to shell pattern
curl -LsSf https://astral.sh/uv/install.sh | sh
This command executes remotely downloaded installer content without prior inspection or integrity verification, so upstream or network compromise can execute arbitrary code.
Kritisch
Pipe to shell pattern
run: curl -LsSf https://astral.sh/uv/install.sh | sh
The CI example pipes an unpinned remote installer directly into a shell, allowing changed or compromised content to execute in the build environment.
Kritisch
Pipe to shell pattern
curl -LsSf https://astral.sh/uv/install.sh | sh
The troubleshooting command executes a remote installer without checksum or signature verification, creating a direct remote-code execution supply-chain risk.
Kritisch
Pipe to shell pattern
curl -LsSf https://astral.sh/uv/install.sh | sh
The primary instructions execute remote installer content directly in a shell without pinning or verification, exposing users to arbitrary code execution.
Kritisch
Pipe to shell pattern
- [ ] Install UV: `curl -LsSf https://astral.sh/uv/install.sh | sh`
The checklist repeats direct execution of an unverified remote installer, preserving the same supply-chain code-execution risk.
Hoch
Environment file access
backup = Path('.env.backup')
The rotation example copies the complete plaintext environment file into .env.backup without restrictive permissions, duplicating all contained secrets.
Hoch
Environment variant files
COPY .env.development /app/.env
The Dockerfile copies an environment file into an image layer, where embedded credentials can remain recoverable from the image history.
Hoch
System reconnaissance
print(f"⚠ Skipping invalid line {line_num}: {line}")
The parser prints every malformed environment line verbatim, which can disclose a secret when a sensitive assignment lacks the expected separator.
Alle 13 bestätigten Funde anzeigen
Hoch
World-Readable Environment File Guidance
The troubleshooting guide recommends mode 644 for .env, allowing every local user to read credentials stored in that file.
The command explicitly applies read permission for group and other users to a file the skill describes as containing secrets.
Hoch
Helper Prints Secret Values
Security checks, comparisons, and decryption can print plaintext values or large value prefixes to terminal output.
The code directly interpolates environment values into messages and prints the complete decrypted secrets object when no output path is supplied.
Hoch
Debugging Guidance Exposes Configuration Values
The troubleshooting guide recommends displaying the full .env file and printing matching environment values, which may expose credentials.
Both examples directly render configuration values without redaction, despite the same guide treating environment files as sensitive.
Hoch
Password Accepted Through Command-Line Arguments
Encryption and decryption accept a password option that can expose the password through shell history and process inspection.
Argparse stores the provided password from the process command line; secure getpass input is used only when that option is omitted.
Mittel
Template Masking Can Preserve Sensitive Values
Template generation retains values unless their names match a short keyword list, so unconventional secret names can enter shareable templates.
The masking branch changes only recognized key names and URL fields; all other source values are written unchanged to the template.
Elemente der Fähigkeitsprüfung (5)
Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.
Hoch
Database connection strings
print(f"Database: {config.database_url}")
The example prints the full database URL during debug mode, which can expose embedded usernames and passwords in logs or terminal history.
Hoch
Database connection strings
print(settings.database_url)
The usage example prints the complete database URL, potentially disclosing credentials to logs, consoles, and captured build output.
Hoch
Generic API/secret keys
>>> print(secrets.get('api_key'))
The documented decryption example prints an API key value, encouraging direct disclosure of decrypted credentials in terminal or notebook output.
Hoch
Generic API/secret keys
SECRET_KEY=super-secure-random-key
The production configuration example supplies a fixed, guessable SECRET_KEY value that users may retain as an insecure credential.
Hoch
Python file write/append
with open(args.output, 'w') as f:
The decrypt command writes plaintext secrets using default process permissions, so a permissive umask can create a file readable by other users.
Risikofaktoren
🌐 Netzwerkzugriff (35)
examples/.env.example:50 examples/.env.example:86 examples/.env.example:190 examples/.env.example:60 examples/.env.example:61 examples/.env.example:62 examples/.env.example:63 examples/.env.example:64 examples/.env.example:65 examples/pyproject.toml:53 examples/pyproject.toml:54 examples/pyproject.toml:55 examples/pyproject.toml:56 examples/secrets_template.json:60 examples/secrets_template.json:94 examples/secrets_template.json:95 examples/secrets_template.json:29 examples/secrets_template.json:30 examples/secrets_template.json:31 examples/secrets_template.json:32 README.md:20 references/testing-guide.md:421 references/troubleshooting.md:144 references/troubleshooting.md:150 references/troubleshooting.md:153 references/troubleshooting.md:154 references/troubleshooting.md:257 references/troubleshooting.md:153 references/troubleshooting.md:154 SKILL.md:58 SKILL.md:454 SKILL.md:504 SKILL.md:505 SKILL.md:506 SKILL.md:507
🔑 Umgebungsvariablen (50)
examples/.env.example:94 examples/.env.example:95 examples/.env.example:100 examples/.env.example:25 examples/.env.example:33 examples/.env.example:170 examples/.env.example:41 examples/.env.example:45 examples/.env.example:49 examples/.env.example:54 examples/.env.example:76 examples/.env.example:118 examples/.env.example:157 examples/.env.example:196 examples/pyproject.toml:24 examples/pyproject.toml:101 examples/secrets_template.json:6 examples/secrets_template.json:7 examples/secrets_template.json:8 examples/secrets_template.json:9 examples/secrets_template.json:11 examples/secrets_template.json:37 examples/secrets_template.json:62 examples/secrets_template.json:68 README.md:115 README.md:116 README.md:117 README.md:118 README.md:115 README.md:116 README.md:117 README.md:118 README.md:38 README.md:106 README.md:110 README.md:224 README.md:106 README.md:110 README.md:80 README.md:117 README.md:118 README.md:131 README.md:132 references/advanced-topics.md:98 references/advanced-topics.md:103 references/advanced-topics.md:106 references/advanced-topics.md:161 references/advanced-topics.md:163 references/advanced-topics.md:207 references/advanced-topics.md:103
📁 Dateisystemzugriff (9)
⚙️ Externe Befehle (50)
references/troubleshooting.md:395 SKILL.md:56-65 SKILL.md:65-69 SKILL.md:69-83 SKILL.md:83-91 SKILL.md:91-97 SKILL.md:97-101 SKILL.md:101-106 SKILL.md:106-111 SKILL.md:111-112 SKILL.md:112-113 SKILL.md:113-114 SKILL.md:114-115 SKILL.md:115-119 SKILL.md:119-135 SKILL.md:135-141 SKILL.md:141-167 SKILL.md:167-171 SKILL.md:171 SKILL.md:173-213 SKILL.md:213-215 SKILL.md:215-219 SKILL.md:219-228 SKILL.md:228-234 SKILL.md:234-235 SKILL.md:235-240 SKILL.md:240-242 SKILL.md:242-243 SKILL.md:243-249 SKILL.md:249-253 SKILL.md:253-260 SKILL.md:260-266 SKILL.md:266-267 SKILL.md:267-274 SKILL.md:274-278 SKILL.md:278-280 SKILL.md:280-292 SKILL.md:292-297 SKILL.md:297-298 SKILL.md:298-304 SKILL.md:304-325 SKILL.md:325-327 SKILL.md:327-333 SKILL.md:333-334 SKILL.md:334-341 SKILL.md:341-346 SKILL.md:346-350 SKILL.md:350-355 SKILL.md:355-359 SKILL.md:359-361
Erkannte Muster
Pipe to shell pattern×5System reconnaissance
Geprüft von: codex Audit-Verlauf anzeigen →
Diesen Bericht teilen & zitieren
Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.
Berichtslink kopieren
https://skillstore.io/skills/autumnsgrove-env-config/audits/13?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown-Badge
[](https://skillstore.io/skills/autumnsgrove-env-config?utm_source=security_passport_badge)HTML-Badge
<a href="https://skillstore.io/skills/autumnsgrove-env-config?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/autumnsgrove-env-config/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Einbettungskarte
<iframe src="https://skillstore.io/embed/skills/autumnsgrove-env-config.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Wissenschaftliche Zitate (APA · BibTeX · CFF)
APA-Zitat
AutumnsGrove. (2026). env-config security audit report (audit version 13) [Author version unspecified]. Skillstore. https://skillstore.io/skills/autumnsgrove-env-config/audits/13BibTeX-Zitat
@techreport{autumnsgrove-autumnsgrove-env-config-2026,
author = {AutumnsGrove},
title = {env-config security audit report (audit version 13)},
institution = {Skillstore},
year = {2026},
number = {13},
url = {https://skillstore.io/skills/autumnsgrove-env-config/audits/13},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "env-config security audit report (audit version 13)"
version: "unspecified"
type: report
authors:
- name: "AutumnsGrove"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/autumnsgrove-env-config/audits/13"
identifiers:
- type: other
value: "skillstore:autumnsgrove-env-config:audit:13"
description: "Skillstore immutable audit report identifier"
Varianten vergleichen
2 installierbare VariantenJeder Autor bleibt ein eigener installierbarer Skill. Die empfohlene Variante wird nach Skillstore-Nachweisen bewertet.
Warum diese Variante zuerst steht
Höhere Skillstore-Nutzung
Autor / Quelle Skillstore-Score Evidenzvertrauen Skillstore-Nutzung Aktualisiert
Awais68 Empfohlen
awais68-env-config
Skillstore-Score 38
Evidenzvertrauen Mittel
Skillstore-Nutzung 47
Aktualisiert
2026-09-09
AutumnsGrove Aktuell
autumnsgrove-env-config
Skillstore-Score 38
Evidenzvertrauen Mittel
Skillstore-Nutzung 29
Aktualisiert
2026-09-09
Skillstore-Score
Warum dieser Score Evidenzvertrauen: Mittel 82
Architektur
85
Wartbarkeit
87
Inhalt
70
Gemeinschaft
78
Spezifikationskonformität
Was Sie erstellen können
Sichere Python-Projektkonfiguration initialisieren
Erstelle ein wiederholbares UV-Projekt-Setup mit .env-Templates, Validierung und dokumentierten Pflichtvariablen.
Deployment-Umgebungsdateien standardisieren
Vergleiche Variablen für Entwicklung, Staging und Produktion, um Drift vor dem Release zu reduzieren.
Praktiken zum Umgang mit Secrets prüfen
Überprüfe ein Projekt auf committete Secrets, schwache Platzhalter, fehlende .gitignore-Regeln und unsichere Logging-Muster.
Diese Prompts ausprobieren
Ein einfaches env-Template erstellen
Verwende den env-config-Skill, um eine einfache .env.template für meine Python-App zu entwerfen. Füge App-Einstellungen, Datenbankeinstellungen und API-Schlüssel-Platzhalter ohne echte Secrets hinzu.
Einen bestehenden Konfigurationsplan validieren
Verwende den env-config-Skill, um meine geplanten Umgebungsvariablen zu prüfen. Identifiziere fehlende Pflichtwerte, unsichere Standardwerte und welche Dateien committet oder ignoriert werden sollten.
Multi-Umgebungskonfiguration planen
Verwende den env-config-Skill, um Entwicklungs-, Staging- und Produktionsumgebungsdateien für einen UV Python-Service zu entwerfen. Zeige, was in jede Datei gehört und wie Secret-Drift vermieden wird.
Secrets-Workflow vor dem Release prüfen
Verwende den env-config-Skill, um den Konfigurations-Workflow meines Python-Service vor der Produktion zu prüfen. Prüfe .gitignore-Abdeckung, Secret-Rotation, Logging-Risiken, Validierung und Muster für Deployment-Injection.
Bewährte Praktiken
- Committe Templates und Dokumentation, keine echten .env-Dateien oder Secrets-Dateien.
- Validiere Pflichtvariablen beim Start und schlage geschlossen fehl, wenn Produktions-Secrets fehlen.
- Maskiere sensible Werte, bevor Konfigurationsausgaben geloggt, verglichen oder geteilt werden.
Vermeiden
- Remote-Installationsskripte ohne Überprüfung direkt per Pipe in eine Shell leiten.
- Entschlüsselte Secrets, Datenbank-URLs oder API-Schlüssel beim Debugging ausgeben.
- Produktions-.env-Dateien in Images oder in die Versionsverwaltung kopieren.
Häufig gestellte Fragen
Speichert oder verwaltet dieser Skill meine echten Secrets?
Nein. Er bietet Anleitung und Hilfsskripte. Du entscheidest, welche lokalen Dateien oder Secret-Manager du verwendest.
Kann ich ihn mit Claude Code verwenden?
Ja. Der Skill ist mit Claude, Codex und Claude Code für Aufgaben zur Umgebungskonfiguration kompatibel.
Ist die enthaltene Verschlüsselung ein vollständiges Enterprise-Secret-Management-System?
Nein. Es handelt sich um ein lokales Verschlüsselungswerkzeug. Produktionssysteme sollten verwaltete Secret Stores bevorzugen, wenn diese verfügbar sind.
Sollte .env.production committet werden?
Nein. Produktionsdateien enthalten in der Regel sensible Werte und sollten ignoriert oder durch Runtime-Injection ersetzt werden.
Warum ist UV enthalten?
UV bietet schnelles Python-Abhängigkeits- und Umgebungsmanagement, was ein wiederholbares Projekt-Setup unterstützt.
Was sollte ich vor der Veröffentlichung dieses Skills überprüfen?
Ersetze Pipe-to-Shell-Installationsbefehle und stelle sicher, dass Hilfsausgaben standardmäßig keine Secret-Werte offenlegen.
Entwicklerdetails
Autor
AutumnsGroveLizenz
MIT
Skillstore-Revision
r3
Versionshinweis
Der Autor hat keine Version angegeben.
Ref.
89edfdc710d0846129dcee6a929477b04f08052c
Aktualität der Wartung
25.7.2026
Nutzung
20 Downloads · 191 Aufrufe
Dateistruktur