📦

javascript-sdk

Name: javascript-sdk
Author: inferen-sh

Inhaltsrevision r2 Hohes Risiko ⚙️ Externe Befehle📁 Dateisystemzugriff🔑 Umgebungsvariablen🌐 Netzwerkzugriff⚡ Enthält Skripte

inference.sh-JavaScript-SDK-Apps erstellen

JavaScript-Teams benötigen klare Muster für die Ausführung von KI-Apps, Agenten, Dateien, Streaming und Frontend-Sicherheit. Dieser Skill bietet praktische inference.sh-SDK-Anleitungen für Node.js, TypeScript, React und Server-Proxys.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Vor der Installation anhalten und eine Bestätigung anfordern.

Prüfen Sie den Plan und holen Sie vor Änderungen an Dateien die ausdrückliche Zustimmung des Benutzers ein.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "javascript-sdk" from https://skillstore.io/skills/inferen-sh-javascript-sdk.md and its manifest at https://skillstore.io/api/skills/inferen-sh-javascript-sdk/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/inferen-sh-javascript-sdk.md Signiertes manifest GET /api/skills/inferen-sh-javascript-sdk/manifest Signiertes lockfile GET /api/skills/inferen-sh-javascript-sdk/lockfile

Testen

„javascript-sdk“ wird verwendet. Erstelle ein sicheres Next.js-Setup für Browser-Aufrufe an inference.sh.

Erwartetes Ergebnis:

Ein Backend-Proxy-Plan mit serverseitiger Schlüsselspeicherung, Client-Proxy-Konfiguration, Authentifizierungsprüfungen, Rate Limiting und Deployment-Hinweisen.

„javascript-sdk“ wird verwendet. Erkläre, wie man Fortschritt aus einer lang laufenden Bildgenerierungsaufgabe streamt.

Erwartetes Ergebnis:

Eine schrittweise Integrationsübersicht zu Stream-Optionen, Fortschrittsbehandlung, Log-Anzeige, Behandlung partieller Ausgaben und Abschlusszuständen.

„javascript-sdk“ wird verwendet. Überprüfe mein Agent-Tool-Design auf Produktionstauglichkeit.

Erwartetes Ergebnis:

Eine Checkliste zu Tool-Schemas, Freigabeanforderungen, Secret-Geltungsbereich, Fehlerbehandlung, Audit-Logs und sicherem Fallback-Verhalten.

Sicherheitsaudit

Hohes Risiko

v5 • 6.8.2026 Versionsbericht öffnen

Most static matches are documentation syntax or legitimate SDK examples, including template literals, file operations, and server-side environment configuration. Confirmed risks include direct eval of agent input, an unpinned external skill install, broad package execution permissions, agent-callable webhooks, and a browser-exposed API key example.

Gescannte Dateien

3,961

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (1)

Hoch

SKILL.md:4

Broad Package Execution Permission

The skill permits unrestricted npm, npx, node, pnpm, and yarn commands. These patterns can execute arbitrary packages and lifecycle scripts with the agent process permissions.

The allowed-tools frontmatter explicitly grants wildcard package-manager and Node command access. Those commands can execute downloaded code without a command-specific allowlist.

Elemente der Fähigkeitsprüfung (7)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch

references/server-proxy.md:395

Generic API/secret keys

: { apiKey: process.env.NEXT_PUBLIC_INFERENCE_API_KEY })

The example places an inference API key in NEXT_PUBLIC_INFERENCE_API_KEY for direct browser use. Next.js exposes NEXT_PUBLIC values to client bundles, disclosing the credential.

Hoch

references/tool-builder.md:240

Dynamic code evaluation with eval()

result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

Hoch

references/tool-builder.md:387

Dynamic code evaluation with eval()

const result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

Hoch

SKILL.md:7

Ruby/shell backtick execution

> **Install the belt CLI skill:** `npx skills add belt-sh/cli`

Line 7 instructs users to run an unpinned npx command that installs the external belt-sh/cli skill. This creates package and skill supply-chain exposure.

Mittel

references/tool-builder.md:159

Slack webhook

const slack = webhookTool('notify_slack', 'https://hooks.slack.com/services/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

Mittel

references/tool-builder.md:360

Slack webhook

const slack = webhookTool('notify', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

Mittel

SKILL.md:301

Slack webhook

const notify = webhookTool('slack', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

Risikofaktoren

⚙️ Externe Befehle (50)

📁 Dateisystemzugriff (16)

references/agent-patterns.md:153 references/agent-patterns.md:159 references/agent-patterns.md:166 references/agent-patterns.md:129 references/files.md:139 references/files.md:141 references/files.md:153 references/files.md:155 references/files.md:236 references/files.md:249 references/files.md:272 references/files.md:278 references/files.md:412 references/files.md:417 SKILL.md:352 SKILL.md:354

🔑 Umgebungsvariablen (50)

🌐 Netzwerkzugriff (26)

⚡ Enthält Skripte (4)

references/tool-builder.md:240 references/tool-builder.md:387 references/typescript.md:316 references/typescript.md:320

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg)](https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/inferen-sh-javascript-sdk.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

inferen-sh. (2026). javascript-sdk security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5

BibTeX-Zitat

@techreport{inferen-sh-inferen-sh-javascript-sdk-2026,
  author = {inferen-sh},
  title = {javascript-sdk security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "javascript-sdk security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "inferen-sh"
date-released: "2026-08-06"
url: "https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5"
identifiers:
  - type: other
    value: "skillstore:inferen-sh-javascript-sdk:audit:5"
    description: "Skillstore immutable audit report identifier"

Varianten vergleichen

2 installierbare Varianten

Jeder Autor bleibt ein eigener installierbarer Skill. Die empfohlene Variante wird nach Skillstore-Nachweisen bewertet.

Warum diese Variante zuerst steht

Höhere Skillstore-Nutzung

Autor / Quelle Skillstore-Score Evidenzvertrauen Skillstore-Nutzung Aktualisiert

inferen-sh Empfohlen Aktuell

inferen-sh-javascript-sdk

Skillstore-Score 38

Evidenzvertrauen Mittel

Skillstore-Nutzung 36

Aktualisiert

2026-09-09

inference-sh-9

inference-sh-9-javascript-sdk

Skillstore-Score 38

Evidenzvertrauen Mittel

Skillstore-Nutzung 8

Aktualisiert

2026-09-09

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

KI-Apps zu Node.js-Services hinzufügen

Verwende das SDK, um inference.sh-Apps auszuführen, den Task-Status zu verwalten, Fortschritt zu streamen und Fehler in einer Serveranwendung zu behandeln.

Sichere React-KI-Funktionen erstellen

Konfiguriere Browser-Clients über einen Backend-Proxy, damit React- und Next.js-Apps inference.sh aufrufen können, ohne API-Schlüssel offenzulegen.

Agent-Workflows erstellen

Kombiniere Template-Agenten, benutzerdefinierte Tools, Dateianhänge, Sitzungen und menschliche Freigabe für kontrollierte Agent-Erlebnisse.

Diese Prompts ausprobieren

SDK installieren

Hilf mir, @inferencesh/sdk zu meinem Node.js-Projekt hinzuzufügen und einen Client mit einem serverseitigen API-Schlüssel zu initialisieren.

Eine App ausführen

Zeig mir, wie ich eine inference.sh-App aus TypeScript ausführe, auf den Abschluss warte und Erfolg oder Fehler behandle.

Frontend-Proxy hinzufügen

Entwirf eine Next.js-Proxy-Route für inference.sh, damit mein React-Client den API-Schlüssel nie erhält.

Agent-Workflow entwerfen

Hilf mir, einen inference.sh-Agent-Workflow mit typisierten Tools, Dateianhängen, Streaming-Antworten und menschlichen Freigabe-Gates zu erstellen.

Bewährte Praktiken

Bewahre inference.sh-API-Schlüssel auf vertrauenswürdigen Servern oder in Secret-Managern auf, niemals in Browser-Bundles.
Nutze TypeScript-Typen für Task-Status, Tool-Argumente und Fehlerbehandlung, um Integrationsfehler zu reduzieren.
Verlange Freigabe und Audit-Logging für Tools, die Dateien schreiben, Webhooks aufrufen oder Code ausführen.

Vermeiden

Lege Produktions-API-Schlüssel nicht über NEXT_PUBLIC-Umgebungsvariablen oder clientseitige Konfiguration offen.
Werte modellgenerierte Tool-Argumente nicht mit eval() oder anderer uneingeschränkter Codeausführung aus.
Aktiviere keine breit gefassten Webhooks, Dateizugriffe oder Codeausführung ohne begrenzte Berechtigungen und Benutzerbestätigung.