Habilidades distributed-debugging-debug-trace

📦

distributed-debugging-debug-trace

Name: distributed-debugging-debug-trace
Author: sickn33

Revisión del contenido r2 Crítico ⚡ Contiene scripts⚙️ Comandos externos🌐 Acceso a red📁 Acceso al sistema de archivos🔑 Variables de entorno

Configurar depuración y trazabilidad distribuidas

Las fallas distribuidas son difíciles de reproducir entre servicios. Esta skill ayuda a configurar trazabilidad, registro, perfilado, paneles y flujos de trabajo de depuración seguros para producción.

Compatible con: Claude Codex Code(CC)

⚠️ 38 Deficiente

No instales este Skill automáticamente.

La política canónica exige la revisión de un operador antes de cualquier acción de instalación.

Instalar con mi Agente

Copia esta solicitud en tu Agente. Incluye la página canónica del Skill y el manifiesto.

Solicitud de agente

Review the Skillstore skill "distributed-debugging-debug-trace" from https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace.md and its manifest at https://skillstore.io/api/skills/sickn33-distributed-debugging-debug-trace/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Tu Agente debe seguir mostrando su plan y solicitar cualquier confirmación exigida por la política de seguridad.

Recursos legibles por agentes

Usa estos enlaces cuando un agente de IA, crawler o script necesite contexto limpio en vez de leer la página completa.

Detalle Markdown GET /skills/sickn33-distributed-debugging-debug-trace.md Manifest firmado GET /api/skills/sickn33-distributed-debugging-debug-trace/manifest Lockfile firmado GET /api/skills/sickn33-distributed-debugging-debug-trace/lockfile

Pruébalo

Usando "distributed-debugging-debug-trace". Un equipo necesita diagnosticar solicitudes lentas entre los servicios de checkout, payment e inventory.

Resultado esperado:

Los límites de traza se definen en cada punto de entrada del servicio.
Los Trace IDs se agregan a los registros y encabezados de respuesta.
Los cuerpos de solicitud se excluyen de los spans salvo que se redacten explícitamente.
El muestreo se reduce para producción y se aumenta durante incidentes.

Usando "distributed-debugging-debug-trace". Un SRE quiere un plan de perfilado en producción para crecimiento de memoria.

Resultado esperado:

Los heap snapshots están restringidos mediante autorización y listas de IP permitidas.
Los archivos de snapshot se escriben en un directorio restringido.
Se documentan las reglas de retención y limpieza.
El plan evita exponer puertos de inspector a redes públicas.

Auditoría de seguridad

Crítico

v5 • 23/7/2026 Abrir el informe versionado

Most static findings are false positives caused by JavaScript template literals, explicit configuration reads, and ordinary profiler file output. Confirmed risks include unsafe dashboard rendering and debugger exposure. The playbook also contains unauthenticated runtime evaluation and sensitive telemetry patterns that require correction before publication.

Archivos escaneados

1,361

Líneas analizadas

Elementos de revisión

Falsos positivos ignorados

Preocupaciones de seguridad confirmadas (3)

Crítico

resources/implementation-playbook.md:179-255

Unauthenticated Remote Runtime Evaluation

The remote debug server accepts WebSocket messages without authentication and sends caller expressions to Runtime.evaluate. Network clients can execute code in the process.

The server directly routes unauthenticated evaluate messages to the Node.js inspector. The default all-interface binding makes remote access plausible.

Alto

resources/implementation-playbook.md:294-325

Sensitive Request Data Exported in Traces

The tracing example records complete request bodies, user identifiers, and session identifiers. The configured span processor exports these values to Jaeger.

The code explicitly serializes request.body and records user and session identifiers. No field allowlist or redaction occurs before export.

Alto

resources/implementation-playbook.md:1008-1046

Cross-Request Debug Log Capture

Production middleware replaces the process-wide console during one request. Concurrent request logs can enter another user debug context and expose sensitive data.

The console object is global, while capture state belongs to one request. Concurrent application activity can therefore be recorded in the wrong context.

Elementos de revisión de capacidades (7)

Estas son capacidades locales reales que pueden esperarse para esta habilidad, por lo que requieren revisión, pero no se cuentan como comportamiento malicioso confirmado.

Alto

resources/implementation-playbook.md:1183

innerHTML assignment (XSS risk)

container.innerHTML = `

The dashboard inserts WebSocket-supplied metrics into innerHTML without encoding. A crafted payload can execute script in the dashboard origin.

Alto

resources/implementation-playbook.md:1195

innerHTML assignment (XSS risk)

entry.innerHTML = `

The dashboard inserts WebSocket-supplied trace fields into innerHTML without encoding. A crafted payload can execute script in the dashboard origin.

Alto

resources/implementation-playbook.md:1208

innerHTML assignment (XSS risk)

entry.innerHTML = `

The dashboard inserts WebSocket-supplied log fields into innerHTML without encoding. A crafted payload can execute script in the dashboard origin.

Alto

resources/implementation-playbook.md:182

Hardcoded IP address

this.host = options.host || '0.0.0.0';

The example binds the Node.js inspector or remote debug service to all network interfaces. Exposed debugger access can permit arbitrary runtime evaluation.

Alto

resources/implementation-playbook.md:268

Hardcoded IP address

ENV NODE_OPTIONS="--inspect=0.0.0.0:9229"

The example binds the Node.js inspector or remote debug service to all network interfaces. Exposed debugger access can permit arbitrary runtime evaluation.

Alto

resources/implementation-playbook.md:269

Hardcoded IP address

CMD ["node", "--inspect-brk=0.0.0.0:9229", "index.js"]

The example binds the Node.js inspector or remote debug service to all network interfaces. Exposed debugger access can permit arbitrary runtime evaluation.

Medio

resources/implementation-playbook.md:1163

WebSocket connection

const ws = new WebSocket('ws://localhost:9231/debug');

The dashboard accepts unauthenticated plaintext WebSocket data and passes it to rendering functions. This permits local data injection and interception.

Factores de riesgo

⚡ Contiene scripts (3)

resources/implementation-playbook.md:1183 resources/implementation-playbook.md:1195 resources/implementation-playbook.md:1208

⚙️ Comandos externos (31)

🌐 Acceso a red (9)

resources/implementation-playbook.md:315 resources/implementation-playbook.md:388 resources/implementation-playbook.md:1163 resources/implementation-playbook.md:294 resources/implementation-playbook.md:898 resources/implementation-playbook.md:899 resources/implementation-playbook.md:182 resources/implementation-playbook.md:268 resources/implementation-playbook.md:269

📁 Acceso al sistema de archivos (7)

resources/implementation-playbook.md:681 resources/implementation-playbook.md:713 resources/implementation-playbook.md:737 resources/implementation-playbook.md:680 resources/implementation-playbook.md:713 resources/implementation-playbook.md:737 resources/implementation-playbook.md:56

🔑 Variables de entorno (50)

Auditado por: codex Ver historial de auditorías →

Compartir y citar este informe

Comparte el informe de evaluación versionado, la insignia neutral, la tarjeta insertable y las citas. Skillstore presenta evidencias sin decidir si este Skill es seguro.

Abrir el informe versionado

Copiar enlace del informe

https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Insignia Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-distributed-debugging-debug-trace/security.svg)](https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace?utm_source=security_passport_badge)

Insignia HTML

<a href="https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-distributed-debugging-debug-trace/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Tarjeta para insertar

<iframe src="https://skillstore.io/embed/skills/sickn33-distributed-debugging-debug-trace.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citas académicas (APA · BibTeX · CFF)

Cita APA

sickn33. (2026). distributed-debugging-debug-trace security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace/audits/5

Cita BibTeX

@techreport{sickn33-sickn33-distributed-debugging-debug-trace-2026,
  author = {sickn33},
  title = {distributed-debugging-debug-trace security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "distributed-debugging-debug-trace security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "sickn33"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace/audits/5"
identifiers:
  - type: other
    value: "skillstore:sickn33-distributed-debugging-debug-trace:audit:5"
    description: "Skillstore immutable audit report identifier"

Puntuación de Skillstore

Por qué esta puntuación Confianza de la evidencia: Medio

Arquitectura

Mantenibilidad

Contenido

Comunidad

Cumplimiento de la especificación

Lo que puedes crear

Rastrear fallas de servicios

Agregar límites de traza, correlation IDs y metadatos de span entre servicios relacionados.

Estandarizar registros de depuración

Crear registros de depuración, campos de metadatos y controles de muestreo coherentes para equipos.

Preparar diagnósticos de producción

Planificar perfilado controlado, paneles y procedimientos de depuración de emergencia para problemas en producción.

Prueba estos prompts

Planificar depuración básica

Crea una configuración de depuración para mi servicio Node.js. Incluye configuraciones de IDE, registros útiles y valores predeterminados seguros para desarrollo.

Agregar cobertura de trazas

Diseña trazabilidad con OpenTelemetry para estos servicios: [services]. Incluye límites de span, correlation IDs y reglas seguras de atributos.

Crear flujo de trabajo de perfilado

Crea un flujo de trabajo de perfilado para problemas de CPU y memoria en [service]. Incluye muestreo, almacenamiento, controles de acceso y limpieza.

Revisar depuración en producción

Audita este plan de depuración en producción en busca de riesgos de seguridad, fugas de datos, puertos expuestos y medidas operativas de protección: [plan].

Mejores prácticas

Vincula los depuradores remotos a localhost salvo que se use un túnel seguro.
Redacta secretos, cuerpos de solicitud y datos personales antes de registrarlos o trazarlos.
Almacena perfiles y heap snapshots con controles de acceso estrictos y límites de retención.

Evitar

No expongas puertos de inspector en 0.0.0.0 en producción.
No coloques mensajes de depuración no confiables en el DOM con innerHTML.
No habilites trazabilidad detallada sin muestreo, redacción y límites de almacenamiento.

Preguntas frecuentes

¿A qué sistemas está dirigida esta skill?

Se centra en servicios Node.js, trazabilidad distribuida, registros de depuración, perfilado, paneles y flujos de trabajo de depuración en IDE.

¿Puede usarse para depuración en producción?

Sí, pero los ejemplos de producción requieren autenticación sólida, redacción, muestreo y restricciones de red antes de usarse.

¿Instala herramientas de observabilidad?

No. Proporciona orientación de implementación y ejemplos que los usuarios deben adaptar y ejecutar por su cuenta.

¿Admite Claude, Codex y Claude Code?

Sí. El informe indica soporte para Claude, Codex y Claude Code.

¿Qué datos deben excluirse de las trazas?

Excluye secretos, tokens, contraseñas, cuerpos de solicitud sin procesar, identificadores de sesión y datos personales salvo que estén redactados de forma segura.

¿Cuál es la principal preocupación de seguridad?

Los ejemplos incluyen patrones de depuración remota y recopilación de datos de depuración que pueden ser inseguros sin controles estrictos.