Compétences playwright-skill

📦

playwright-skill

Name: playwright-skill
Author: lackeyjb

Révision du contenu r1 Critique ⚙️ Commandes externes🌐 Accès réseau📁 Accès au système de fichiers🔑 Variables d’environnement⚡ Contient des scripts

Automatiser les tests de navigateur avec Playwright

Les vérifications manuelles dans le navigateur sont lentes et faciles à oublier. Cette skill crée une automatisation Playwright pour les tests de pages, les formulaires, les captures d’écran, les vérifications responsives et les vérifications de liens.

Prend en charge: Claude Codex Code(CC)

⚠️ 38 Médiocre

Maintain this Skill? Claim it ⚠️ 38 Médiocre

N’installez pas automatiquement ce Skill.

La politique de référence exige un examen par un opérateur avant toute action d’installation.

Installer avec mon Agent

Copiez cette demande dans votre Agent. Elle contient la page Skill de référence et le manifeste.

Demande d’agent

Review the Skillstore skill "playwright-skill" from https://skillstore.io/skills/lackeyjb-playwright-skill.md and its manifest at https://skillstore.io/api/skills/lackeyjb-playwright-skill/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Votre Agent doit toujours présenter son plan et demander toute confirmation exigée par la politique de sécurité.

Ressources lisibles par les agents

Utilisez ces liens lorsqu’un Agent IA, un crawler ou un script a besoin d’un contexte propre au lieu de lire toute la page.

Détail Markdown GET /skills/lackeyjb-playwright-skill.md manifest signé GET /api/skills/lackeyjb-playwright-skill/manifest lockfile signé GET /api/skills/lackeyjb-playwright-skill/lockfile

Tester

Utilisation de « playwright-skill ». Teste ma page marketing sur le serveur de développement en cours d’exécution.

Résultat attendu:

A détecté un serveur local et ouvert la page marketing.
A capturé des captures d’écran desktop et mobile dans le répertoire temporaire.
A signalé un chevauchement de navigation mobile et un état d’appel à l’action manquant.

Utilisation de « playwright-skill ». Vérifie si la connexion redirige correctement.

Résultat attendu:

A ouvert la page de connexion et soumis le compte de test fourni.
A confirmé la redirection vers le tableau de bord après une connexion réussie.
A noté une requête réseau lente qui retardait l’état prêt.

Utilisation de « playwright-skill ». Trouve les liens sortants cassés sur cette page.

Résultat attendu:

A collecté les liens sortants visibles depuis la page.
A vérifié la réponse de chaque lien et résumé les échecs.
A retourné la liste des liens cassés avec les codes de statut et le contexte de la page.

Audit de sécurité

Critique

v4 • 06/07/2026 Ouvrir le rapport versionné

Most static findings are false positives from Markdown examples and JavaScript template literals. Real risks remain in the local JavaScript executor, automatic installation commands, disabled Chromium sandbox flags, localhost port probing, and environment-derived request headers.

Fichiers analysés

1,779

Lignes analysées

Éléments à examiner

Faux positifs ignorés

Préoccupations de sécurité confirmées (4)

Critique

run.js:52-73 run.js:121-173 run.js:201-209

Arbitrary JavaScript Execution Surface

run.js accepts automation code from a file path, inline argument, or stdin, writes it to a temporary file, and require()s it. A malicious or mistaken script can run with local Node permissions.

The code path from accepted input to generated file to require(tempFile) is direct. This is intentional executor behavior, but it is still arbitrary local code execution.

Élevé

lib/helpers.js:47

UID/GID manipulation

args: ['--no-sandbox', '--disable-setuid-sandbox']

The browser launch args include --no-sandbox and --disable-setuid-sandbox. Disabling Chromium sandbox protections increases impact if browser content is compromised.

Moyen

lib/helpers.js:15-28 lib/helpers.js:351-366

Environment Headers Can Be Forwarded to Visited Sites

The helper reads PW_HEADER_VALUE and PW_EXTRA_HEADERS from environment variables and merges them into browser extraHTTPHeaders. Secrets placed there can be sent to every target origin used with the helper.

The source environment variables are parsed and later assigned to extraHTTPHeaders. The risk depends on user configuration and target origin, so medium severity is appropriate.

Faible

lib/helpers.js:392

System reconnaissance

hostname: 'localhost',

The helper probes common localhost ports to discover development servers. It is disclosed behavior, but it still enumerates local services.

Éléments d’évaluation des capacités (22)

Il s’agit de capacités locales réelles qui peuvent être attendues pour cette compétence ; elles nécessitent donc un examen, mais ne sont pas comptabilisées comme comportement malveillant confirmé.

Critique

run.js:209

Dynamic require with variable

require(tempFile);

The executor require()s a temporary file built from file, argument, or stdin input. That is arbitrary JavaScript execution with local Node permissions.

Élevé

run.js:15

Node.js child_process module

const { execSync } = require('child_process');

run.js imports child_process and later uses execSync for installation commands. The capability is real external command execution in the skill runtime.

Élevé

run.js:38

Synchronous process execution

execSync('npm install', { stdio: 'inherit', cwd: __dirname });

The executor runs npm install automatically when Playwright is missing. That command can execute package lifecycle behavior and changes local dependencies.

Élevé

run.js:39

Synchronous process execution

execSync('npx playwright install chromium', { stdio: 'inherit', cwd: __dirname });

The executor runs npx playwright install chromium as a synchronous external command. This performs network-backed installation work from the skill runtime.

Élevé

run.js:121-156

Ruby/shell backtick execution

return `

This template literal embeds supplied automation code into a generated script. It is not Ruby execution, but it participates in arbitrary local JavaScript execution.

Élevé

run.js:161-173

Ruby/shell backtick execution

return `

This wrapper builds executable JavaScript around supplied code when an async wrapper is missing. The generated code is later loaded by the executor.

Élevé

run.js:205

Node.js fs operations

fs.writeFileSync(tempFile, code, 'utf8');

The executor writes generated automation code to a temporary JavaScript file. That file is then loaded, so the write is part of local code execution.

Élevé

run.js:205

Synchronous file operations

fs.writeFileSync(tempFile, code, 'utf8');

The executor synchronously writes generated code to a temporary JavaScript file. The file becomes executable input for require().

Moyen

lib/helpers.js:16

Environment variable access (dot notation)

const headerValue = process.env.PW_HEADER_VALUE;

The helper reads PW_HEADER_VALUE from process.env and can forward it as a browser header. Header values can contain tokens or other secrets.

Moyen

lib/helpers.js:22

Environment variable access (dot notation)

const headersJson = process.env.PW_EXTRA_HEADERS;

The helper reads PW_EXTRA_HEADERS from process.env and parses arbitrary header values. Those values may include sensitive authentication material.

Moyen

lib/helpers.js:16

Environment variable object

const headerValue = process.env.PW_HEADER_VALUE;

The helper accesses process.env for PW_HEADER_VALUE and can forward it to visited sites. This can expose sensitive user-provided header values.

Moyen

lib/helpers.js:22

Environment variable object

const headersJson = process.env.PW_EXTRA_HEADERS;

The helper accesses process.env for PW_EXTRA_HEADERS and parses them into browser headers. This can forward sensitive values to target origins.

Moyen

run.js:59

Node.js fs operations

return fs.readFileSync(filePath, 'utf8');

The executor reads a caller-provided file path as automation code. A mistaken or malicious path can expose local file contents to the execution path.

Moyen

run.js:71

Node.js fs operations

return fs.readFileSync(0, 'utf8');

The executor reads stdin as automation code. The file descriptor is expected, but this still forms an unreviewed code input path.

Moyen

run.js:59

Synchronous file operations

return fs.readFileSync(filePath, 'utf8');

The executor synchronously reads a caller-provided file path as automation code. This is real filesystem access tied to local code execution.

Moyen

run.js:71

Synchronous file operations

return fs.readFileSync(0, 'utf8');

The executor synchronously reads stdin as automation code. The risk is the unreviewed code input path, not ordinary data storage.

Faible

lib/helpers.js:391

HTTP/HTTPS request

const req = http.request({

detectDevServers sends HTTP HEAD requests to localhost ports. The scan is limited and documented, but it is real local network probing.

Faible

lib/helpers.js:391

HTTP client library

const req = http.request({

The helper creates HTTP requests for localhost server detection. This is legitimate functionality, but it is still network activity from the skill.

Faible

lib/helpers.js:399

Hardcoded URL

detectedServers.push(`http://localhost:${port}`);

The helper constructs localhost URLs for detected ports. The target is local and expected, so the security impact is low.

Faible

lib/helpers.js:15

Environment variable access (dot notation)

const headerName = process.env.PW_HEADER_NAME;

The helper reads PW_HEADER_NAME from process.env for outgoing browser headers. This is user-configured, but it affects what the browser sends.

Faible

lib/helpers.js:15

Environment variable object

const headerName = process.env.PW_HEADER_NAME;

The helper accesses process.env for PW_HEADER_NAME used in outgoing browser headers. This is expected but still environment-driven behavior.

Faible

run.js:56

Node.js fs stat operations

if (args.length > 0 && fs.existsSync(args[0])) {

The executor tests a user-supplied argument as a filesystem path before reading it. This is expected for script input but still expands filesystem access.

Facteurs de risque

⚙️ Commandes externes (90)

API_REFERENCE.md:502-503 API_REFERENCE.md:530-538 API_REFERENCE.md:602-603 lib/helpers.js:54 lib/helpers.js:134 lib/helpers.js:137 lib/helpers.js:187 lib/helpers.js:195 lib/helpers.js:271 lib/helpers.js:334 lib/helpers.js:399 lib/helpers.js:400 run.js:15 run.js:38 run.js:39 run.js:58 run.js:121-156 run.js:161-173 run.js:201 SKILL.md:7 SKILL.md:11 SKILL.md:12 SKILL.md:13 SKILL.md:23-25 SKILL.md:25-31 SKILL.md:31-33 SKILL.md:33-41 SKILL.md:41-42 SKILL.md:42-48 SKILL.md:48-51 SKILL.md:51-59 SKILL.md:59-61 SKILL.md:61-65 SKILL.md:65-84 SKILL.md:84-88 SKILL.md:88-90 SKILL.md:90-96 SKILL.md:96-118 SKILL.md:118-122 SKILL.md:122-132 SKILL.md:132-144 SKILL.md:144-148 SKILL.md:148-158 SKILL.md:158-171 SKILL.md:171-175 SKILL.md:175-201 SKILL.md:201-202 SKILL.md:202-206 SKILL.md:206-210 SKILL.md:210-235 SKILL.md:235-239 SKILL.md:239-257 SKILL.md:257-269 SKILL.md:269-277 SKILL.md:277-283 SKILL.md:283-293 SKILL.md:293-302 SKILL.md:302-304 SKILL.md:304-325 SKILL.md:325-327 SKILL.md:327-341 SKILL.md:341-344 SKILL.md:344-348 SKILL.md:348-351 SKILL.md:351-355 SKILL.md:355-357 SKILL.md:357-361 SKILL.md:361-363 SKILL.md:363-365 SKILL.md:365-369 SKILL.md:369-386 SKILL.md:386-387 SKILL.md:387 SKILL.md:388-389 SKILL.md:389-390 SKILL.md:390-391 SKILL.md:391-392 SKILL.md:392-393 SKILL.md:393 SKILL.md:395-401 SKILL.md:401-403 SKILL.md:403-406 SKILL.md:406-409 SKILL.md:409-412 SKILL.md:412-416 SKILL.md:416-427 SKILL.md:427-429 SKILL.md:429-444 SKILL.md:444-451 SKILL.md:451-452

🌐 Accès réseau (21)

📁 Accès au système de fichiers (43)

🔑 Variables d’environnement (18)

API_REFERENCE.md:53 API_REFERENCE.md:54 API_REFERENCE.md:55 API_REFERENCE.md:72 API_REFERENCE.md:53 API_REFERENCE.md:54 API_REFERENCE.md:55 API_REFERENCE.md:72 lib/helpers.js:15 lib/helpers.js:16 lib/helpers.js:22 lib/helpers.js:45 lib/helpers.js:46 lib/helpers.js:15 lib/helpers.js:16 lib/helpers.js:22 lib/helpers.js:45 lib/helpers.js:46

⚡ Contient des scripts (3)

lib/helpers.js:174 run.js:110 run.js:209

Motifs détectés

UID/GID manipulationSystem reconnaissance

Audité par: codex Voir l’historique des audits →

Partager et citer ce rapport

Partagez le rapport d’évaluation versionné, le badge neutre, la carte intégrable et les citations. Skillstore présente les preuves sans décider si ce Skill est sûr.

Ouvrir le rapport versionné

Copier le lien du rapport

https://skillstore.io/skills/lackeyjb-playwright-skill/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/lackeyjb-playwright-skill/security.svg)](https://skillstore.io/skills/lackeyjb-playwright-skill?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/lackeyjb-playwright-skill?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/lackeyjb-playwright-skill/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Carte intégrable

<iframe src="https://skillstore.io/embed/skills/lackeyjb-playwright-skill.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citations académiques (APA · BibTeX · CFF)

Citation APA

lackeyjb. (2026). playwright-skill security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/lackeyjb-playwright-skill/audits/4

Citation BibTeX

@techreport{lackeyjb-lackeyjb-playwright-skill-2026,
  author = {lackeyjb},
  title = {playwright-skill security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/lackeyjb-playwright-skill/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "playwright-skill security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "lackeyjb"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/lackeyjb-playwright-skill/audits/4"
identifiers:
  - type: other
    value: "skillstore:lackeyjb-playwright-skill:audit:4"
    description: "Skillstore immutable audit report identifier"

Comparer les variantes

2 variantes installables

Chaque auteur reste un skill installable distinct. La variante recommandée est classée selon les preuves Skillstore.

Pourquoi cette variante est première

Utilisation Skillstore plus élevée

Auteur / source Score Skillstore Niveau de confiance des preuves Utilisation Skillstore Mis à jour

sickn33 Recommandé

sickn33-playwright-skill

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 31

Mis à jour

2026-09-09

lackeyjb Actuelle

lackeyjb-playwright-skill

Score Skillstore 38

Niveau de confiance des preuves Moyen

Utilisation Skillstore 21

Mis à jour

2026-09-09

Score Skillstore

Pourquoi ce score Niveau de confiance des preuves: Moyen

Architecture

Maintenabilité

Contenu

Communauté

Conformité aux spécifications

Ce que vous pouvez créer

Valider une application web locale

Détecter le serveur de développement actif, ouvrir les pages clés et signaler les échecs évidents d’interface utilisateur ou de navigation.

Vérifier les flux de release

Tester la connexion, les formulaires, les redirections et les liens cassés avant un déploiement ou une démo.

Capturer des preuves responsives

Créer des captures d’écran sur des tailles d’appareil courantes pour une revue, des rapports de bugs ou une validation de conception.

Essayez ces prompts

Tester une page

Détecte mon serveur de développement local, ouvre la page principale, prends des captures d’écran desktop et mobile, et signale les problèmes de mise en page visibles.

Vérifier un flux de connexion

Teste le flux de connexion sur mon application locale. Demande les identifiants si nécessaire, puis vérifie le comportement de redirection et les indicateurs de réussite visibles.

Auditer les liens et les formulaires

Vérifie les liens importants et un formulaire de contact sur l’URL fournie. Signale les liens cassés, les soumissions échouées et les erreurs console.

Lancer une revue complète dans le navigateur

Crée une revue Playwright pour TARGET_URL couvrant les captures d’écran responsives, la connexion, les liens cassés, les erreurs console et l’état de préparation des pages. Demande avant d’exécuter des commandes.

Bonnes pratiques

Examinez les scripts générés avant de les exécuter contre des systèmes sensibles.
Utilisez des comptes de test et des données temporaires pour les vérifications de connexion et de formulaire.
Limitez les en-têtes personnalisés aux origines cibles fiables.

Éviter

N’exécutez pas de scripts de navigateur arbitraires issus de prompts non fiables sans revue.
N’envoyez pas par défaut d’identifiants de production via des en-têtes d’environnement.
Ne considérez pas les captures d’écran comme un audit complet d’accessibilité ou de sécurité.

Foire aux questions

Cette skill installe-t-elle Playwright ?

L’exécuteur peut lancer des commandes de configuration lorsque Playwright est absent. Examinez les commandes d’installation avant utilisation dans des environnements restreints.

Peut-elle tester des serveurs de développement locaux ?

Oui. Elle vérifie les ports localhost courants et peut utiliser le serveur détecté pour l’automatisation du navigateur.

Peut-elle tester des sites web externes ?

Oui. Fournissez une URL et confirmez que les tests automatisés sont autorisés pour ce site.

S’exécute-t-elle dans un navigateur visible ?

La skill privilégie les exécutions dans un navigateur visible, sauf si le mode headless est demandé.

Où sont stockés les scripts et captures d’écran temporaires ?

Les instructions utilisent des chemins temporaires, généralement sous le répertoire temporaire du système.

Quelle est la principale préoccupation de sécurité ?

Elle exécute localement du JavaScript généré, les utilisateurs doivent donc examiner les scripts et éviter les identifiants sensibles.