スキル javascript-sdk

📦

javascript-sdk

Name: javascript-sdk
Author: inferen-sh

コンテンツリビジョン r2 高リスク ⚙️ 外部コマンド📁 ファイルシステムへのアクセス🔑 環境変数🌐 ネットワークアクセス⚡ スクリプトを含む

inference.sh JavaScript SDK アプリを構築する

JavaScript チームには、AI アプリの実行、エージェント、ファイル、ストリーミング、フロントエンドのセキュリティに関する明確なパターンが必要です。このスキルは、Node.js、TypeScript、React、サーバープロキシ向けに実践的な inference.sh SDK ガイダンスを提供します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "javascript-sdk" from https://skillstore.io/skills/inferen-sh-javascript-sdk.md and its manifest at https://skillstore.io/api/skills/inferen-sh-javascript-sdk/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/inferen-sh-javascript-sdk.md 署名済み manifest GET /api/skills/inferen-sh-javascript-sdk/manifest 署名済み lockfile GET /api/skills/inferen-sh-javascript-sdk/lockfile

テストする

「javascript-sdk」を使用しています。 inference.sh へのブラウザー呼び出し向けに安全な Next.js セットアップを作成してください。

期待される結果:

サーバー側のキー保存、クライアントプロキシ構成、認証チェック、レート制限、デプロイメモを含むバックエンドプロキシ計画。

「javascript-sdk」を使用しています。長時間実行される画像生成タスクから進行状況をストリーミングする方法を説明してください。

期待される結果:

ストリームオプション、進行状況処理、ログ表示、部分出力処理、完了状態を扱う段階的な統合概要。

「javascript-sdk」を使用しています。本番対応の観点から私のエージェントツール設計をレビューしてください。

期待される結果:

ツールスキーマ、承認要件、シークレットのスコープ、エラー処理、監査ログ、安全なフォールバック動作を扱うチェックリスト。

セキュリティ監査

高リスク

v5 • 2026/8/6 バージョン別レポートを開く

Most static matches are documentation syntax or legitimate SDK examples, including template literals, file operations, and server-side environment configuration. Confirmed risks include direct eval of agent input, an unpinned external skill install, broad package execution permissions, agent-callable webhooks, and a browser-exposed API key example.

スキャンされたファイル

3,961

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (1)

高

SKILL.md:4

Broad Package Execution Permission

The skill permits unrestricted npm, npx, node, pnpm, and yarn commands. These patterns can execute arbitrary packages and lifecycle scripts with the agent process permissions.

The allowed-tools frontmatter explicitly grants wildcard package-manager and Node command access. Those commands can execute downloaded code without a command-specific allowlist.

機能レビュー項目 (7)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

references/server-proxy.md:395

Generic API/secret keys

: { apiKey: process.env.NEXT_PUBLIC_INFERENCE_API_KEY })

The example places an inference API key in NEXT_PUBLIC_INFERENCE_API_KEY for direct browser use. Next.js exposes NEXT_PUBLIC values to client bundles, disclosing the credential.

高

references/tool-builder.md:240

Dynamic code evaluation with eval()

result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

高

references/tool-builder.md:387

Dynamic code evaluation with eval()

const result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

高

SKILL.md:7

Ruby/shell backtick execution

> **Install the belt CLI skill:** `npx skills add belt-sh/cli`

Line 7 instructs users to run an unpinned npx command that installs the external belt-sh/cli skill. This creates package and skill supply-chain exposure.

中

references/tool-builder.md:159

Slack webhook

const slack = webhookTool('notify_slack', 'https://hooks.slack.com/services/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

中

references/tool-builder.md:360

Slack webhook

const slack = webhookTool('notify', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

中

SKILL.md:301

Slack webhook

const notify = webhookTool('slack', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

リスク要因

⚙️ 外部コマンド (50)

📁 ファイルシステムへのアクセス (16)

references/agent-patterns.md:153 references/agent-patterns.md:159 references/agent-patterns.md:166 references/agent-patterns.md:129 references/files.md:139 references/files.md:141 references/files.md:153 references/files.md:155 references/files.md:236 references/files.md:249 references/files.md:272 references/files.md:278 references/files.md:412 references/files.md:417 SKILL.md:352 SKILL.md:354

🔑 環境変数 (50)

🌐 ネットワークアクセス (26)

⚡ スクリプトを含む (4)

references/tool-builder.md:240 references/tool-builder.md:387 references/typescript.md:316 references/typescript.md:320

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg)](https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/inferen-sh-javascript-sdk.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

inferen-sh. (2026). javascript-sdk security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5

BibTeX形式の引用

@techreport{inferen-sh-inferen-sh-javascript-sdk-2026,
  author = {inferen-sh},
  title = {javascript-sdk security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "javascript-sdk security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "inferen-sh"
date-released: "2026-08-06"
url: "https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5"
identifiers:
  - type: other
    value: "skillstore:inferen-sh-javascript-sdk:audit:5"
    description: "Skillstore immutable audit report identifier"

バリアントを比較

インストール可能なバリアント 2 件

各作者のスキルは個別のインストール項目として維持されます。推奨バリアントは Skillstore の証拠で順位付けされます。

このバリアントが首位の理由

Skillstore での利用が多い

作者 / ソース Skillstore スコア証拠の信頼度 Skillstore 利用状況更新済み

inferen-sh 推奨現在

inferen-sh-javascript-sdk

Skillstore スコア 38

証拠の信頼度中

Skillstore 利用状況 36

更新済み

2026-09-09

inference-sh-9

inference-sh-9-javascript-sdk

Skillstore スコア 38

証拠の信頼度中

Skillstore 利用状況 8

更新済み

2026-09-09

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

Node.js サービスに AI アプリを追加する

SDK を使用して inference.sh アプリを実行し、タスクステータスを管理し、進行状況をストリーミングし、サーバーアプリケーションでエラーを処理します。

安全な React AI 機能を構築する

バックエンドプロキシ経由でブラウザークライアントを構成し、React および Next.js アプリが API キーを公開せずに inference.sh を呼び出せるようにします。

エージェントワークフローを作成する

テンプレートエージェント、カスタムツール、ファイル添付、セッション、人による承認を組み合わせて、制御されたエージェント体験を構築します。

これらのプロンプトを試す

SDK をインストールする

@inferencesh/sdk を Node.js プロジェクトに追加し、サーバー側 API キーでクライアントを初期化するのを手伝ってください。

アプリを実行する

TypeScript から inference.sh アプリを実行し、完了を待機し、成功または失敗を処理する方法を示してください。

フロントエンドプロキシを追加する

React クライアントが API キーを受け取らないように、inference.sh 向けの Next.js プロキシルートを設計してください。

エージェントワークフローを設計する

型付けされたツール、ファイル添付、ストリーミングレスポンス、人による承認ゲートを備えた inference.sh エージェントワークフローの構築を手伝ってください。

ベストプラクティス

inference.sh API キーは信頼できるサーバーまたはシークレットマネージャーに保持し、ブラウザーバンドルには絶対に含めないでください。
タスクステータス、ツール引数、エラー処理には TypeScript 型を使用し、統合ミスを減らしてください。
ファイルを書き込む、webhook を呼び出す、またはコードを実行するツールには、承認と監査ログを必須にしてください。

回避

本番 API キーを NEXT_PUBLIC 環境変数やクライアント側設定を通じて公開しないでください。
モデルが生成したツール引数を eval() やその他の無制限なコード実行で評価しないでください。
スコープ付き権限とユーザー確認なしに、広範な webhook、ファイルアクセス、コード実行を有効にしないでください。

よくある質問

このスキルはどのパッケージを扱いますか？

JavaScript および TypeScript プロジェクト向けの @inferencesh/sdk パッケージを扱います。

React または Next.js で使用できますか？

はい。安全なフロントエンド統合のためのブラウザークライアントパターンとサーバープロキシ例が含まれています。

ストリーミングをサポートしていますか？

はい。リファレンスでは、タスク進行状況のストリーミング、ログ、部分出力、エージェントメッセージコールバックについて説明しています。

ファイルを扱えますか？

はい。アップロード、ダウンロード、バッファー、ストリーム、ブラウザーの File オブジェクト、エージェントのファイル添付について文書化しています。

これは完全なアプリケーションテンプレートですか？

いいえ。これは、自分のプロジェクト内で適用する実装パターンを含むドキュメントスキルです。

本番利用前に何をレビューすべきですか？

API キーの保存、プロキシ認証、レート制限、webhook 権限、ファイルアクセス、ツール承認フローをレビューしてください。

開発者情報

作成者

inferen-sh

ライセンス

MIT

Skillstore リビジョン

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/inferen-sh/skills/tree/main/sdk/javascript-sdk/

参照

4121de961d1b6f2ffca856260e239505c302452c

メンテナンスの新しさ

2026/8/12

利用状況

6 ダウンロード · 134 閲覧

ファイル構成

📁 references/

📄 agent-patterns.md

📄 files.md

📄 react-integration.md

📄 server-proxy.md

📄 sessions.md

📄 streaming.md

📄 tool-builder.md

📄 typescript.md

📄 SKILL.md