スキル legend-shop-supply-api
📦
legend-shop-supply-api
コンテンツリビジョン r1 重大 🌐 ネットワークアクセス🔑 環境変数⚙️ 外部コマンド
LegendShop供給商品のクエリ
加盟店は在庫を選定する前に、最新のサプライヤー商品データを必要とします。このスキルは、プラットフォームAPIを通じてLegendShopの商品、在庫、価格、残高データをクエリします。
対応: Claude Codex Code(CC)
この Skill を自動インストールしないでください。
基準ポリシーにより、インストール操作の前にオペレーターのレビューが必要です。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "legend-shop-supply-api" from https://skillstore.io/skills/legendmall-legend-shop-supply-api.md and its manifest at https://skillstore.io/api/skills/legendmall-legend-shop-supply-api/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「legend-shop-supply-api」を使用しています。 利用可能な商品の最初のページを表示してください。
期待される結果:
商品ID、総件数、ページ情報、次のアクション提案を含む商品リストの要約を返します。
「legend-shop-supply-api」を使用しています。 商品1249846の詳細を確認してください。
期待される結果:
APIがアクセスを許可している場合、商品名、価格、SKUオプション、画像、パラメータを返します。
「legend-shop-supply-api」を使用しています。 私の開発者アカウント残高はいくらですか？
期待される結果:
トークンにアカウント権限がある場合、APIステータス、成功メッセージ、現在の残高を返します。
セキュリティ監査
重大v4 • 2026/7/6 バージョン別レポートを開く
The skill legitimately performs network API calls to LegendShop and documents endpoint URLs. The most serious issue is embedded client credentials that can obtain tokens and query developer account balance. Many static Markdown, CSS, and entropy detections are false positives.
9
スキャンされたファイル
1,201
解析済み行数
19
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (2)
重大
Hardcoded API Credentials
The script defines a client ID and client secret and uses them to request LegendShop tokens. The OpenAPI spec also publishes the same credential defaults, so any installer can reuse them.
The client ID and secret are literal values in executable code and schema defaults, and the token request uses them directly.
高
Developer Balance Exposure
The skill includes a balance command that uses the shared token to call the developer funds account endpoint. This can disclose account balance data to users who run the skill.
The balance endpoint and output format are documented, and the script implements the call after obtaining the embedded credential token.
機能レビュー項目 (19)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
中
Hardcoded URL
- url: http://openapi.legendmall.cn
The spec includes a plain HTTP test server for the balance endpoint. If used, tokens or account data could be sent without TLS.
中
Proxy environment variable
os.environ['HTTP_PROXY'] = ''
The script clears HTTP_PROXY before making requests. This can bypass user or enterprise egress controls.
中
Proxy environment variable
os.environ['HTTPS_PROXY'] = ''
The script clears HTTPS_PROXY before making requests. This can bypass configured TLS inspection or outbound routing policy.
中
Proxy environment variable
os.environ['http_proxy'] = ''
The script clears lowercase http_proxy before making requests. This intentionally avoids proxy settings from the environment.
中
Proxy environment variable
os.environ['https_proxy'] = ''
The script clears lowercase https_proxy before making requests. This intentionally avoids proxy settings from the environment.
中
Python environment access
os.environ['HTTP_PROXY'] = ''
The code writes to HTTP_PROXY in process environment state. The change is security relevant because it alters outbound routing.
中
Python environment access
os.environ['HTTPS_PROXY'] = ''
The code writes to HTTPS_PROXY in process environment state. The change is security relevant because it alters outbound routing.
中
Python environment access
os.environ['http_proxy'] = ''
The code writes to lowercase http_proxy in process environment state. This bypasses proxy policy for subsequent requests.
中
Python environment access
os.environ['https_proxy'] = ''
The code writes to lowercase https_proxy in process environment state. This bypasses proxy policy for subsequent requests.
中
Ruby/shell backtick execution
1. **自动获取 Token**: 调用 `api_client.py token` 获取访问令牌
The instructions tell the agent to call the local api_client.py token command. That is intended external command execution, though with fixed arguments.
中
Ruby/shell backtick execution
2. **查询商品列表**: 调用 `api_client.py list [page] [size]` 获取商品列表
The instructions tell the agent to call the local api_client.py list command. This creates an external process that performs network requests.
中
Ruby/shell backtick execution
3. **获取商品详情**: 根据 spuId 调用 `api_client.py detail <spuId>` 获取详情
The instructions tell the agent to call api_client.py detail with a product ID argument. The command is expected behavior but still invokes a local executable.
中
Ruby/shell backtick execution
4. **查询资金余额**: 调用 `api_client.py balance` 获取开发者资金账号余额
The instructions tell the agent to call api_client.py balance. This external command can retrieve financial account data.
中
Ruby/shell backtick execution
```bash
The bash example contains explicit python scripts/api_client.py commands. These commands run local code that obtains tokens and calls the external API.
低
Hardcoded URL
<img src="http://img13.360buyimg.com/n1/jfs/t1/155849/39/30868/22646/632d2df8E5e6eab3b/1df09449d1e36
The preview embeds an external product image over plain HTTP. Rendering the preview can contact a third-party host and expose viewer network metadata.
低
Hardcoded URL
- url: https://openapi.legendshop.cn
The OpenAPI spec declares the LegendShop production API host. This is an intended network target, but it is still an external service dependency.
低
Hardcoded URL
- url: https://openapi.legendshop.cn
The balance endpoint declares the LegendShop production API host. Clients generated from this spec can make outbound requests there.
低
Python HTTP libraries
session = requests.Session()
The script creates a requests Session that is used for outbound POST calls. Network access is a real executable capability of the skill.
低
Hardcoded URL
API_URL = "https://openapi.legendshop.cn"
The executable script hardcodes the LegendShop API host and uses it for token, product, detail, and balance requests.
リスク要因
🌐 ネットワークアクセス (23)
preview.html:352 references/api_spec.yaml:7 references/api_spec.yaml:138 references/api_spec.yaml:140 scripts/api_client.py:25 scripts/api_client.py:46 scripts/api_client.py:66 scripts/api_client.py:83 scripts/api_client.py:99 scripts/api_client.py:20 scripts/api_client.py:12 scripts/api_client.py:13 scripts/api_client.py:14 scripts/api_client.py:15 SKILL.md:23 SKILL.md:24 SKILL.md:34 SKILL.md:57 SKILL.md:58 SKILL.md:95 SKILL.md:137 skill.yaml:56 skill.yaml:57
🔑 環境変数 (4)
⚙️ 外部コマンド (29)
SKILL.md:23 SKILL.md:24 SKILL.md:32 SKILL.md:34 SKILL.md:41 SKILL.md:54 SKILL.md:57 SKILL.md:58 SKILL.md:82-89 SKILL.md:89-93 SKILL.md:93-95 SKILL.md:95-120 SKILL.md:120-131 SKILL.md:131-135 SKILL.md:135-137 SKILL.md:137-173 SKILL.md:173-174 SKILL.md:174-175 SKILL.md:175-176 SKILL.md:176-180 SKILL.md:180-192 SKILL.md:192-200 SKILL.md:200-207 SKILL.md:207-211 SKILL.md:211-225 SKILL.md:225-229 SKILL.md:229-238 SKILL.md:238-252 SKILL.md:252-256
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/legendmall-legend-shop-supply-api/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/legendmall-legend-shop-supply-api?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/legendmall-legend-shop-supply-api?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/legendmall-legend-shop-supply-api/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/legendmall-legend-shop-supply-api.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
legendmall. (2026). legend-shop-supply-api security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/legendmall-legend-shop-supply-api/audits/4BibTeX形式の引用
@techreport{legendmall-legendmall-legend-shop-supply-api-2026,
author = {legendmall},
title = {legend-shop-supply-api security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/legendmall-legend-shop-supply-api/audits/4},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "legend-shop-supply-api security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
- name: "legendmall"
date-released: "2026-07-06"
url: "https://skillstore.io/skills/legendmall-legend-shop-supply-api/audits/4"
identifiers:
- type: other
value: "skillstore:legendmall-legend-shop-supply-api:audit:4"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 77
アーキテクチャ
85
保守性
85
コンテンツ
68
コミュニティ
83
仕様準拠
作成できるもの
ストア向け商品の調達
販売チャネルに適合する可能性のある商品のサプライヤー商品IDを閲覧し、詳細をリクエストします。
出品前の商品データ確認
商品リストを準備する前に、価格、SKU、画像、パラメータデータを確認します。
開発者アカウントの準備状況確認
サプライチェーンワークフローを実行する前に、アカウント残高とAPI権限メッセージを確認します。
これらのプロンプトを試す
商品を検索
12件の供給チェーン商品の最初のページを表示してください。
商品を確認
商品ID 1249846の詳細を取得し、価格、在庫、SKUオプション、画像を要約してください。
商品オプションを比較
2ページ目の商品を一覧表示し、その後、調達前に詳細確認が必要な商品を特定してください。
アカウント準備状況を監査
開発者アカウント残高を確認し、その後、API権限または資金がソーシング作業を妨げているかを説明してください。
ベストプラクティス
- 残高クエリを実行する前に、権限とアカウント所有権を確認してください。
- 商品リスト結果から開始し、その後、選択した商品IDの詳細をリクエストしてください。
- 価格、在庫、残高は変更される可能性のあるライブAPI結果として扱ってください。
回避
- 共有クライアントシークレットをスクリプトやOpenAPIデフォルトに公開しないでください。
- 明示的なユーザー承認なしにプロキシ設定を無効化しないでください。
- サンプルの商品データをライブAPIデータとして提示しないでください。
よくある質問
このスキルは注文を実行しますか？
いいえ。商品、商品詳細、在庫関連データ、開発者アカウント残高をクエリします。
どのツールで使用できますか？
Claude、Codex、Claude Codeのサポートを宣言しています。
ネットワークアクセスは必要ですか？
はい。LegendShop APIエンドポイントを呼び出し、外部サービスの可用性に依存します。
認証情報は含まれていますか？
レビューされたバージョンにはAPI認証情報が埋め込まれています。代わりに、安全なユーザー提供のシークレットを使用してください。
任意の商品をクエリできますか？
いいえ。アクセスはLegendShopの権限と商品プールの可用性に依存します。
残高クエリは安全ですか？
金融アカウントデータを明らかにする可能性があるため、自分が所有または管理するアカウントに対してのみ実行してください。
開発者情報
作成者
legendmallライセンス
MIT
Skillstore リビジョン
r1
バージョンに関する注意
作者はバージョンを宣言していません。
参照
b8ca75d2c0a7e7102978993058777d82b8ab2610
メンテナンスの新しさ
2026/7/22
利用状況
2 ダウンロード · 48 閲覧