📦
tdd
80Red-Green-RefactorでTDDを導くガイド
テストファーストの作業は、チームが内部実装をテストしたり、最初に多くのテストを書きすぎたりすると、壊れやすくなりがちです。このスキルは、Codex、Claude、Claude Codeに対して、振る舞いに焦点を当てたred-green-refactorサイクルをガイドします。
コーディング＆開発 表示
スキル wizard
📦
wizard
コンテンツリビジョン r2 高リスク ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数
ガイド付き Bash セットアップウィザードを作成する
手動セットアップ手順は見落としやすく、特に外部ダッシュボードやシークレットが関係する場合はなおさらです。このスキルは、繰り返し可能な人間主導のワークフロー向けに、ガイド付き Bash ウィザードを作成します。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "wizard" from https://skillstore.io/skills/mattpocock-wizard.md and its manifest at https://skillstore.io/api/skills/mattpocock-wizard/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「wizard」を使用しています。 Stripe テストキー用のセットアップウィザードを作成してください。
期待される結果:
- Stripe ダッシュボードを開く段階的な Bash ウィザード。
- 公開可能キーとシークレットキーを、適切な表示設定で入力するよう促します。
- ローカル環境値を書き込み、確認後に CI secret を設定します。
「wizard」を使用しています。 あるプロバイダーから別のプロバイダーへ移行するためのマイグレーションウィザードを作成してください。
期待される結果:
- 順序付きチェックリストを対話型ステージに変換します。
- 不可逆なプロバイダー変更の前に確認ゲートを設けます。
- 完了した操作とスキップした操作の最終サマリー。
「wizard」を使用しています。 新しいコントリビューター向けのオンボーディングウィザードを作成してください。
期待される結果:
- 必要なローカル値のためのガイド付きセットアップスクリプト。
- 外部アカウント向けの明確なブラウザ手順。
- スクリプトの実行方法とレビュー方法を説明する引き渡しメモ。
セキュリティ監査
高リスクv4 • 2026/7/23 バージョン別レポートを開く
Most command and device-file alerts are false positives caused by Markdown code spans, arithmetic expansion, fixed commands, and output redirection. Confirmed risks involve intentional environment-secret handling, authenticated GitHub configuration updates, and temporary storage of environment contents. No prompt injection or credential exfiltration intent was found.
2
スキャンされたファイル
258
解析済み行数
4
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (9)
高
Environment file access
description: Generate an interactive bash wizard that walks a human through a manual procedure — thi
The declared capability explicitly captures values and writes environment files and GitHub Actions secrets. This is legitimate but security-sensitive credential handling.
高
Environment file access
A **wizard** is a bash script that walks a human, step by step, through a manual procedure that's te
The skill states that generated wizards capture values and write them to .env and GitHub secrets. Mishandling these values could expose credentials.
高
Environment file access
The delightful UX is already solved by [template.sh](template.sh) — progress with time-remaining, co
The documented template performs idempotent .env updates and GitHub secret writes. These are real sensitive-file and remote credential operations.
高
Environment file access
- For setup: `.env`, `.env.example`, `.env.*`, `README`, `docker-compose*`, framework config, and `.
The instructions direct the agent to inspect populated .env variants and CI secret references. Reading populated files can place existing credentials into model context.
高
Environment file access
**Done when:** every stage is named in order, and for each captured value you know (a) where the hum
The workflow requires mapping captured values to .env or GitHub secret destinations and classifying secrecy. This confirms intentional handling of sensitive configuration.
高
Environment file access
ENV_FILE="${ENV_FILE:-.env}"
ENV_FILE selects the file later read and replaced by helper functions, defaulting to .env. The environment override can redirect sensitive reads and writes to another path.
高
Environment file access
# ask KEY "Prompt" — read a value into $KEY. Offers the existing .env value as
The documented ask behavior retrieves an existing .env value for reuse, and ask_secret uses the same path. This intentionally reads potentially sensitive credentials.
中
Environment Value Injection
write_env appends values without rejecting embedded newlines. A pasted multiline value can add or replace unintended environment assignments.
The value is written directly through printf, and Bash input can contain embedded newlines. No validation or dotenv escaping occurs before replacement.
確認済みの9件をすべて表示
中
Unscoped GitHub Configuration Writes
set_secret and set_var mutate the repository inferred by gh without displaying or validating it. A wrong working directory can update another repository.
Both helpers invoke authenticated gh mutation commands without an explicit repository argument or repository confirmation. The target therefore depends on ambient CLI context.
機能レビュー項目 (4)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
高
Generic API/secret keys
ask_secret STRIPE_SECRET_KEY "Paste the secret key:"
The script intentionally captures a Stripe secret key into a shell variable. Hidden input protects display but the credential remains sensitive in process memory.
高
Generic API/secret keys
write_env STRIPE_SECRET_KEY "$STRIPE_SECRET_KEY"
The captured Stripe secret key is persisted in a plaintext environment file. File disclosure or accidental version control inclusion could expose the credential.
高
Generic API/secret keys
set_secret STRIPE_SECRET_KEY "$STRIPE_SECRET_KEY" # CI needs this one
The script sends the captured credential to GitHub through an authenticated gh secret command. This is an intentional remote secret mutation with meaningful impact.
低
Temp file creation
tmp=$(mktemp)
The temporary file receives the complete environment-file contents and a new value. No cleanup trap removes this credential-bearing file if a later command fails.
リスク要因
⚙️ 外部コマンド (20)
🌐 ネットワークアクセス (1)
📁 ファイルシステムへのアクセス (12)
🔑 環境変数 (3)
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/mattpocock-wizard/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/mattpocock-wizard?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/mattpocock-wizard?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/mattpocock-wizard/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/mattpocock-wizard.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
mattpocock. (2026). wizard security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/mattpocock-wizard/audits/4BibTeX形式の引用
@techreport{mattpocock-mattpocock-wizard-2026,
author = {mattpocock},
title = {wizard security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/mattpocock-wizard/audits/4},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "wizard security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
- name: "mattpocock"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/mattpocock-wizard/audits/4"
identifiers:
- type: other
value: "skillstore:mattpocock-wizard:audit:4"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 55
アーキテクチャ
85
保守性
87
コンテンツ
67
コミュニティ
83
仕様準拠
作成できるもの
開発者をローカルプロジェクトにオンボードする
必要なローカル値を収集し、想定される環境ファイルに書き込む、1 回実行型のセットアップウィザードを作成します。
サードパーティサービスを設定する
決済、認証、ホスティングプロバイダーなどのダッシュボードを開発者に案内し、アプリに必要な値を取得します。
制御されたマイグレーションを実行する
手動マイグレーションのチェックリストを、不可逆な操作の前に確認を行う順序付きステージに変換します。
これらのプロンプトを試す
基本的なセットアップウィザードを作成する
このプロジェクトセットアップ用のウィザードを作成してください。まず安全なセットアップドキュメントを読み、各ステージを一覧化し、実際の .env ファイルを読む前に確認してください。
サービス連携ウィザードを作成する
サードパーティサービスを追加するための Bash ウィザードを作成してください。ブラウザ手順、取得する値、.env への書き込み、シークレット処理前のレビューチェックポイントを含めてください。
マイグレーションウィザードを作成する
現在の状態から目標状態へ移行する 1 回限りのマイグレーション用ウィザードを作成してください。不可逆な操作の確認と、最終的な引き渡しサマリーを含めてください。
CI シークレットセットアップウィザードを作成する
必要な GitHub Actions secrets と変数を対応付け、各 gh 操作を説明し、リポジトリに変更を加える前に確認を求めるウィザードを作成してください。
ベストプラクティス
- 生成されたスクリプトを実行する前に、特にすべての write_env、set_secret、set_var 呼び出しをレビューしてください。
- 実際の .env ファイルを読む前に、計画には .env.example とワークフロー参照を使用してください。
- 各ステージは 1 つの人間のタスクに集中させ、副作用の前に確認してください。
回避
- 生成されたウィザードのステージと書き込み先をレビューせずに、最初から最後まで実行しないでください。
- プロジェクト固有のシークレットや一時的なセットアップ前提を含む使い捨てスクリプトをコミットしないでください。
- 最新ドキュメントが不明な場合に、サードパーティダッシュボードの手順を推測で作成しないでください。
よくある質問
このスキルは何を作成しますか？
セットアップ、マイグレーション、または設定手順を人間に案内する対話型 Bash ウィザードを作成します。
セットアップを自動的に実行しますか？
いいえ。生成されたスクリプトは、ユーザーにブラウザ手順の実行と進行確認を求めます。
シークレットを扱えますか？
はい。非表示値の入力を促し、.env エントリを書き込み、GitHub Actions secrets を設定できます。
実際の .env ファイルで使用しても安全ですか？
注意して使用してください。実際の .env ファイルを読む前に確認し、スクリプトを実行する前に生成されたすべての書き込みをレビューしてください。
どのツールでこのスキルを使用できますか？
レポートには Claude、Codex、Claude Code のサポートが記載されています。
生成されたウィザードはコミットすべきですか？
セットアップ手順が繰り返し可能であり、機密性の高いローカル値を含まない場合にのみコミットしてください。
開発者情報
作成者
mattpocockライセンス
MIT
Skillstore リビジョン
r2
バージョンに関する注意
作者はバージョンを宣言していません。
参照
ebdfe608f5de2b66ff37ab4af12af8ac4f5e8006
メンテナンスの新しさ
2026/7/25
利用状況
3 ダウンロード · 0 閲覧
ファイル構成
📄 SKILL.md
mattpocock のその他のスキル
すべて表示📦
grilling
79焦点を絞った質問で計画をストレステスト
不明瞭な計画には、リスクの高い前提や未解決の依存関係が隠れていることがよくあります。このスキルは、Claude、Codex、Claude Code が、一度に1つの焦点を絞った質問を通じて進められるようにします。
生産性 表示
📦
grill-with-docs
79リビングドキュメントで計画を問い直す
設計計画は、プロジェクトの言語や記録された意思決定からずれていくことがよくあります。このスキルは前提に異議を唱え、用語を整理し、意思決定が固まったら CONTEXT.md または ADRs を更新します。
ドキュメント 表示
📦
write-a-skill
79エージェントスキルを作成
チームには、エージェントが発見して正しく使用できる一貫したスキルファイルが必要です。このスキルは、構造、説明、例、スクリプト、レビュー確認を通じて作成者をガイドします。
生産性 表示
📦
prototype
79ロジックとUIのプロトタイプに関する意思決定
チームは、トレードオフを理解する前に状態モデルや画面にコミットしてしまうことがよくあります。このスキルは、Claude、Codex、またはClaude Codeが、1つの設計上の問いにすばやく答えるための使い捨てプロトタイプを構築できるように導きます。
コーディング＆開発 表示
📦
grill-me
78厳しいインタビューで計画をプレッシャーテストする
計画や設計は、弱い前提が見つかるのが遅すぎるために失敗することがよくあります。このスキルは、実行が始まる前にギャップを突く集中的な厳しい質問セッションを開始します。
生産性 表示
関連スキル
すべて表示📦
gh-fix-ci
78GitHub Actions の CI 失敗を修正
作成者 davila7
ログの確認が難しいと、失敗した PR チェックによってデリバリーが遅くなります。このスキルは、Claude、Codex、または Claude Code による GitHub Actions のトリアージ、計画、承認済み修正を支援します。
DevOps＆インフラ 表示
📦
bash-defensive-patterns
78より安全なBash自動化を書く
作成者 wshobson
Bashスクリプトは、エラー、入力、クリーンアップを安全に処理していないため、本番環境で失敗することがよくあります。このスキルは、Claude、Codex、Claude Codeが明確な安全パターンを備えた防御的なシェルスクリプトを作成できるように導きます。
DevOps＆インフラ 表示
📦
cicd-automation-workflow-automate
78CI/CD ワークフロー設計を自動化
作成者 sickn33
手作業のリリース作業は、遅延、チェック漏れ、一貫性のないデプロイを引き起こします。このスキルは、テスト、承認、シークレット処理、ロールバックメモを含む CI/CD ワークフローの計画を支援します。
DevOps＆インフラ 表示
📦
wp-migrate
78wp-migrate.sh で WordPress サイトを移行
作成者 BWBama85
WordPress の移行を手作業で行うと、データベース、URL、ファイルが破損する可能性があります。このスキルは、プッシュ移行、アーカイブのインポート、バックアップ、ドライラン、ロールバックのための wp-migrate.sh ワークフローを案内します。
DevOps＆インフラ 表示
📦
deployment-automation
77クラウドデプロイワークフローを自動化
作成者 supercent-io
手作業のリリースは遅く、エラーが起こりやすいものです。このスキルは、反復可能なデプロイのための CI/CD、コンテナ、ロールアウト用テンプレートの作成を支援します。
DevOps＆インフラ 表示
📦
deprecation-and-migration
77Plan Safer Deprecations and Migrations
作成者 addyosmani
Legacy systems create maintenance cost and migration risk. This skill provides staged plans, compatibility checks, and rollback guidance for controlled change.
DevOps＆インフラ 表示