スキル skill-marketplace-publisher
📦
skill-marketplace-publisher
コンテンツリビジョン r1 高リスク 🔑 環境変数🌐 ネットワークアクセス⚙️ 外部コマンド📁 ファイルシステムへのアクセス
公開マーケットプレイスにスキルを公開する
スキルを安全に公開するには、監査、パッケージ化、リポジトリ設定、マーケットプレイス固有の提出手順が必要です。このスキルは、Codex、Claude、Claude Code ユーザーに、再現可能な公開リリースワークフローを提供します。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "skill-marketplace-publisher" from https://skillstore.io/skills/sliense-ysd-skill-marketplace-publisher.md and its manifest at https://skillstore.io/api/skills/sliense-ysd-skill-marketplace-publisher/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「skill-marketplace-publisher」を使用しています。 開発者が Skillstore 向けにスキルを準備するよう依頼します。
期待される結果:
アシスタントは監査ステータス、パッケージ化の選択、公開リポジトリ URL、Skillstore 提出ステータスを報告します。
「skill-marketplace-publisher」を使用しています。 保守担当者が SkillMap に対応しているかどうかを尋ねます。
期待される結果:
アシスタントは、フィードバックまたは連絡先の受付は検証済みだが、セルフサービス掲載は未検証であると説明します。
「skill-marketplace-publisher」を使用しています。 チームが非公開スキルの公開パッケージ化をリクエストします。
期待される結果:
アシスタントは公開パッケージを推奨し、サニタイズチェックを一覧化し、公開前のフォローアップ項目を記録します。
セキュリティ監査
高リスクv5 • 2026/7/9 バージョン別レポートを開く
Most high static secret detections are scanner regex definitions rather than embedded credentials. Real risks remain around .env scanning, redaction gaps, outbound marketplace submissions, sibling-directory command execution, and public repository publication.
5
スキャンされたファイル
574
解析済み行数
14
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (2)
高
Environment file access
".env",
The scanner treats .env files as text inputs while walking a user-supplied tree. That is audit-related, but it can process sensitive environment files and should redact output.
高
scripts/public_skill_audit.py:87-93scripts/public_skill_audit.py:143-150scripts/public_skill_audit.py:159-162
Secret Values May Be Printed in Audit Output
The audit script stores the matched source line in Finding.text and prints it in normal and JSON output. If a real key is found, the raw value can appear in logs or reports.
The code directly captures and prints full matched lines while scanning for API keys and private keys. The audit purpose is legitimate, but secret values should be masked.
機能レビュー項目 (14)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
高
Path traversal sequence
python3 ../../skill-package/scripts/skill_package.py analyze /absolute/path/to/skill
The command references ../../skill-package and a user-supplied absolute path. It can execute code outside the skill directory, so the filesystem boundary risk is real.
高
Path traversal sequence
python3 ../../skill-package/scripts/skill_package.py build /absolute/path/to/skill --mode public
The build command references ../../skill-package and writes a public package from a user-supplied source path. The sibling-directory execution risk is real.
高
Path traversal sequence
python3 ../skill-creator/scripts/quick_validate.py /absolute/path/to/skill-marketplace-publisher
The validator command references ../skill-creator outside the skill package. It assumes a trusted sibling path and could execute unintended local code.
中
Ruby/shell backtick execution
```bash
The fenced block instructs running a local Python audit command on a user-supplied skill path. External command execution is explicit and should require user approval.
中
Ruby/shell backtick execution
```bash
The fenced block instructs running sibling-directory packaging commands with user-provided paths. This executes local code outside the skill directory.
中
Ruby/shell backtick execution
```bash
The fenced block runs a validator script from a sibling directory. It is a real external command and assumes the sibling checkout is trusted.
中
Ruby/shell backtick execution
```bash
The command block copies files, initializes git, commits, and pushes a public GitHub repository. These shell commands can publish local files externally.
中
Ruby/shell backtick execution
```bash
The command block runs the submission script for Skillstore and sends a repository URL and notes. It is real external command and network activity.
中
Ruby/shell backtick execution
```bash
The command block runs the submission script for SkillMap feedback with repository details and optional email. It is real external command and network activity.
低
Python HTTP libraries
import urllib.request
The script imports urllib and later uses it for outbound marketplace submissions. This enables transmission of repository URLs and optional user notes.
低
Python HTTP libraries
request = urllib.request.Request(
The request object builds an outbound JSON POST with user-supplied fields. Network use is intended, but it should remain explicit to the user.
低
Python HTTP libraries
with urllib.request.urlopen(request, timeout=30) as response:
This opens the outbound HTTP request to a configured endpoint with a timeout. It transmits submission data off-host by design.
低
Hardcoded URL
response = post_json("https://skillstore.io/api/submit", payload)
This posts the repository URL and optional notes to the Skillstore API. The endpoint is legitimate for the workflow, but it is real external transmission.
低
Hardcoded URL
response = post_json("https://skillmaps.net/v1/feedback", payload)
This posts a listing request and optional email to the SkillMap feedback endpoint. The network action is intended but sends user data externally.
リスク要因
🔑 環境変数 (4)
🌐 ネットワークアクセス (10)
⚙️ 外部コマンド (45)
SKILL.md:15 SKILL.md:16 SKILL.md:17 SKILL.md:26 SKILL.md:30 SKILL.md:31 SKILL.md:32 SKILL.md:40-42 SKILL.md:42-46 SKILL.md:46-47 SKILL.md:47-48 SKILL.md:48-56 SKILL.md:56-58 SKILL.md:58-61 SKILL.md:61-65 SKILL.md:65 SKILL.md:71 SKILL.md:73-74 SKILL.md:74 SKILL.md:78-80 SKILL.md:80-84 SKILL.md:84-97 SKILL.md:97-106 SKILL.md:106-110 SKILL.md:110-112 SKILL.md:112-118 SKILL.md:118-122 SKILL.md:122-126 SKILL.md:126-127 SKILL.md:127-128 SKILL.md:128-134 SKILL.md:134-142 SKILL.md:142-147 SKILL.md:147-149 SKILL.md:149-165 SKILL.md:165-168 SKILL.md:168-174 SKILL.md:174-178 SKILL.md:178-179 SKILL.md:179-180 SKILL.md:180 SKILL.md:184-193 SKILL.md:193-197 SKILL.md:197-198 SKILL.md:198-202
📁 ファイルシステムへのアクセス (3)
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/sliense-ysd-skill-marketplace-publisher/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/sliense-ysd-skill-marketplace-publisher?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/sliense-ysd-skill-marketplace-publisher?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sliense-ysd-skill-marketplace-publisher/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/sliense-ysd-skill-marketplace-publisher.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
Sliense-ysd. (2026). skill-marketplace-publisher security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sliense-ysd-skill-marketplace-publisher/audits/5BibTeX形式の引用
@techreport{sliense-ysd-sliense-ysd-skill-marketplace-publisher-2026,
author = {Sliense-ysd},
title = {skill-marketplace-publisher security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sliense-ysd-skill-marketplace-publisher/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "skill-marketplace-publisher security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "Sliense-ysd"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/sliense-ysd-skill-marketplace-publisher/audits/5"
identifiers:
- type: other
value: "skillstore:sliense-ysd-skill-marketplace-publisher:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 64
アーキテクチャ
85
保守性
87
コンテンツ
69
コミュニティ
83
仕様準拠
作成できるもの
Skillstore 提出を準備する
ローカルスキルを監査し、クリーンな GitHub リポジトリを公開して、リポジトリ URL を Skillstore に提出します。
SkillMap 掲載をリクエストする
SkillMap のレビュー用に、リポジトリ詳細、概要テキスト、連絡先情報を含む掲載リクエストを作成します。
非公開作業を公開リリース用にパッケージ化する
ソースを直接公開する場合と、先にサニタイズ済みの公開パッケージを作成する場合を判断します。
これらのプロンプトを試す
スキルを監査する
このローカルスキルを公開リリース向けに監査してください。パッケージ化または公開しても安全かどうかを教えてください。
マーケットプレイス用パッケージを準備する
このスキルを公開マーケットプレイス向けに準備してください。ソースフォルダに移植性がない場合は、公開パッケージ化を使用してください。
Skillstore に提出する
このスキルを公開 GitHub リポジトリに公開し、リポジトリ URL を Skillstore に提出してください。
複数マーケットプレイスへのリリースを調整する
このスキルを監査、パッケージ化、公開し、検証済みの各マーケットプレイスに提出してください。ID、URL、フォローアップ項目を記録してください。
ベストプラクティス
- ファイルを公開リポジトリにコピーする前に、公開安全性監査を実行します。
- スキルが非公開パス、シークレット、またはローカル環境専用の前提に依存している場合は、公開パッケージ化を使用します。
- 提出 ID、ステータス URL、タイムスタンプ、手動フォローアップ項目を記録します。
回避
- シークレットや非公開のビジネスロジックがまだ含まれているソースフォルダを公開しないでください。
- 検証済みの公開受付ルートなしに、マーケットプレイスに対応していると主張しないでください。
- ペイロードと送信先を確認する前に、外部エンドポイントへ提出しないでください。
よくある質問
このスキルはどのツールに対応していますか？
マーケットプレイス提出に公開 GitHub リポジトリを使用する Codex、Claude、Claude Code ワークフローに対応しています。
マーケットプレイス掲載を自動的に作成しますか？
対応している受付エンドポイントに提出できますが、マーケットプレイスでの承認と公開は外部レビューの判断に委ねられます。
公開パッケージ化はいつ使用すべきですか？
ソーススキルに非公開パス、シークレット、または移植性のないランタイム前提が含まれる可能性がある場合は、公開パッケージ化を使用してください。
現在のマーケットプレイスルールを検証しますか？
日付付きのマーケットプレイスメモが含まれています。現在のマーケットプレイス対応について主張する前に、ルートを再確認してください。
SkillMap に公開できますか？
スキルメモではセルフサービスの SkillMap 掲載フォームが検証されていないため、フィードバック掲載リクエストを送信します。
提出前に何を確認すべきですか？
提出前に、監査結果、パッケージ内容、リポジトリの可視性、送信ペイロード、手動フォローアップ要件を確認してください。
開発者情報
作成者
Sliense-ysdライセンス
MIT
Skillstore リビジョン
r1
バージョンに関する注意
作者はバージョンを宣言していません。
参照
3e4b6c31a74a3bd1a291c98cf585d720cb9fbc88
メンテナンスの新しさ
2026/7/18
利用状況
4 ダウンロード · 116 閲覧
ファイル構成