スキル plugin-forge
📦

plugin-forge

コンテンツリビジョン r1 高リスク 📁 ファイルシステムへのアクセス🌐 ネットワークアクセス⚙️ 外部コマンド

Claude Code Plugins をより速く構築

Claude Code plugin のセットアップには、正確なフォルダー、マニフェスト、マーケットプレイスエントリが必要です。Plugin Forge は、プラグインをスキャフォールドし、バージョンを更新し、ローカルテストをガイドするスクリプトとワークフローを提供します。

対応: Claude Codex Code(CC)
⚠️ 38 不十分

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト
Review the Skillstore skill "plugin-forge" from https://skillstore.io/skills/softaworks-plugin-forge.md and its manifest at https://skillstore.io/api/skills/softaworks-plugin-forge/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/softaworks-plugin-forge.md 署名済み manifest GET /api/skills/softaworks-plugin-forge/manifest 署名済み lockfile GET /api/skills/softaworks-plugin-forge/lockfile

テストする

「plugin-forge」を使用しています。 ローカルマーケットプレイス用に api-helper というプラグインを作成してください。

期待される結果:

  • 新しいプラグインフォルダーは、マーケットプレイスの plugins ディレクトリ配下に作成される予定です。
  • マニフェストと README テンプレートが作成されます。
  • ローカルインストール用にマーケットプレイスエントリが更新されます。

「plugin-forge」を使用しています。 新しい command を追加した後で、プラグインのバージョンを上げてください。

期待される結果:

この skill は minor バージョン更新を推奨し、両方のマニフェスト配置場所で同じバージョンになっているかを確認します。

「plugin-forge」を使用しています。 hooks と MCP servers をどこに配置するべきか説明してください。

期待される結果:

回答では、hooks 構成パス、MCP 構成ファイル、コンポーネントはプラグインルートに置くというルールを特定します。

セキュリティ監査

高リスク
v5 • 2026/7/7 バージョン別レポートを開く

Most static findings are false positives from markdown code fences, placeholder URLs, or required .claude-plugin manifest paths. The scripts perform intended local file writes, and unvalidated plugin names create a path traversal risk if a crafted name is used. No prompt-injection or data-exfiltration intent was found.

7
スキャンされたファイル
1,175
解析済み行数
5
レビュー項目
0
誤検知を無視

確認済みのセキュリティ上の懸念 (1)

高
scripts/create_plugin.py:17-29scripts/create_plugin.py:43-45scripts/bump_version.py:45-58
Unvalidated Plugin Name Path Traversal
The helper scripts build filesystem paths from the plugin_name argument without validating kebab-case or rejecting path separators. A crafted name can move writes outside the intended plugins directory.
The path components come directly from command-line plugin_name and are later used for mkdir or open writes. Exploitation requires passing a malicious name, so the confidence is high but context-dependent.
機能レビュー項目 (5)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

中
scripts/bump_version.py:58
Python file write/append
with open(plugin_json_path, "w") as f:
The script writes plugin.json after deriving the target path from command-line inputs. This is intended functionality, but it is a real filesystem mutation that should be constrained to the marketplace tree.
中
scripts/bump_version.py:84
Python file write/append
with open(marketplace_json_path, "w") as f:
The script rewrites marketplace.json based on user-selected plugin and version inputs. This is expected release tooling, but it can alter marketplace metadata and should validate target paths.
中
scripts/create_plugin.py:44
Python file write/append
with open(plugin_json_path, "w") as f:
The script creates a plugin manifest at a path built from user-supplied marketplace root and plugin name. Without name validation, this write can affect unintended locations.
中
scripts/create_plugin.py:75
Python file write/append
with open(readme_path, "w") as f:
The script writes a README into the generated plugin directory using the same unvalidated path components. This is intended scaffolding, but it is a real local file write.
中
scripts/create_plugin.py:111
Python file write/append
with open(marketplace_json_path, "w") as f:
The script rewrites the marketplace manifest after adding a plugin entry. This is expected behavior, but it modifies local marketplace state and depends on unvalidated command-line input.

リスク要因

📁 ファイルシステムへのアクセス (13)
README.md:155 references/workflows.md:8 references/workflows.md:15 references/workflows.md:53 scripts/bump_version.py:58 scripts/bump_version.py:84 scripts/create_plugin.py:71 scripts/create_plugin.py:44 scripts/create_plugin.py:75 scripts/create_plugin.py:111 SKILL.md:66 SKILL.md:73 SKILL.md:193
🌐 ネットワークアクセス (1)
references/marketplace-schema.md:87
⚙️ 外部コマンド (44)
scripts/create_plugin.py:56-59 SKILL.md:25 SKILL.md:27-35 SKILL.md:35-40 SKILL.md:40-42 SKILL.md:42-46 SKILL.md:46-48 SKILL.md:48-51 SKILL.md:51-65 SKILL.md:65-69 SKILL.md:69-73 SKILL.md:73-75 SKILL.md:75-86 SKILL.md:86-90 SKILL.md:90-92 SKILL.md:92-101 SKILL.md:101-109 SKILL.md:109-110 SKILL.md:110 SKILL.md:111-112 SKILL.md:112-113 SKILL.md:113-117 SKILL.md:117-127 SKILL.md:127-135 SKILL.md:135-147 SKILL.md:147-153 SKILL.md:153-160 SKILL.md:160-166 SKILL.md:166-175 SKILL.md:175-179 SKILL.md:179-181 SKILL.md:181 SKILL.md:182 SKILL.md:186 SKILL.md:187 SKILL.md:193-194 SKILL.md:194-196 SKILL.md:196-202 SKILL.md:202-207 SKILL.md:207-215 SKILL.md:215-216 SKILL.md:216-217 SKILL.md:217-223 SKILL.md:223-224
監査者: codex 監査履歴を表示 →
このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く
セキュリティ評価

レポートリンクをコピー

https://skillstore.io/skills/softaworks-plugin-forge/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/softaworks-plugin-forge/security.svg)](https://skillstore.io/skills/softaworks-plugin-forge?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/softaworks-plugin-forge?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/softaworks-plugin-forge/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/softaworks-plugin-forge.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
学術引用 (APA · BibTeX · CFF)

APA形式の引用

softaworks. (2026). plugin-forge security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/softaworks-plugin-forge/audits/5

BibTeX形式の引用

@techreport{softaworks-softaworks-plugin-forge-2026, author = {softaworks}, title = {plugin-forge security audit report (audit version 5)}, institution = {Skillstore}, year = {2026}, number = {5}, url = {https://skillstore.io/skills/softaworks-plugin-forge/audits/5}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "plugin-forge security audit report (audit version 5)" version: "unspecified" type: report authors: - name: "softaworks" date-released: "2026-07-07" url: "https://skillstore.io/skills/softaworks-plugin-forge/audits/5" identifiers: - type: other value: "skillstore:softaworks-plugin-forge:audit:5" description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由 証拠の信頼度: 中
82
アーキテクチャ
85
保守性
87
コンテンツ
70
コミュニティ
83
仕様準拠

作成できるもの

社内プラグインを作成する

チームのワークフロー用にプラグインをスキャフォールドし、共有マーケットプレイスに登録します。

プラグインリリースを保守する

更新を公開する前に、プラグインおよびマーケットプレイスのマニフェスト内のセマンティックバージョンを同期します。

プラグイン構造を学ぶ

プラグインを構築する前に、サポートされているコンポーネントの配置場所とローカルテスト手順を確認します。

これらのプロンプトを試す

スタータープラグインを作成する 
私のマーケットプレイスに <name> という名前の Claude Code plugin を作成してください。author には <name>、category には <category> を使用してください。
プラグインコンポーネントを追加する 
既存のプラグインに command と skill の構造を追加するのを手伝ってください。必要なファイルと、それらを配置する場所を説明してください。
リリースを準備する 
プラグインマニフェストとマーケットプレイスエントリを確認し、この変更に対してセマンティックバージョニングを使用してバージョンを上げてください: <change summary>。
マーケットプレイスワークフローを監査する 
プラグインマーケットプレイスのワークフローについて、不足しているマニフェスト、バージョンのずれ、ローカルテストの不足、公開準備状況を分析してください。

ベストプラクティス

  • ヘルパースクリプトを実行する前に、kebab-case のプラグイン名を使用し、パス区切り文字を拒否します。
  • すべてのリリースで plugin.json と marketplace.json のバージョンを同期した状態に保ちます。
  • 公開前に、信頼できるマーケットプレイスの worktree からプラグインをローカルでテストします。

回避

  • 信頼できない、または不明確なディレクトリでスキャフォールディングコマンドを実行する。
  • リリース時に片方のマニフェストだけを編集する。
  • commands、hooks、skills をプラグインルートではなく .claude-plugin 内に配置する。

よくある質問

この skill は何を作成しますか？
プラグインのスキャフォールディング、プラグインマニフェスト、README テンプレート、マーケットプレイスエントリを作成します。
プラグインを自動的に公開しますか？
いいえ。公開手順は文書化しますが、commits、pushes、マーケットプレイス配布は引き続きユーザーが制御します。
既存のプラグインバージョンを更新できますか？
はい。バージョンヘルパーは、major、minor、patch の変更を使用してプラグインおよびマーケットプレイスのマニフェストを更新します。
Codex で動作しますか？
ドキュメントは Claude Code plugins を対象としていますが、Codex はこの skill を使用してファイルを編集し、承認されたコマンドを実行できます。
スクリプトを実行する前に何を確認すべきですか？
マーケットプレイスルート、プラグイン名、author の詳細、変更される予定のファイルを確認してください。
完全なプラグイン動作を生成しますか？
いいえ。構造とテンプレートを作成します。実際の commands、skills、hooks、agents はユーザーが記述する必要があります。

開発者情報

作成者

softaworks

ライセンス

MIT

Skillstore リビジョン

r1

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/softaworks/agent-toolkit/tree/main/skills/plugin-forge/

参照

f93e9bb0daca99badb6a7e574b97737155d57cb3

メンテナンスの新しさ

2026/7/24

利用状況

30 ダウンロード · 179 閲覧

ファイル構成

📁 references/

📄 marketplace-schema.md

📄 plugin-structure.md

📄 workflows.md

📁 scripts/

📄 bump_version.py

📄 create_plugin.py

📄 README.md

📄 SKILL.md

softaworks のその他のスキル

すべて表示

関連スキル

すべて表示