📦
prompt-repetition
82軽量モデルの精度を向上
重要な情報の後に質問が来る場合、軽量モデルは文脈を見落とすことがあります。このスキルは、選択したタスクの精度を向上させるため、適切なプロンプトをガードレール付きで繰り返します。
生産性 表示
スキル environment-setup
📦
environment-setup
コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド🌐 ネットワークアクセス🔑 環境変数
環境変数を安全に設定する
変数、シークレット、デプロイ設定に不整合があると、環境セットアップが失敗することがあります。このスキルは、構造化されたテンプレート、検証ガイダンス、環境分離計画を作成します。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "environment-setup" from https://skillstore.io/skills/supercent-io-environment-setup.md and its manifest at https://skillstore.io/api/skills/supercent-io-environment-setup/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「environment-setup」を使用しています。 I need environment variables for a new API service.
期待される結果:
- アプリケーション、データベース、認証、メール、監視、フィーチャーフラグごとにグループ化された変数チェックリスト。
- ローカルセットアップと共有ドキュメント向けの、プレースホルダーのみのテンプレート計画。
- 実際のシークレットはコミットされたファイルではなく、vault またはデプロイプラットフォームに置くべきであるという注意事項。
「environment-setup」を使用しています。 Our app fails when required variables are missing.
期待される結果:
不足している変数名を報告し、起動を安全に停止し、シークレット値をログに出さない検証戦略。
「environment-setup」を使用しています。 We use Docker Compose for local development.
期待される結果:
サービスレベルの変数、環境ファイルのガイダンス、弱いデフォルトパスワードに関する警告を含むローカル構成計画。
セキュリティ監査
高リスクv6 • 2026/7/9 バージョン別レポートを開く
Most command, network, and role-token alerts are false positives caused by Markdown fences, reference links, SMTP field names, or normal YAML variable names. The confirmed risk is sensitive environment management: the skill is designed to create or edit .env-related data and includes credential, secret key, and connection-string examples. No malicious exfiltration instructions or prompt-injection attempts were found.
2
スキャンされたファイル
378
解析済み行数
25
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (21)
高
Environment file access
description: Configure and manage development, staging, and production environments. Use when settin
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
**.env.local** (per developer):
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
**.env.production**:
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
// Load .env file
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
export const env = envSchema.parse(process.env);
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
const env = envSchema.parse(process.env);
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
url: process.env.DATABASE_URL!,
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
accessSecret: process.env.JWT_ACCESS_SECRET!,
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
確認済みの21件をすべて表示
高
Environment file access
refreshSecret: process.env.JWT_REFRESH_SECRET!,
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
if (!process.env[envVar]) {
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
- .env.local
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
├── .env # Local (gitignore)
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
├── .env.local # Per developer (gitignore)
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment file access
├── .env.production # Production (gitignore or vault)
The skill explicitly handles .env or process.env data that can contain secrets. This is intended for setup, but it is a real sensitive-file access capability.
高
Environment variant files
**.env.local** (per developer):
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
高
Environment variant files
**.env.production**:
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
高
Environment variant files
- .env.local
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
高
Environment variant files
├── .env.local # Per developer (gitignore)
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
高
Environment variant files
├── .env.production # Production (gitignore or vault)
The skill instructs use of environment-specific files such as .env.local or .env.production, which commonly contain secrets. This is legitimate but sensitive file handling.
高
Unsafe Logging of Secret-Bearing Environment Variables
The usage example suggests logging env.DATABASE_URL, which can expose credentials embedded in database connection strings if copied into application code.
Line 127 directly demonstrates printing a database URL. It is commented example code, so confidence is high but not absolute.
高
Weak Default Database Password in Docker Example
The Docker Compose example uses a database URL with postgres:password and sets the database password to password, which can normalize weak defaults if copied.
The weak password string is explicit in the Docker example. The example appears local-only, so the risk depends on whether users copy it beyond development.
機能レビュー項目 (25)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
高
AWS credential environment variables
AWS_ACCESS_KEY_ID=AKIAXXXXXXXX
The template includes AWS credential variable names with key-like placeholders. Even as examples, these are secret-bearing fields that can be mishandled if copied.
高
AWS credential environment variables
AWS_SECRET_ACCESS_KEY=xxxxxxxx
The template includes AWS credential variable names with key-like placeholders. Even as examples, these are secret-bearing fields that can be mishandled if copied.
高
Database connection strings
DATABASE_URL=postgresql://user:password@localhost:5432/myapp
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
高
Database connection strings
DATABASE_URL=postgresql://localhost:5432/myapp_dev
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
高
Database connection strings
DATABASE_URL=${DATABASE_URL} # Injected from environment variables
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
高
Database connection strings
DATABASE_URL: z.string().url(),
The example validates or requires DATABASE_URL, which often contains credentials. It is legitimate configuration code, but it handles a secret-bearing connection string.
高
Database connection strings
// console.log(env.DATABASE_URL); // Type-safe!
The example suggests printing env.DATABASE_URL, which can expose credentials embedded in a database connection string. This is a real leakage risk if copied.
高
Database connection strings
url: process.env.DATABASE_URL!,
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
高
Database connection strings
'DATABASE_URL',
The example validates or requires DATABASE_URL, which often contains credentials. It is legitimate configuration code, but it handles a secret-bearing connection string.
高
Database connection strings
- DATABASE_URL=postgresql://postgres:password@db:5432/myapp
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
高
Generic API/secret keys
STRIPE_SECRET_KEY=sk_test_xxx
The example defines or validates STRIPE_SECRET_KEY, a secret-bearing API key variable. It uses a placeholder, but the workflow handles real payment credentials when applied.
高
Generic API/secret keys
STRIPE_SECRET_KEY: z.string().startsWith('sk_'),
The example defines or validates STRIPE_SECRET_KEY, a secret-bearing API key variable. It uses a placeholder, but the workflow handles real payment credentials when applied.
高
Database connection strings
DATABASE_URL=postgresql
The example defines or references database connection strings that may include credentials. The placeholders are not live secrets, but the skill handles secret-bearing values.
低
Environment variable access (bracket notation)
if (!process.env[envVar]) {
The required variable check reads process.env dynamically for database and JWT secret keys. This is legitimate validation, but it touches secret-bearing variables.
低
Environment variable access (dot notation)
url: process.env.DATABASE_URL!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
低
Environment variable access (dot notation)
accessSecret: process.env.JWT_ACCESS_SECRET!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
低
Environment variable access (dot notation)
refreshSecret: process.env.JWT_REFRESH_SECRET!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
低
Environment variable object
export const env = envSchema.parse(process.env);
The example parses the entire process.env object, which can include secrets. It is legitimate validation code, but it handles secret-bearing environment data.
低
Environment variable object
const env = envSchema.parse(process.env);
The example parses the entire process.env object, which can include secrets. It is legitimate validation code, but it handles secret-bearing environment data.
低
Environment variable object
url: process.env.DATABASE_URL!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
低
Environment variable object
accessSecret: process.env.JWT_ACCESS_SECRET!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
低
Environment variable object
refreshSecret: process.env.JWT_REFRESH_SECRET!,
The example reads secret-bearing environment variables such as database URLs or JWT secrets. This is legitimate config code, but it is real environment access.
低
Environment variable object
if (!process.env[envVar]) {
The required variable check reads process.env dynamically for database and JWT secret keys. This is legitimate validation, but it touches secret-bearing variables.
低
dotenv library
import dotenv from 'dotenv';
The TypeScript example imports and configures dotenv to load .env values into process.env. This is legitimate, but it confirms environment-variable access.
低
dotenv library
dotenv.config();
The TypeScript example imports and configures dotenv to load .env values into process.env. This is legitimate, but it confirms environment-variable access.
リスク要因
⚙️ 外部コマンド (27)
SKILL.md:25-67 SKILL.md:67-70 SKILL.md:70-74 SKILL.md:74-77 SKILL.md:77-90 SKILL.md:90-95 SKILL.md:95-128 SKILL.md:128-131 SKILL.md:131-138 SKILL.md:138-143 SKILL.md:143-148 SKILL.md:148-202 SKILL.md:202-207 SKILL.md:207-212 SKILL.md:212-226 SKILL.md:226-229 SKILL.md:229-245 SKILL.md:245-248 SKILL.md:248-261 SKILL.md:261-266 SKILL.md:266-291 SKILL.md:291-295 SKILL.md:295-309 SKILL.md:309-312 SKILL.md:312-317 SKILL.md:317-352 SKILL.md:352
🌐 ネットワークアクセス (14)
🔑 環境変数 (50)
SKILL.md:201 SKILL.md:169 SKILL.md:170 SKILL.md:173 SKILL.md:175 SKILL.md:176 SKILL.md:181 SKILL.md:182 SKILL.md:183 SKILL.md:184 SKILL.md:188 SKILL.md:189 SKILL.md:236 SKILL.md:252 SKILL.md:123 SKILL.md:133 SKILL.md:169 SKILL.md:170 SKILL.md:173 SKILL.md:175 SKILL.md:176 SKILL.md:181 SKILL.md:182 SKILL.md:183 SKILL.md:184 SKILL.md:188 SKILL.md:189 SKILL.md:201 SKILL.md:236 SKILL.md:252 SKILL.md:6 SKILL.md:97 SKILL.md:100 SKILL.md:340 SKILL.md:352 SKILL.md:55 SKILL.md:56 SKILL.md:32 SKILL.md:37 SKILL.md:72 SKILL.md:82 SKILL.md:83 SKILL.md:107 SKILL.md:127 SKILL.md:173 SKILL.md:195 SKILL.md:274 SKILL.md:275 SKILL.md:53 SKILL.md:117
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/supercent-io-environment-setup/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/supercent-io-environment-setup?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/supercent-io-environment-setup?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/supercent-io-environment-setup/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/supercent-io-environment-setup.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
supercent-io. (2026). environment-setup security audit report (audit version 6) [Author version unspecified]. Skillstore. https://skillstore.io/skills/supercent-io-environment-setup/audits/6BibTeX形式の引用
@techreport{supercent-io-supercent-io-environment-setup-2026,
author = {supercent-io},
title = {environment-setup security audit report (audit version 6)},
institution = {Skillstore},
year = {2026},
number = {6},
url = {https://skillstore.io/skills/supercent-io-environment-setup/audits/6},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "environment-setup security audit report (audit version 6)"
version: "unspecified"
type: report
authors:
- name: "supercent-io"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/supercent-io-environment-setup/audits/6"
identifiers:
- type: other
value: "skillstore:supercent-io-environment-setup:audit:6"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 55
アーキテクチャ
85
保守性
87
コンテンツ
69
コミュニティ
83
仕様準拠
作成できるもの
新しいバックエンドプロジェクトをセットアップする
最初のデプロイ前に、明確な変数一覧、テンプレート構造、検証計画を作成します。
デプロイ環境を分離する
シークレットを混在させずに、ローカル、ステージング、本番構成のより安全な違いを定義します。
チームのオンボーディングを標準化する
新しいコントリビューターに、ローカル環境セットアップ用の文書化されたテンプレートとルールを提供します。
これらのプロンプトを試す
基本テンプレートを作成する
Create a placeholder-only environment template for my Node.js API with app, database, auth, logging, and monitoring variables.
ランタイム検証を追加する
Design a TypeScript environment validation plan using Zod. Include required variables, defaults, and safe error handling without printing secrets.
デプロイ設定を分割する
Plan development, staging, and production environment configuration for my app. Include file naming, secret storage rules, and deployment checks.
既存のセットアップを監査する
Review my environment configuration approach. Find unsafe logging, weak defaults, missing validation, risky Docker settings, and source control mistakes.
ベストプラクティス
- テンプレートではプレースホルダーを使用し、実際の値は承認済みのシークレットマネージャーに保存します。
- 既存の環境ファイルを読み取る、または編集する前に確認を必須にします。
- ログ、レビューコメント、生成されたドキュメントからシークレット値を編集・伏せ字にします。
回避
- 例やトラブルシューティング出力で、データベース URL、トークン、またはパスワードを表示すること。
- 例のデフォルトパスワードを共有システムまたは本番システムにコピーすること。
- ローカル、ステージング、または本番のシークレットを含む環境ファイルをソース管理にコミットすること。
よくある質問
このスキルは完全な環境変数計画を作成できますか？
はい。変数をグループ化し、デフォルトを提案し、ローカル、ステージング、本番の設定を分けて説明できます。
このスキルは実際のシークレットを管理しますか？
いいえ。構造とガイダンスを提供します。実際のシークレットは vault またはデプロイプラットフォーム内に保持するべきです。
TypeScript の検証に役立ちますか？
はい。必須変数、デフォルト、起動失敗に対する検証パターンが含まれます。
既存の環境ファイルに使用しても安全ですか？
注意して使用してください。既存ファイルを読み取る、または編集する前に確認し、シークレット値は絶対に表示しないでください。
Docker Compose をサポートしていますか？
はい。ローカル Docker Compose 環境の例と env_file の使用に関するガイダンスが含まれます。
このスキルはどのツールで使用できますか？
レポートには Claude、Codex、Claude Code のサポートが記載されています。
開発者情報
作成者
supercent-ioライセンス
MIT
Skillstore リビジョン
r1
バージョンに関する注意
作者はバージョンを宣言していません。
参照
3e4b6c31a74a3bd1a291c98cf585d720cb9fbc88
メンテナンスの新しさ
2026/7/28
利用状況
9 ダウンロード · 142 閲覧
ファイル構成
📄 SKILL.md
supercent-io のその他のスキル
すべて表示📦
api-design
80より優れたRESTおよびGraphQL APIを設計する
APIチームには、実装が始まる前に一貫した契約が必要です。このスキルは、リソース設計、リクエスト形式、エラー、バージョニング、ドキュメント作成を支援します。
コーディング＆開発 表示
📦
code-refactoring
79コードを安全にリファクタリングする
複雑なコードは変更を遅くし、回帰リスクを高めます。このスキルは、テスト、抽出パターン、検証手順を用いて、振る舞いを維持するリファクタリングを支援します。
コーディング＆開発 表示
📦
user-guide-writing
79ユーザーガイドとチュートリアルを作成
ドキュメント作成チームには、ユーザーがサポートなしで進められる明確な製品ヘルプが必要です。このスキルは、エンドユーザー向けのオンボーディングガイド、ハウツー記事、チュートリアル、FAQを構成します。
ドキュメント 表示
📦
debugging
79コードの問題を体系的にデバッグする
症状が本当の原因を隠していると、バグはエンジニアリング時間を浪費します。このスキルは、構造化された再現、切り分け、根本原因分析、修正、回帰防止を支援します。
コーディング＆開発 表示
📦
task-planning
79Agileタスクとユーザーストーリーを計画する
チームは、明確なタスク、優先順位、受け入れ基準がないまま、広範な機能リクエストを受け取ることがよくあります。このスキルは、機能アイデアをユーザーストーリー、スプリントバックログ項目、依存関係、Definition of Doneのチェックに変換します。
生産性 表示
関連スキル
すべて表示📦
vercel-deployment
78Next.jsアプリをVercelにデプロイする
作成者 sickn33
Vercelのデプロイは、環境設定、ランタイム、ビルド動作がステージごとに異なるため失敗することがあります。このスキルは、Claude、Codex、Claude Codeが実践的なNext.jsデプロイ判断を行えるよう支援します。
DevOps＆インフラ 表示
📦
senior-devops
81DevOpsパイプラインとデプロイを自動化
作成者 alirezarezvani
DevOps作業では、再利用可能なパイプライン、インフラストラクチャ、デプロイのパターンが必要になることがよくあります。このスキルは、CI/CD、IaC、デプロイ、運用レビューのためのスクリプトとリファレンスガイドを提供します。
DevOps＆インフラ 表示
📦
k8s-manifest-generator
79Kubernetes マニフェストを安全に生成
作成者 sickn33
チームが記憶に頼って Kubernetes マニフェストを書くと、設定ミスが起こりやすくなります。このスキルは、要件を構造化された YAML ガイダンスに変換し、セキュリティ、プローブ、リソース、サービスパターンを含めます。
DevOps＆インフラ 表示
📦
devops-orchestrator
79DevOpsデリバリーを調整
作成者 Brownbull
DevOpsの作業は、パイプライン、インフラストラクチャ、モニタリング、デプロイ判断にまたがることがよくあります。このスキルは、それらのタスクをチェックリスト、引き継ぎ、ロールアウト計画として整理します。
DevOps＆インフラ 表示
📦
cloudbase-cli
79CLI から CloudBase を管理
作成者 tencentcloudbase
CloudBase チームには、デプロイやリソース変更のための再現可能なコマンドラインワークフローが必要です。このスキルは、tcb CLI タスクにおいて Claude、Codex、Claude Code をガイドします。
DevOps＆インフラ 表示
📦
deploying-to-production
78WebプロジェクトをGitHubとVercelにデプロイする
作成者 ZhanlinCui
本番環境へのデプロイは、ビルド、リポジトリ、ホスティングの手順を順序どおりに処理しないと失敗しがちです。このスキルは、GitHubとVercelの明確なリリースチェックリストを提供します。
DevOps＆インフラ 表示