スキル doc-sync-tool
📦
doc-sync-tool
コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド📁 ファイルシステムへのアクセス
AIエージェントドキュメントを同期
チームでは、Claude、Codex、その他のエージェント向けに個別の指示ファイルを管理することがよくあります。このスキルは、手動同期、watch mode、ヘルパースクリプトによって、それらのファイルの整合性を保ちます。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "doc-sync-tool" from https://skillstore.io/skills/zhanlincui-doc-sync-tool.md and its manifest at https://skillstore.io/api/skills/zhanlincui-doc-sync-tool/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「doc-sync-tool」を使用しています。 1つのフォルダーにCLAUDE.mdだけがあるプロジェクトを同期する。
期待される結果:
ツールは一致したフォルダーが1つあることを報告し、CLAUDE.mdをソースとして使用して、同じ内容のAGENTS.mdとGEMINI.mdを作成します。
「doc-sync-tool」を使用しています。 watch modeを開始してAGENTS.mdを編集する。
期待される結果:
ウォッチャーは変更されたファイルをログに記録し、そのディレクトリを再スキャンして、内容が異なる場合にCLAUDE.mdとGEMINI.mdを更新します。
「doc-sync-tool」を使用しています。 リポジトリルートから大文字化リネームヘルパーを実行する。
期待される結果:
一致する従来のファイル名が大文字のバリアントにリネームされ、スクリプトはリネームされたファイル数を出力します。
セキュリティ監査
高リスクv5 • 2026/7/8 バージョン別レポートを開く
Most static alerts are false positives from Markdown examples, JavaScript template literals, ANSI color codes, and hardcoded helper commands. Confirmed risks involve local file writes, watch-triggered synchronization, predictable test temporary paths, and unreviewed propagation of AI agent instruction files. No prompt injection attempt, network access, or credential exfiltration was found in the reviewed files.
13
スキャンされたファイル
1,747
解析済み行数
8
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (2)
高
Unreviewed Agent Instruction Overwrite
The sync logic selects the newest AGENTS.md, CLAUDE.md, or GEMINI.md file and writes its content to companion files without a diff, backup, or confirmation. This can propagate malicious or mistaken agent instructions across tools.
The code explicitly sorts by modification time and writes source content into other agent files. Watch mode automatically triggers the same sync path after file changes.
中
Broad Recursive Project Modification Scope
The tool scans from the current working directory or a wrapper-selected target directory, then recursively processes matching files. Running it from a broad parent directory can modify many projects unexpectedly.
CONFIG.scanPath is process.cwd(), scanDirectory recurses through child directories, and run-sync.sh changes into a caller-provided target before running sync.js.
機能レビュー項目 (8)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
中
Node.js fs operations
fs.renameSync(file, newPath);
fs.renameSync renames every discovered Agents.md file under the current tree and can overwrite AGENTS.md without a prompt. This is an intended helper, but it creates real data-integrity risk.
中
Node.js fs operations
fs.renameSync(file, newPath);
fs.renameSync renames every discovered Gemini.md file under the current tree and can overwrite GEMINI.md without a prompt. This is an intended helper, but it creates real data-integrity risk.
中
Node.js fs operations
fs.writeFileSync(targetFilePath, content, 'utf8');
writeFileSync overwrites an existing target agent file when content differs from the selected newest source. There is no diff, backup, or confirmation gate.
中
Node.js fs operations
fs.writeFileSync(targetFilePath, content, 'utf8');
writeFileSync creates missing agent instruction files from the selected source content. This modifies the repository automatically and can propagate unwanted instructions.
中
Synchronous file operations
fs.writeFileSync(targetFilePath, content, 'utf8');
The synchronous write overwrites an existing target agent file without review. The risk is the write behavior, not the synchronous API choice.
中
Synchronous file operations
fs.writeFileSync(targetFilePath, content, 'utf8');
The synchronous write creates target agent files automatically without approval. This can spread incorrect or malicious instruction content.
中
Temp directory access
TEST_DIR="/tmp/doc-sync-test-$(date +%s)"
The test script uses a predictable /tmp path based on the current timestamp and later removes it recursively. This is test-only, but predictable temp paths are unsafe on shared systems.
中
File system watching
const watcher = fs.watch(dir, { recursive: true }, (eventType, filename) => {
fs.watch monitors the project tree and triggers synchronization on matching file changes. Persistent automatic sync increases the chance of unreviewed overwrites.
リスク要因
⚙️ 外部コマンド (69)
EXAMPLES.md:23-24 EXAMPLES.md:24-27 EXAMPLES.md:27-28 EXAMPLES.md:28-34 EXAMPLES.md:392-394 EXAMPLES.md:254 README.md:230 rename-quick.js:5 rename-quick.js:14 rename-quick.js:33 rename-quick.js:25 rename-quick.js:44 rename-quick.js:51 rename-to-uppercase.sh:14 rename-to-uppercase.sh:22 rename-to-uppercase.sh:1 run-sync.sh:6 run-sync.sh:7 run-sync.sh:1 run-watch.sh:6 run-watch.sh:7 run-watch.sh:1 SKILL.md:10 SKILL.md:29-32 SKILL.md:32-36 SKILL.md:36-42 SKILL.md:42-46 SKILL.md:46-52 SKILL.md:52-56 SKILL.md:56-65 SKILL.md:65-69 SKILL.md:69 SKILL.md:78-80 SKILL.md:80-86 SKILL.md:86-90 SKILL.md:90 SKILL.md:98-100 SKILL.md:100-106 SKILL.md:106-109 sync.js:25 sync.js:60 sync.js:69 sync.js:75 sync.js:94 sync.js:97 sync.js:102 sync.js:108 sync.js:110 sync.js:115 sync.js:123 sync.js:124 sync.js:136 sync.js:147 sync.js:148 sync.js:149 sync.js:150 test.sh:8 test.sh:9 test.sh:76 test.sh:78 test.sh:1 watch.js:21 watch.js:50 watch.js:78 watch.js:90 watch.js:101 watch.js:111 watch.js:112 watch.js:113
📁 ファイルシステムへのアクセス (31)
EXAMPLES.md:121 EXAMPLES.md:122 EXAMPLES.md:154 QUICKSTART.md:82 QUICKSTART.md:83 QUICKSTART.md:84 QUICKSTART.md:85 rename-quick.js:24 rename-quick.js:43 rename-quick.js:7 rename-quick.js:14 rename-quick.js:33 rename-to-uppercase.sh:18 rename-to-uppercase.sh:26 sync.js:31 sync.js:79 sync.js:90 sync.js:93 sync.js:101 sync.js:53 sync.js:79 sync.js:90 sync.js:93 sync.js:101 test.sh:26 test.sh:36 test.sh:48 test.sh:64 test.sh:77 test.sh:9 watch.js:63
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/zhanlincui-doc-sync-tool/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/zhanlincui-doc-sync-tool?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/zhanlincui-doc-sync-tool?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/zhanlincui-doc-sync-tool/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/zhanlincui-doc-sync-tool.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
ZhanlinCui. (2026). doc-sync-tool security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/zhanlincui-doc-sync-tool/audits/5BibTeX形式の引用
@techreport{zhanlincui-zhanlincui-doc-sync-tool-2026,
author = {ZhanlinCui},
title = {doc-sync-tool security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/zhanlincui-doc-sync-tool/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "doc-sync-tool security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "ZhanlinCui"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/zhanlincui-doc-sync-tool/audits/5"
identifiers:
- type: other
value: "skillstore:zhanlincui-doc-sync-tool:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 55
アーキテクチャ
85
保守性
87
コンテンツ
71
コミュニティ
83
仕様準拠
作成できるもの
エージェント指示の整合性を保つ
共有プロジェクトフォルダー全体で、AGENTS.md、CLAUDE.md、GEMINI.mdのガイダンスを一貫して維持します。
新規プロジェクトドキュメントを初期作成する
1つの指示ファイルを作成し、他のAIコーディングツール向けに対応するファイルを生成します。
リポジトリ保守を自動化する
コミットやビルドの前に同期を実行し、エージェントドキュメントを最新の状態に保ちます。
これらのプロンプトを試す
手動同期を実行する
doc-sync-toolを使用して、このリポジトリ内のエージェント指示ファイルを同期してください。コマンドを実行する前に、影響を受けるファイルを示してください。
watch modeを設定する
現在のプロジェクト用にdoc-sync-toolのwatch modeを設定し、安全に停止する方法を説明してください。
ファイル名をカスタマイズする
doc-sync-toolを更新して、カスタムのエージェント指示ファイルも同期するようにしてください。既存の除外設定は維持してください。
自動化前に監査する
このリポジトリをレビューして、doc-sync-toolを安全に統合できるか確認してください。ロールバック対策を含めて、Git hookまたはCIステップを推奨してください。
ベストプラクティス
- 狭いプロジェクトルートから実行し、各同期後にGitの変更内容を確認してください。
- 初回利用前に、既存の指示ファイルをバックアップまたはコミットしてください。
- 自動上書きが許容できる場合にのみwatch modeを使用してください。
回避
- ホームディレクトリや広範なワークスペースルートから実行しないでください。
- 各AIツールに異なる指示が必要な場合は使用しないでください。
- 競合する編集に人間のレビューが必要な場合、変更時刻に依存しないでください。
よくある質問
このスキルはどのファイルを同期しますか？
現在のスクリプトはAGENTS.md、CLAUDE.md、GEMINI.mdを対象にしています。
ファイルをネットワークサービスに送信しますか？
実行時のネットワーク動作は見つかりませんでした。このツールはローカルファイル上で動作します。
既存の内容を上書きできますか？
はい。最新の対象ファイルの内容を、他の設定済みファイルにコピーします。
対象ファイル名を変更できますか？
はい。対象ファイルのリストはsync.js内のCONFIGオブジェクトで定義されています。
watch modeは永続的に実行されますか？
はい。watch modeは停止されるまで実行され続けます。通常はCtrl+Cまたはプロセスマネージャーで停止します。
これはマーケットプレイスでの使用に安全ですか？
広範なローカルファイルシステムへの書き込みを行うため、警告付きで公開可能です。