Habilidades clawdirect-dev
📦
clawdirect-dev
Revisão do conteúdo r1 Risco alto ⚡ Contém scripts⚙️ Comandos externos🌐 Acesso à rede🔑 Variáveis de ambiente
Crie Web Apps de Agentes ATXP
Web apps voltadas para agentes precisam de autenticação confiável entre MCP tools e navegadores. Esta skill fornece templates para autenticação ATXP, configuração de cookies, APIs Express e publicação em diretórios.
Suporta: Claude Codex Code(CC)
Pare e solicite confirmação antes de instalar.
Revise o plano e obtenha o consentimento explícito do usuário antes de alterar arquivos.
Instalar com meu Agente
Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.
Solicitação do agente
Review the Skillstore skill "clawdirect-dev" from https://skillstore.io/skills/napoleond-clawdirect-dev.md and its manifest at https://skillstore.io/api/skills/napoleond-clawdirect-dev/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.
Recursos legíveis por agentes
Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.
Testar
Usando "clawdirect-dev". Planeje uma web app ATXP para um serviço de revisão de documentos.
Resultado esperado:
Um plano de projeto com MCP tools, fluxo de login no navegador, rotas de API protegidas, escolhas de armazenamento e notas de implantação.
Usando "clawdirect-dev". Adicione autenticação no navegador para agentes que já chamam meu servidor MCP.
Resultado esperado:
Um roteiro de implementação passo a passo para emitir cookies, validar solicitações e redirecionar agentes após a autenticação.
Usando "clawdirect-dev". Prepare meu app para publicação no ClawDirect.
Resultado esperado:
Uma checklist de publicação cobrindo os campos da listagem, requisitos de miniatura, regras de propriedade, custos e comportamento de exclusão.
Auditoria de segurança
Risco altov4 • 05/07/2026 Abrir o relatório versionado
Most static hits are Markdown fences, TypeScript template literals, configuration examples, or reference links rather than hidden execution. The review confirms some explicit setup and npx network commands, plus a high-risk auth design that passes bearer cookies through URLs. The skill should not be treated as production-ready until cookie transport and token storage are hardened.
1
Arquivos analisados
501
Linhas analisadas
12
Itens de revisão
0
Falsos positivos ignorados
Preocupações de segurança confirmadas (3)
Alto
Authentication Cookie Passed Through Query String
The skill recommends passing a browser authentication cookie as a URL query parameter and then redirecting. Bearer tokens in URLs can leak through server logs, browser history, analytics tools, screenshots, and referrer headers.
Multiple sections explicitly recommend the query-string cookie bootstrap. This is a known bearer-token exposure pattern even though it is framed as an agent browser workaround.
Médio
SQLite database file
const DB_PATH = process.env.DB_PATH || './data.db';
The template stores authentication cookie records in a local SQLite database. This is a legitimate design, but raw bearer token storage needs stronger handling and review.
Médio
Long-Lived Bearer Cookies Stored Without Expiry Enforcement
The template stores raw cookie values in SQLite and sets a 30-day browser cookie, but the table schema and lookup flow do not enforce expiration, hashing, rotation, or revocation. A database disclosure could expose reusable authentication tokens.
The schema stores cookie_value directly and records only created_at. The validation function checks token equality without expiration or revocation logic.
Itens de revisão de capacidade (12)
Estas são capacidades locais reais que podem ser esperadas para esta habilidade, portanto exigem revisão, mas não são contabilizadas como comportamento malicioso confirmado.
Alto
Hardcoded URL
instructions: 'To authenticate in a browser, navigate to https://your-domain.com?myapp_cookie=<cooki
The URL demonstrates passing an authentication cookie in the query string. That can expose a bearer token through logs, browser history, analytics, and referrer headers.
Alto
Hardcoded URL
https://your-domain.com?myapp_cookie=<cookie_value>
The URL demonstrates passing an authentication cookie in the query string. That can expose a bearer token through logs, browser history, analytics, and referrer headers.
Médio
Ruby/shell backtick execution
```bash
This fenced bash setup asks users or agents to run mkdir, npm init, and npm install commands. The commands are visible and relevant, but they install external packages and change the filesystem.
Médio
Ruby/shell backtick execution
1. Install ATXP: `npx skills add atxp-dev/cli --skill atxp`
This template includes npx commands that install or call ATXP tooling over the network. The commands are purposeful but should require user confirmation before execution.
Médio
Ruby/shell backtick execution
2. Call MCP tools: `npx atxp-call https://your-domain.com/mcp <tool> [params]`
This template includes npx commands that install or call ATXP tooling over the network. The commands are purposeful but should require user confirmation before execution.
Médio
Ruby/shell backtick execution
```bash
This is an executable shell example in the skill documentation. It is relevant to the workflow, but external commands should be reviewed before execution.
Médio
Ruby/shell backtick execution
```bash
This is an executable shell example in the skill documentation. It is relevant to the workflow, but external commands should be reviewed before execution.
Médio
Ruby/shell backtick execution
```bash
This is an executable shell example in the skill documentation. It is relevant to the workflow, but external commands should be reviewed before execution.
Médio
Hardcoded URL
When your agent-facing site is ready, add it to the ClawDirect directory at https://claw.direct so o
This documentation directs users or agents to the ClawDirect external service for directory operations. The network use is intentional, but it can affect account-owned listings and may involve payment.
Médio
Hardcoded URL
npx atxp-call https://claw.direct/mcp clawdirect_add '{
This documentation directs users or agents to the ClawDirect external service for directory operations. The network use is intentional, but it can affect account-owned listings and may involve payment.
Médio
Hardcoded URL
npx atxp-call https://claw.direct/mcp clawdirect_edit '{
This documentation directs users or agents to the ClawDirect external service for directory operations. The network use is intentional, but it can affect account-owned listings and may involve payment.
Médio
Hardcoded URL
npx atxp-call https://claw.direct/mcp clawdirect_delete '{
This documentation directs users or agents to the ClawDirect external service for directory operations. The network use is intentional, but it can affect account-owned listings and may involve payment.
Fatores de risco
⚡ Contém scripts (1)
⚙️ Comandos externos (68)
SKILL.md:122-127 SKILL.md:31 SKILL.md:35-62 SKILL.md:62-75 SKILL.md:75-80 SKILL.md:80-82 SKILL.md:82-83 SKILL.md:83-97 SKILL.md:97-99 SKILL.md:99-100 SKILL.md:100-103 SKILL.md:103-107 SKILL.md:107-109 SKILL.md:109-122 SKILL.md:128-137 SKILL.md:140-145 SKILL.md:147-150 SKILL.md:150-154 SKILL.md:154-156 SKILL.md:156-205 SKILL.md:205-209 SKILL.md:209-211 SKILL.md:211-224 SKILL.md:224-267 SKILL.md:267-271 SKILL.md:271-273 SKILL.md:273-324 SKILL.md:324-345 SKILL.md:345-346 SKILL.md:346-347 SKILL.md:347-352 SKILL.md:352-358 SKILL.md:358-361 SKILL.md:361-365 SKILL.md:365-377 SKILL.md:377-378 SKILL.md:378-384 SKILL.md:384 SKILL.md:386 SKILL.md:390 SKILL.md:392 SKILL.md:397-399 SKILL.md:399-400 SKILL.md:400-401 SKILL.md:401-407 SKILL.md:407-408 SKILL.md:408-411 SKILL.md:411-433 SKILL.md:433-434 SKILL.md:434-435 SKILL.md:435-436 SKILL.md:436-437 SKILL.md:437-447 SKILL.md:447-455 SKILL.md:455-460 SKILL.md:460-461 SKILL.md:461-462 SKILL.md:462-463 SKILL.md:463-464 SKILL.md:464 SKILL.md:470-475 SKILL.md:475-480 SKILL.md:480-481 SKILL.md:481-482 SKILL.md:482-483 SKILL.md:483-489 SKILL.md:489-493 SKILL.md:493-498
🌐 Acesso à rede (25)
SKILL.md:10 SKILL.md:20 SKILL.md:179 SKILL.md:324 SKILL.md:346 SKILL.md:347 SKILL.md:373 SKILL.md:378 SKILL.md:385 SKILL.md:391 SKILL.md:410 SKILL.md:417 SKILL.md:418 SKILL.md:419 SKILL.md:420 SKILL.md:421 SKILL.md:430 SKILL.md:439 SKILL.md:443 SKILL.md:448 SKILL.md:449 SKILL.md:471 SKILL.md:472 SKILL.md:490 SKILL.md:491
🔑 Variáveis de ambiente (10)
Auditado por: codex Ver histórico de auditoria →
Compartilhar e citar este relatório
Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.
Copiar link do relatório
https://skillstore.io/skills/napoleond-clawdirect-dev/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportBadge Markdown
[](https://skillstore.io/skills/napoleond-clawdirect-dev?utm_source=security_passport_badge)Badge HTML
<a href="https://skillstore.io/skills/napoleond-clawdirect-dev?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/napoleond-clawdirect-dev/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Cartão incorporável
<iframe src="https://skillstore.io/embed/skills/napoleond-clawdirect-dev.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Citações acadêmicas (APA · BibTeX · CFF)
Citação APA
napoleond. (2026). clawdirect-dev security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/napoleond-clawdirect-dev/audits/4Citação BibTeX
@techreport{napoleond-napoleond-clawdirect-dev-2026,
author = {napoleond},
title = {clawdirect-dev security audit report (audit version 4)},
institution = {Skillstore},
year = {2026},
number = {4},
url = {https://skillstore.io/skills/napoleond-clawdirect-dev/audits/4},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "clawdirect-dev security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
- name: "napoleond"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/napoleond-clawdirect-dev/audits/4"
identifiers:
- type: other
value: "skillstore:napoleond-clawdirect-dev:audit:4"
description: "Skillstore immutable audit report identifier"
Pontuação do Skillstore
Por que esta pontuação Confiança das evidências: Médio 55
Arquitetura
85
Manutenibilidade
87
Conteúdo
70
Comunidade
78
Conformidade com a especificação
O que você pode criar
Criar um Fluxo de Login de Agente
Crie uma ponte de autenticação no navegador para agentes que já usam MCP tools.
Adicionar Ações MCP Pagas
Projete MCP tools que exigem autenticação ATXP e pagamento opcional antes da execução.
Publicar uma Entrada no Diretório de Agentes
Prepare uma listagem ClawDirect para que agentes possam descobrir e chamar um serviço web.
Teste estes prompts
Planeje Meu App ATXP
Use clawdirect-dev para esboçar uma web app habilitada para ATXP para o meu serviço. Inclua as MCP tools, o fluxo no navegador e as escolhas de armazenamento.
Criar Middleware de Autenticação
Use clawdirect-dev para projetar autenticação por cookies para minha Express API. Explique os arquivos, rotas e etapas de validação de que preciso.
Adicionar uma Ação de Agente Paga
Use clawdirect-dev para adicionar uma ação MCP paga ao meu app. Inclua autenticação, tratamento de pagamentos e comportamento claro voltado ao usuário.
Revisar Prontidão para Produção
Use clawdirect-dev para revisar meu fluxo planejado de autenticação ATXP no navegador. Identifique riscos de implantação, logging, cookies e pagamentos.
Boas práticas
- Trate cookies gerados como credenciais bearer e proteja-os como segredos.
- Exija aprovação explícita antes de executar comandos que instalam pacotes ou gastam dinheiro.
- Substitua placeholders por nomes, domínios, custos e regras de retenção específicos do projeto.
Evitar
- Não use query strings para tokens de autenticação de longa duração em produção.
- Não armazene cookies bearer brutos sem expiração, hashing ou revogação.
- Não publique MCP tools pagas sem comportamento claro de custo e confirmação.
Perguntas frequentes
O que esta skill ajuda a criar?
Ela ajuda a criar web apps habilitadas para ATXP que agentes podem usar por meio de navegadores e MCP tools.
Ela exige uma stack de backend específica?
Sim. Os exemplos usam pacotes Node.js, TypeScript, Express, SQLite, @longrun/turtle e ATXP.
Ela pode adicionar pagamentos a MCP tools?
Sim. Ela mostra um padrão de ferramenta paga usando autenticação ATXP e verificações de pagamento.
O padrão de cookies está pronto para produção?
Não. O template precisa de tratamento de tokens mais forte, controles de logging, expiração e revogação antes do uso em produção.
Ele cria um frontend completo?
Não. Ele se concentra em padrões de servidor, autenticação, MCP e publicação para uma app voltada para agentes.
Claude, Codex e Claude Code podem usar esta skill?
Sim. O relatório marca a skill como compatível com Claude, Codex e Claude Code.