Este relatório não está traduzido para o idioma solicitado. O relatório canônico em inglês é exibido no lugar.

Avaliação de segurança versionada

ID do relatório: SA-2AAB20A3

10/13/2026, 4:16:41 AM

taiwan-toilet avaliação de segurança v1

Relatório de Certificação de Segurança da Skill

Histórico de auditoria
Versão do scanner 3.0.0 Modelo de auditoria: codex Relatório publicado mais recente
Nome da skill
taiwan-toilet
Versão
v1
Mantenedor
tahodev
Fonte
github.com/tahodev/baodao-skill/tree/3ce4b58e4525f5a66390e1236b6d38702790225a/taiwan-toilet
Cobertura
1 Arquivos analisados · 91 Linhas analisadas
Versão da política
skillstore-security-audit-policy-v1

Resumo de descobertas confirmadas

Nenhuma descoberta de segurança confirmada

A auditoria concluída não registrou nenhuma constatação de segurança confirmada. Isso não prova que a Skill não tenha efeitos colaterais.

Contexto de instalação

Confira a página atual de Habilidades

Esta página resume apenas as evidências do relatório. A página da Skill fornece o aviso canônico de instalação.

Abra a página atual do Skill

Este relatório não bloqueia nem autoriza o manifesto ou o ZIP.

Markdown backticks, documented public-data requests, and the dataset access key do not establish command injection, secret theft, reconnaissance, or obfuscation. Predictable shared temporary files introduce local overwrite and tampering risks when another user can precreate or alter them. No evidence found of malicious intent, data exfiltration, or prompt injection.

Posição do relatório

Relatório publicado mais recente

Mais recente refere-se à sequência do relatório, não à atualidade do artefato.

Atestado de auditoria

Atestação ativa

Uma atestação pública está disponível para este relatório exato.

Verificação humana

Não verificado

Nenhuma verificação humana está registrada para este relatório.

Cobertura

1 Arquivos analisados · 91 Linhas analisadas

4 itens exibidos para revisão

Limitações

Este relatório não alega execução em runtime ou sandbox e não prova a ausência de efeitos colaterais.

Cadeia de evidências

Siga as evidências desde a vinculação à origem até o contrato de instalação. As evidências disponíveis oferecem suporte à verificação; não são uma garantia de segurança.

  1. Fonte

    Commit e caminho vinculados

  2. Artefato

    Hashes de conteúdo e árvore vinculados

  3. Auditoria

    Concluído

  4. Contrato de instalação

    Abra o manifesto para verificar

    Abra o manifesto

Recursos observados

Observado significa que este relatório registrou evidências de suporte. Não registrado não prova que uma capacidade está ausente.

Contém scripts

Pode executar código incluído com o Skill.

Não registrado por esta auditoria

Acesso à rede

Pode conectar-se a serviços externos.

Observado em 6 locais de evidência

Acesso ao sistema de arquivos

Pode ler ou gravar arquivos locais.

Observado em 4 locais de evidência

Variáveis de ambiente

Pode ler valores do ambiente do processo.

Observado em 3 locais de evidência

Comandos externos

Pode invocar comandos ou programas fora do Skill.

Observado em 7 locais de evidência

Itens de revisão de capacidade (4)
Médio
SKILL.md:26
Temp directory access
curl -sm 30 -A 'Mozilla/5.0' "$BASE&limit=1000&offset=0&sort=ImportDate%20desc&format=JSON" -o /tmp/
curl writes to predictable /tmp/toilet_p1.json without creating a private directory. A precreated symlink can redirect the write and overwrite files permitted by the executing account.
Médio
SKILL.md:43
Temp directory access
json.dump(rows, open('/tmp/toilet_all.json', 'w'), ensure_ascii=False)
Opening predictable /tmp/toilet_all.json in write mode follows symlinks and truncates an existing target. Another local user could redirect this write where filesystem protections permit.
Médio
SKILL.md:61
Temp directory access
rows = json.load(open('/tmp/toilet_all.json')) # 上一節合併後的全部頁面
The calculation trusts a predictable shared cache without checking ownership or isolating it. A local attacker could replace the file and influence toilet names, locations, or rankings.
Médio
SKILL.md:43
Python file write/append
json.dump(rows, open('/tmp/toilet_all.json', 'w'), ensure_ascii=False)
The write-mode open can truncate a preexisting file or follow a symlink at the fixed shared path. It lacks exclusive creation or a private temporary directory.

Descobertas de risco

As preocupações de segurança confirmadas são separadas dos itens que ainda precisam de revisão.

Nenhum achado de segurança confirmado foi registrado nesta auditoria concluída.

Medidas corretivas

As correções sugeridas foram registradas por esta auditoria. Aplicá-las é responsabilidade da pessoa responsável pela manutenção.

  1. FIX-001
    Médio
    Downloads and merged data use predictable shared temporary filenames.
    Create a private temporary directory with mktemp or tempfile.TemporaryDirectory, and keep downloads, merged data, and subsequent reads inside it.
  2. FIX-002
    Médio
    The nearest-toilet calculation trusts a cache that another local user could replace.
    Pass the private cache path explicitly between steps, validate record fields, and remove the directory after use.

Evidência especializada

Identidade imutável do sujeito, metadados do scanner, correspondências descartadas e evidências no nível da origem.

Sujeito do artefato

Commit do Marketplace
2aab20a3878daa05021884e089a7dd7739e08581
Hash do conteúdo
70121bfd5dd460723d4ed01c6d75f5a10068bba8fccec3dbd69d66616a6f4bcf
Hash da árvore
9c896b9c4a86d414b943c23da782e089418df61944381c8792e832b80219f480
Caminho do Skill
skills/tahodev/taiwan-toilet
Hash da carga de auditoria
97e36fce3431a6d0e6833f6e781929cb

Metadados da análise

Modelo de auditoria: codex

Estado da análise: Concluído

O escopo limita-se aos arquivos, linhas, métodos e evidências registrados. Nenhuma execução em runtime ou sandbox é alegada.

Verificar e exportar

Relatório JSON Atestado de auditoria assinado CITATION.cff SARIF 2.1.0 Manifesto de instalação assinado Fonte

O manifesto e o arquivo de bloqueio vinculam os artefatos de instalação a hashes criptográficos. Esta alegação de integridade é separada da avaliação de segurança.

Atestado de auditoria: active