📦

liepin-cli

Name: liepin-cli
Author: xllin

v0.3.0 Revisão do conteúdo r1 Risco alto 🌐 Acesso à rede📁 Acesso ao sistema de arquivos🔑 Variáveis de ambiente⚙️ Comandos externos

Gerenciar vagas e currículos do Liepin

Pessoas em busca de emprego precisam de uma forma mais segura de pesquisar vagas no Liepin, inspecionar dados de currículo e preparar candidaturas a partir de um assistente. Esta skill orienta Claude, Codex e Claude Code pelo fluxo de trabalho do Liepin CLI com comandos estruturados e etapas de confirmação.

Suporta: Claude Codex Code(CC)

⚠️ 38 Ruim

Pare e solicite confirmação antes de instalar.

Revise o plano e obtenha o consentimento explícito do usuário antes de alterar arquivos.

Instalar com meu Agente

Copie esta solicitação para o seu Agente. Ela inclui a página canônica do Skill e o manifesto.

Solicitação do agente

Review the Skillstore skill "liepin-cli" from https://skillstore.io/skills/xllinbupt-liepin-cli.md and its manifest at https://skillstore.io/api/skills/xllinbupt-liepin-cli/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Seu Agente ainda deve apresentar o plano e solicitar qualquer confirmação exigida pela política de segurança.

Recursos legíveis por agentes

Use estes links quando um agente de IA, crawler ou script precisar de contexto limpo em vez de ler a página completa.

Detalhe em Markdown GET /skills/xllinbupt-liepin-cli.md manifest assinado GET /api/skills/xllinbupt-liepin-cli/manifest lockfile assinado GET /api/skills/xllinbupt-liepin-cli/lockfile

Testar

Usando "liepin-cli". Pesquise vagas de desenvolvedor Java em Pequim.

Resultado esperado:

Uma tabela de vagas compatíveis com empresa, localidade, salário, escolaridade, experiência, job ID e job kind.

Usando "liepin-cli". Revise meu currículo antes de eu me candidatar.

Resultado esperado:

Um resumo conciso de prontidão que destaca informações básicas ausentes, lacunas no histórico profissional e campos a atualizar.

Usando "liepin-cli". Candidate-se à segunda vaga dos resultados da pesquisa.

Resultado esperado:

Uma solicitação de confirmação que repete o cargo, a empresa, o job ID e o job kind antes que qualquer comando de candidatura seja executado.

Auditoria de segurança

Risco alto

v5 • 08/07/2026 Abrir o relatório versionado

The audit confirms real risks from authenticated network calls, environment-token access, plaintext local token configuration, and hidden credential-file use. Many high-looking static hits are false positives from Markdown backticks, parameter names, and entropy in readable multilingual text. No prompt injection text was found in the cited files.

Arquivos analisados

508

Linhas analisadas

Itens de revisão

Falsos positivos ignorados

Preocupações de segurança confirmadas (2)

Alto

SKILL.md:57-63 liepin_mcp.py:193-198 liepin_mcp.py:209-218

Authenticated Resume and Job Application Side Effects

The skill can fetch resume data, update resume modules, and submit job applications through authenticated MCP calls. SKILL.md requires confirmation before applying, but the Python CLI exposes direct apply and update commands without enforcing chat-level confirmation.

The workflow explicitly includes resume review and job application, and the implementation directly calls user-apply-job and resume-toolkit. This is intended functionality, but it has real external account effects.

Médio

liepin_mcp.py:70-75 liepin_mcp.py:125-128 liepin_mcp.py:147-149 liepin_mcp.py:266

Configurable Endpoint Receives User Token

The MCP URL can be read from configuration or setup arguments, and the client sends the user token in an HTTP header. A malicious or mistaken endpoint override could receive the token and job or resume payloads.

The code sets x-user-token on each request and allows the URL to come from configuration or the setup --url argument. The risk depends on endpoint control, so confidence is high but not absolute.

Itens de revisão de capacidade (11)

Estas são capacidades locais reais que podem ser esperadas para esta habilidade, portanto exigem revisão, mas não são contabilizadas como comportamento malicioso confirmado.

Alto

reference.md:62

Hidden file in home directory

- Token 优先级:`--token` > `LIEPIN_USER_TOKEN` > 本地配置文件(`~/.config/liepin-cli/config.json`)

The reference documents token use from a hidden config file in the user home directory. Hidden credential files are sensitive and need clear storage protections.

Médio

liepin_mcp.py:75

Python HTTP libraries

req = urllib.request.Request(self.url, data=data, headers=headers, method="POST")

The code builds POST requests to the configured MCP URL with JSON payloads and authentication headers. This can transmit user resume and job data externally.

Médio

liepin_mcp.py:77

Python HTTP libraries

with urllib.request.urlopen(req, timeout=timeout) as resp:

The code performs outbound urlopen calls to the configured MCP endpoint. The requests use the user token and can carry sensitive job or resume data.

Médio

liepin_mcp.py:40

Python file write/append

with open(CONFIG_PATH, "w", encoding="utf-8") as f:

The setup flow writes configuration to a local file that can include the user token. Plaintext token storage in user config is a real credential exposure risk.

Médio

liepin_mcp.py:125

Configuration library

url = config.get("mcp_url", DEFAULT_MCP_URL)

The MCP URL is read from local configuration before the token is used. If the config is changed, authenticated requests could be redirected to another endpoint.

Médio

reference.md:62

Hidden file access

- Token 优先级:`--token` > `LIEPIN_USER_TOKEN` > 本地配置文件(`~/.config/liepin-cli/config.json`)

The documented token priority includes a hidden local config file. This confirms filesystem-based credential access for the CLI workflow.

Baixo

liepin_mcp.py:18

Python HTTP libraries

import urllib.request

The Python file imports urllib for outbound HTTP requests. This is intended, but it confirms network capability inside the skill tooling.

Baixo

liepin_mcp.py:24

Hardcoded URL

DEFAULT_MCP_URL = "https://open-agent.liepin.com/mcp/user"

The hardcoded URL is the default external Liepin MCP service endpoint. It is expected functionality, but it fixes an external network destination for authenticated requests.

Baixo

liepin_mcp.py:46

Python environment access

user_token = config.get("user_token") or os.environ.get("LIEPIN_USER_TOKEN", "")

The code reads LIEPIN_USER_TOKEN from the process environment. This is legitimate configuration, but it accesses a secret-bearing environment variable.

Baixo

liepin_mcp.py:46

Configuration library

user_token = config.get("user_token") or os.environ.get("LIEPIN_USER_TOKEN", "")

The same token lookup uses local config first and environment fallback. Both sources can contain a sensitive Liepin user token.

Baixo

SKILL.md:28

Hardcoded URL

若用户尚未安装 `liepin-cli`,引导其参考 [liepin-tech-2026/liepin-cil](https://github.com/liepin-tech-2026/liepin-

The skill directs users to an external GitHub repository for CLI installation. This is manual guidance, but it introduces supply-chain trust in code outside the skill package.

Fatores de risco

🌐 Acesso à rede (9)

_meta.json:8 liepin_mcp.py:18 liepin_mcp.py:75 liepin_mcp.py:77 liepin_mcp.py:24 liepin_mcp.py:139 SKILL.md:10 SKILL.md:11 SKILL.md:28

📁 Acesso ao sistema de arquivos (3)

liepin_mcp.py:40 reference.md:62 reference.md:62

🔑 Variáveis de ambiente (3)

liepin_mcp.py:46 liepin_mcp.py:46 liepin_mcp.py:125

⚙️ Comandos externos (23)

Auditado por: codex Ver histórico de auditoria →

Compartilhar e citar este relatório

Compartilhe o relatório de avaliação versionado, o badge neutro, o cartão incorporável e as citações. A Skillstore apresenta evidências sem decidir se este Skill é seguro.

Abrir o relatório versionado

Copiar link do relatório

https://skillstore.io/skills/xllinbupt-liepin-cli/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Badge Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/xllinbupt-liepin-cli/security.svg)](https://skillstore.io/skills/xllinbupt-liepin-cli?utm_source=security_passport_badge)

Badge HTML

<a href="https://skillstore.io/skills/xllinbupt-liepin-cli?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/xllinbupt-liepin-cli/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Cartão incorporável

<iframe src="https://skillstore.io/embed/skills/xllinbupt-liepin-cli.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Citações acadêmicas (APA · BibTeX · CFF)

Citação APA

xllin. (2026). liepin-cli security audit report (audit version 5) [Author version 0.3.0]. Skillstore. https://skillstore.io/skills/xllinbupt-liepin-cli/audits/5

Citação BibTeX

@techreport{xllin-xllinbupt-liepin-cli-2026,
  author = {xllin},
  title = {liepin-cli security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/xllinbupt-liepin-cli/audits/5},
  note = {Author version 0.3.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "liepin-cli security audit report (audit version 5)"
version: "0.3.0"
type: report
authors:
  - name: "xllin"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/xllinbupt-liepin-cli/audits/5"
identifiers:
  - type: other
    value: "skillstore:xllinbupt-liepin-cli:audit:5"
    description: "Skillstore immutable audit report identifier"

Pontuação do Skillstore

Por que esta pontuação Confiança das evidências: Médio

Arquitetura

100

Manutenibilidade

Conteúdo

Comunidade

100

Conformidade com a especificação

O que você pode criar

Pesquisar vagas compatíveis

Encontrar vagas no Liepin por título, cidade, salário, escolaridade, experiência, tipo de empresa ou nome da empresa.

Revisar prontidão do currículo

Buscar dados do currículo e identificar campos ausentes antes que um usuário se candidate a vagas selecionadas.

Preparar candidaturas controladas

Pesquisar primeiro, reutilizar o job kind retornado, mostrar os detalhes da vaga e candidatar-se somente após confirmação.

Teste estes prompts

Verificar configuração

Verifique se a autenticação do Liepin CLI está pronta. Se estiver ausente, oriente-me pelas etapas de configuração sem mostrar flags avançadas.

Pesquisar vagas

Pesquise no Liepin por vagas de gerente de produto em Xangai. Mostre os resultados mais úteis em uma tabela concisa e mantenha os valores de job kind retornados.

Revisar adequação do currículo

Busque meu currículo do Liepin e compare-o com as vagas encontradas na última pesquisa. Resuma os detalhes ausentes antes que eu me candidate.

Preparar fluxo de candidatura

Para a vaga mais compatível, mostre os detalhes da vaga, explique por que ela combina, confirme o job ID e o job kind, e aguarde minha aprovação antes de se candidatar.

Boas práticas

Execute verificações de status de autenticação antes de ações de busca de vagas, atualização de currículo ou candidatura.
Use saída JSON para analisar, classificar ou comparar vários resultados de pesquisa.
Mostre os detalhes da vaga e obtenha aprovação explícita antes de se candidatar ou alterar dados do currículo.

Evitar

Não adivinhe valores de job kind; reutilize o valor retornado pelos resultados da pesquisa.
Não exponha flags ocultas ou avançadas durante a ajuda inicial, a menos que o usuário peça.
Não envie tokens, dados de currículo ou candidaturas para um endpoint não padrão sem revisão do usuário.

Perguntas frequentes

O que esta skill faz?

Ela orienta fluxos de trabalho do Liepin CLI para autenticação, busca de vagas, revisão de currículo, atualizações de currículo e candidaturas confirmadas.

Ela instala liepin-cli?

Não. O usuário deve instalar liepin-cli separadamente e disponibilizá-lo no PATH.

Ela pode se candidatar a vagas automaticamente?

Ela não deve se candidatar sem confirmação. A skill instrui o assistente a mostrar os detalhes e aguardar aprovação explícita.

Ela lida com dados sensíveis?

Sim. Ela pode usar um token do Liepin e acessar dados de currículo ou candidatura, portanto o tratamento de endpoint e token precisa de revisão.

Quais assistentes podem usá-la?

O relatório lista suporte para Claude, Codex e Claude Code.

Por que o risco de auditoria é alto?

O helper combina acesso à rede, tratamento de tokens, armazenamento local de credenciais e ações em conta real em uma skill da comunidade.