Этот отчет не переведен на запрошенный язык. Вместо него показан канонический отчет на английском языке.

Версионная оценка безопасности

ID отчёта: SA-C993C6AB

11/7/2026, 2:39:23 PM

pwa-development оценка безопасности v1

Отчёт о сертификации безопасности навыка

История аудитов
Версия сканера 3.0.0 Модель аудита: codex Последний опубликованный отчёт
Название навыка
pwa-development
Версия
v1
Сопровождающий
alinaqi
Источник
github.com/alinaqi/maggy/tree/55aabe2493627e1de9cd09459d555181d66f3111/skills/pwa-development
Охват
1 Просканировано файлов · 961 Проанализировано строк
Версия политики
skillstore-security-audit-policy-v1

Current license

Неизвестно

Наивысшая серьёзность подтверждённого результата

Средний

Подтверждённые проблемы безопасности (2) требуют внимания.

Контекст установки

Проверьте текущую страницу навыка

Эта страница содержит только сводку доказательств отчёта. Страница Навыка содержит каноническое уведомление об установке.

Открыть текущую страницу Навыка

Этот отчёт не блокирует и не разрешает манифест или ZIP.

All 92 static alerts are false positives for the reported threats, including Markdown backticks, fixed imports, routine requests, and misidentified identifiers. Two contextual risks remain: shared caches can retain private responses across sessions, and activation deletes unrelated caches on the same origin. No evidence found of prompt injection, credential theft, or malicious execution instructions.

Позиция отчета

Последний опубликованный отчёт

«Последний» относится к последовательности отчётов, а не к актуальности артефакта.

Аттестация аудита

Активная аттестация

Для этого точного отчёта доступна публичная аттестация.

Проверка человеком

Не проверено

Для этого отчета не зафиксирована проверка человеком.

Охват

1 Просканировано файлов · 961 Проанализировано строк

2 элементов показано для проверки

Ограничения

Этот отчёт не заявляет о выполнении во время работы или в песочнице и не доказывает отсутствие побочных эффектов.

Цепочка доказательств

Проследите доказательства от привязки источника до контракта установки. Доступные доказательства подтверждают возможность проверки; они не являются гарантией безопасности.

  1. Источник

    Коммит и путь привязаны

  2. Артефакт

    Хэши содержимого и дерева привязаны

  3. Аудит

    Завершено

  4. Контракт установки

    Открыть манифест для проверки

    Открыть манифест

Обнаруженные возможности

«Обнаружено» означает, что в этом отчете зафиксированы подтверждающие доказательства. «Не зафиксировано» не доказывает отсутствие возможности.

Содержит скрипты

Может выполнять код, включённый в Skill.

Обнаружено в 3 местах расположения доказательств

Доступ к сети

Может подключаться к внешним службам.

Обнаружено в 7 местах расположения доказательств

Доступ к файловой системе

Может читать или записывать локальные файлы.

Не зафиксировано этим аудитом

Переменные окружения

Может считывать значения из окружения процесса.

Обнаружено в 1 месте расположения доказательств

Внешние команды

Может вызывать команды или программы вне Навыка.

Обнаружено в 50 местах расположения доказательств

Результаты оценки рисков

Подтверждённые проблемы безопасности отделены от элементов, которые всё ещё требуют проверки.

Подтверждённые проблемы безопасности (2)

RISK-001 Средний
SKILL.md:285-299SKILL.md:424-447
Shared Response Caches Lack User Isolation
API and navigation examples store responses in shared caches without user partitioning or logout cleanup. Authenticated content can remain accessible after account changes or offline.
Both examples cache broad API or page responses without session isolation. Disclosure depends on deploying them with authenticated content, but no safeguards are shown.
RISK-002 Средний
SKILL.md:203-213
Activation Deletes Unrelated Origin Caches
Activation deletes every cache whose name differs from CACHE_NAME. Cache Storage is shared by origin, so this can destroy other applications' offline data.
The filter excludes only the current cache name before deleting all others. No application prefix or ownership restriction protects unrelated caches.

Меры по устранению

В ходе этого аудита были зафиксированы рекомендуемые исправления. Их применение является ответственностью сопровождающего.

  1. FIX-001
    Средний
    Generic API and navigation caching can retain authenticated responses across user sessions.
    Allowlist public cacheable responses, bypass private endpoints, and partition approved user caches by session with deletion on logout or account change.
  2. FIX-002
    Средний
    Activation deletes every origin cache except the current application cache.
    Use an application-specific cache prefix and delete only obsolete versions owned by that application.

Экспертные доказательства

Неизменяемая идентификация субъекта, метаданные сканера, отклонённые совпадения и доказательства на уровне источника.

Субъект артефакта

Коммит Marketplace
c993c6abcbffafea2683d7748b53b3dfaf438415
Хеш содержимого
16e56227d54b1ad94c4d4ee1582eef547bcd32bd10d12c9fd77496bbd9cb2f7d
Хеш дерева
5bc7066fed15eb90f2f732001bafbbff34d5bdcb42b86b1ada78b54cba9ea6e5
Путь Skill
skills/alinaqi/pwa-development
Хеш данных аудита
1d108a9bbb70c53b1aa1505d65c71ab9

Метаданные анализа

Модель аудита: codex

Состояние анализа: Завершено

Область действия ограничена зафиксированными файлами, строками, методами и доказательствами. Выполнение во время работы или в песочнице не заявляется.

Проверить и экспортировать

Отчёт JSON Подписанное подтверждение аудита CITATION.cff SARIF 2.1.0 Подписанный манифест установки Источник

Манифест и lockfile привязывают артефакты установки к криптографическим хешам. Это заявление о целостности не связано с оценкой безопасности.

Аттестация аудита: active