Навыки Command Development
📦
Command Development
v0.2.0 Ревизия содержимого r1 Средний риск ⚙️ Внешние команды📁 Доступ к файловой системе🌐 Доступ к сети
Создание slash-команд Claude Code
Создание надежных slash-команд требует четкой структуры, безопасного выбора инструментов и полезных аргументов. Этот навык предоставляет шаблоны для файлов команд, frontmatter, ссылок, bash-контекста, плагинов и тестирования.
Поддерживает: Claude Codex Code(CC)
Остановитесь и запросите подтверждение перед установкой.
Проверьте план и получите явное согласие пользователя перед изменением файлов.
Установить с помощью моего Агента
Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.
Запрос агента
Review the Skillstore skill "Command Development" from https://skillstore.io/skills/command-development.md and its manifest at https://skillstore.io/api/skills/command-development/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.
Ресурсы для AI-агентов
Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.
Протестировать
Использование «Command Development». Create a command that reviews staged changes before commit.
Ожидаемый результат:
Навык предложит проектную команду с четким описанием, ограниченным доступом к git-инструментам, контекстом staged changes и критериями ревью.
Использование «Command Development». Document an existing deploy command for marketplace review.
Ожидаемый результат:
Навык опишет необходимые аргументы, разрешенные инструменты, проверки безопасности, ожидаемый вывод, заметки по устранению неполадок и пользовательскую документацию.
Использование «Command Development». Build a plugin command that calls a packaged analyzer.
Ожидаемый результат:
Навык порекомендует шаблон команды плагина, который ссылается на корень плагина, проверяет входные данные, запускает analyzer и сообщает результаты.
Аудит безопасности
Средний рискv9 • 19.07.2026 Открыть версионный отчет
Most static detections are Markdown formatting, expected Claude paths, test syntax, or documentation links. Multiple executable templates directly interpolate positional arguments into shell text, creating command-injection risk. Predictable temporary files and repeated Bash(*) grants add avoidable exposure, but no prompt injection or covert exfiltration intent was found. Static review was capped at 400/429 representative findings; omitted static matches are unconfirmed, so automatic publishing stays disabled until manual review.
11
Просканировано файлов
7,237
Проанализировано строк
41
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (1)
Средний
Overbroad Shell Permissions in Reusable Templates
Several reusable examples grant Bash(*) despite the skill recommending narrow permissions. Generated commands could therefore run shell operations beyond their stated workflow.
The unrestricted Bash grants are explicit and repeated in reusable command templates. The risk is partially mitigated by separate guidance favoring narrow permissions.
Пункты проверки возможностей (41)
Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.
Высокий
Ruby/shell backtick execution
!`node ${CLAUDE_PLUGIN_ROOT}/scripts/quality-check.js $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
!`bash ${CLAUDE_PLUGIN_ROOT}/scripts/security-scan.sh $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
!`bash ${CLAUDE_PLUGIN_ROOT}/scripts/perf-analyze.sh $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
!`bash ${CLAUDE_PLUGIN_ROOT}/scripts/best-practices.sh $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
!`bash ${CLAUDE_PLUGIN_ROOT}/scripts/pre-release-check.sh $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
!`bash ${CLAUDE_PLUGIN_ROOT}/scripts/build-release.sh $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
!`bash ${CLAUDE_PLUGIN_ROOT}/scripts/package.sh $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Run plugin analyzer: !`node ${CLAUDE_PLUGIN_ROOT}/scripts/analyze.js $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Validate environment argument: !`echo "$1" | grep -E "^(dev|staging|prod)$" && echo "VALID" || echo
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Verify configuration available: !`test -f ${CLAUDE_PLUGIN_ROOT}/config/$1.json && echo "FOUND" || ec
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
**Execute build:** !`bash ${CLAUDE_PLUGIN_ROOT}/scripts/build.sh $1 2>&1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
**Validation results:** !`bash ${CLAUDE_PLUGIN_ROOT}/scripts/validate-build.sh $1 2>&1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Determine check level: !`echo "$1" | grep -E "^prod$" && echo "FULL" || echo "BASIC"`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
!`node ${CLAUDE_PLUGIN_ROOT}/scripts/script-name.js $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Validate input: !`echo "$1" | grep -E "^pattern$" && echo "OK" || echo "ERROR"`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Validate: !`echo "$1" | grep -E "^(dev|staging|prod)$" || echo "INVALID"`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Test execution: !`npm test $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
!`gh pr view $1 --json title,body,author,files`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Files changed: !`gh pr diff $1 --name-only`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Test status: !`gh pr checks $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Deployment details: !`gh api /deployments/$1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Lint results: !`node ${CLAUDE_PLUGIN_ROOT}/bin/lint.js $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Step 1 - Prepare: !`bash ${CLAUDE_PLUGIN_ROOT}/scripts/prepare.sh $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Step 3 - Execute: !`${CLAUDE_PLUGIN_ROOT}/bin/execute $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Run: !`${CLAUDE_PLUGIN_ROOT}/bin/process.sh $1 $2`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Environment check: !`echo "Deploying to: $1"`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Stage changes: !\`git add $1\`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Commit changes: !\`git commit -m "$2"\`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
!`node ${CLAUDE_PLUGIN_ROOT}/scripts/lint.js $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Validate environment: !`echo "$1" | grep -E "^(dev|staging|prod)$" || echo "INVALID"`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Check file: !`test -f $1 && echo "EXISTS" || echo "MISSING"`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Validate inputs: !`test -n "$1" -a -n "$2" && echo "OK" || echo "MISSING"`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Try processing: !`node ${CLAUDE_PLUGIN_ROOT}/scripts/process.js $1 2>&1 || echo "ERROR: $?"`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Run tests: !`npm test $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
1. Fetch PR: !`gh pr view $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Высокий
Ruby/shell backtick execution
Run analysis: !`node ${CLAUDE_PLUGIN_ROOT}/scripts/analyze.js $1`
The executable inline command inserts a positional argument directly into shell text. Crafted input could alter token boundaries or quoting and execute additional shell syntax.
Средний
Temp directory access
echo "Test content" > /tmp/test-file.txt
The example writes to a predictable shared /tmp filename without exclusive creation. A preexisting symlink could redirect the write and clobber another file.
Средний
Temp directory access
echo "Second file" > /tmp/test-file-2.txt
The example writes to a predictable shared /tmp filename without exclusive creation. A preexisting symlink could redirect the write and clobber another file.
Средний
Temp directory access
dd if=/dev/zero of=/tmp/large-file.bin bs=1M count=100
The test writes 100 MB to a fixed path under /tmp using /dev/zero. This can follow a preexisting symlink, overwrite data, or consume unnecessary disk space.
Средний
Temp directory access
rm /tmp/test-file*.txt /tmp/large-file.bin
The cleanup uses a wildcard under a shared temporary directory. It can delete unrelated matching files created by another process or user.
Средний
Standard device file access
dd if=/dev/zero of=/tmp/large-file.bin bs=1M count=100
The test writes 100 MB to a fixed path under /tmp using /dev/zero. This can follow a preexisting symlink, overwrite data, or consume unnecessary disk space.
Факторы риска
⚙️ Внешние команды (50)
examples/plugin-commands.md:35-42 examples/plugin-commands.md:68-71 examples/plugin-commands.md:71-74 examples/plugin-commands.md:74-81 examples/plugin-commands.md:144-147 examples/plugin-commands.md:147-150 examples/plugin-commands.md:150-153 examples/plugin-commands.md:153-161 examples/plugin-commands.md:186-188 examples/plugin-commands.md:188-202 examples/plugin-commands.md:307-336 examples/plugin-commands.md:359-361 examples/plugin-commands.md:361-363 examples/plugin-commands.md:363-369 examples/plugin-commands.md:369-371 examples/plugin-commands.md:371-380 examples/plugin-commands.md:408-411 examples/plugin-commands.md:411-412 examples/plugin-commands.md:412-413 examples/plugin-commands.md:413-414 examples/plugin-commands.md:414-417 examples/plugin-commands.md:417-418 examples/plugin-commands.md:418-427 examples/plugin-commands.md:441-442 examples/plugin-commands.md:471-472 examples/plugin-commands.md:477-478 examples/plugin-commands.md:496-497 examples/plugin-commands.md:508-509 examples/plugin-commands.md:509-510 examples/plugin-commands.md:517-520 examples/plugin-commands.md:520-521 examples/plugin-commands.md:526-532 examples/plugin-commands.md:532-533 examples/plugin-commands.md:541-543 examples/simple-commands.md:100-109 examples/simple-commands.md:175-177 examples/simple-commands.md:177-179 examples/simple-commands.md:179-181 examples/simple-commands.md:181-187 examples/simple-commands.md:212-225 examples/simple-commands.md:431-433 examples/simple-commands.md:488-492 README.md:127-128 README.md:200-201 README.md:201-202 references/advanced-workflows.md:25-28 references/advanced-workflows.md:28-36 references/advanced-workflows.md:36-56 references/advanced-workflows.md:78-79 references/advanced-workflows.md:79-81
📁 Доступ к файловой системе (29)
examples/plugin-commands.md:548 README.md:133 README.md:133 references/advanced-workflows.md:483 references/documentation-patterns.md:129 references/documentation-patterns.md:379 references/marketplace-considerations.md:42 references/marketplace-considerations.md:55 references/marketplace-considerations.md:57 references/marketplace-considerations.md:59 references/marketplace-considerations.md:88 references/marketplace-considerations.md:143 references/marketplace-considerations.md:147 references/marketplace-considerations.md:704 references/testing-strategies.md:481 references/testing-strategies.md:152 references/testing-strategies.md:152 references/testing-strategies.md:238 references/testing-strategies.md:495 references/testing-strategies.md:222 references/testing-strategies.md:223 references/testing-strategies.md:226 references/testing-strategies.md:230 references/testing-strategies.md:234 references/testing-strategies.md:238 references/testing-strategies.md:239 references/testing-strategies.md:243 SKILL.md:63 SKILL.md:63
🌐 Доступ к сети (8)
references/documentation-patterns.md:684 references/documentation-patterns.md:685 references/marketplace-considerations.md:97 references/marketplace-considerations.md:98 references/marketplace-considerations.md:99 references/marketplace-considerations.md:636 references/marketplace-considerations.md:638 references/marketplace-considerations.md:872
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет
Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.
Копировать ссылку на отчёт
https://skillstore.io/skills/command-development/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportЗначок Markdown
[](https://skillstore.io/skills/command-development?utm_source=security_passport_badge)Значок HTML
<a href="https://skillstore.io/skills/command-development?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/command-development/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Встраиваемая карточка
<iframe src="https://skillstore.io/embed/skills/command-development.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Академические ссылки (APA · BibTeX · CFF)
Цитата APA
anthropics. (2026). Command Development security audit report (audit version 9) [Author version 0.2.0]. Skillstore. https://skillstore.io/skills/command-development/audits/9Цитата BibTeX
@techreport{anthropics-command-development-2026,
author = {anthropics},
title = {Command Development security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/command-development/audits/9},
note = {Author version 0.2.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "Command Development security audit report (audit version 9)"
version: "0.2.0"
type: report
authors:
- name: "anthropics"
date-released: "2026-07-19"
url: "https://skillstore.io/skills/command-development/audits/9"
identifiers:
- type: other
value: "skillstore:command-development:audit:9"
description: "Skillstore immutable audit report identifier"
Сравнить варианты
3 устанавливаемых вариантовНавык каждого автора остаётся отдельным устанавливаемым вариантом. Рекомендуемый вариант ранжируется по данным Skillstore.
Почему этот вариант первый
Самая высокая оценка Skillstore
Автор / источник Оценка Skillstore Достоверность доказательств Использование в Skillstore Обновлено
anthropics Рекомендуется
anthropics-command-development
Оценка Skillstore 76
Достоверность доказательств Средний
Использование в Skillstore 7
Обновлено
2026-09-09
anthropics Текущий
command-development
Оценка Skillstore 50
Достоверность доказательств Высокий
Использование в Skillstore 16
Обновлено
2026-09-09
davila7-command-development
Оценка Skillstore 50
Достоверность доказательств Средний
Использование в Skillstore 8
Обновлено
2026-09-09
Оценка Skillstore
Почему такая оценка Достоверность доказательств: Высокий 59
Архитектура
100
Сопровождаемость
87
Контент
82
Сообщество
65
Соответствие спецификации
Что вы можете построить
Создание команд для командного ревью
Создавайте переиспользуемые команды ревью, которые стандартизируют проверки качества кода, тестирования и документации в репозитории.
Упаковка команд плагина
Проектируйте команды плагинов, которые ссылаются на встроенные скрипты, шаблоны, конфигурационные файлы, агентов и навыки.
Улучшение документации команд
Документируйте аргументы, доступ к инструментам, примеры, ожидаемый вывод и шаги устранения неполадок для существующих slash-команд.
Попробуйте эти промпты
Создать базовую команду
Create a simple Claude Code slash command for [task]. Include the recommended file location, short description, command body, and usage example.
Добавить аргументы и инструменты
Design a slash command for [workflow] that accepts [arguments]. Recommend safe allowed-tools settings and explain how each argument is used.
Создать команду плагина
Create a plugin slash command for [plugin feature]. Reference bundled templates or scripts, define expected inputs, and include validation guidance.
Спроектировать интерактивный рабочий процесс
Design an interactive Claude Code command for [multi-step workflow]. Include questions for missing information, confirmation points, error handling, and testing guidance.
Лучшие практики
- Используйте максимально узкую настройку allowed-tools, которая поддерживает рабочий процесс команды.
- Документируйте аргументы, ожидаемые входные данные и поведение при сбоях перед добавлением сложной логики.
- Перед распространением тестируйте команды с отсутствующими аргументами, некорректными файлами и ограничениями разрешений.
Избегать
- Не используйте неограниченный доступ к shell, когда достаточно более узкого фильтра команд.
- Не подставляйте пользовательские аргументы в shell-команды без проверки.
- Не создавайте команды, которые скрывают разрушительные действия за расплывчатыми описаниями.
Часто задаваемые вопросы
Что этот навык помогает мне создавать?
Он помогает проектировать slash-команды Claude Code, включая структуру, frontmatter, аргументы, ссылки на файлы и шаблоны плагинов.
Может ли он создавать команды и для проектов, и для плагинов?
Да. Он охватывает проектные команды, личные команды и команды плагинов со встроенными ресурсами.
Поддерживает ли он интерактивные команды?
Да. Он включает рекомендации для команд, которые задают вопросы, подтверждают решения и обрабатывают отсутствующую информацию.
Запускает ли он shell-команды самостоятельно?
Нет. Он документирует шаблоны команд. Любая сгенерированная команда, использующая shell-инструменты, все равно зависит от разрешений Claude Code.
Как безопасно использовать bash-примеры?
Предпочитайте ограниченные фильтры инструментов, проверяйте аргументы, экранируйте shell-ввод там, где это необходимо, и избегайте разрушительных команд.
Может ли это помочь подготовить команду к публикации?
Да. Он включает вопросы документации, тестирования и marketplace для авторов команд.
Сведения для разработчиков
Автор
anthropicsЛицензия
MIT
Версия автора
v0.2.0
Ревизия Skillstore
r1
Репозиторий
https://github.com/anthropics/claude-code/tree/main/plugins/plugin-dev/skills/command-developmentСсылка
1b5b6c4962b2ad5a7a34603cab2685bbbd1b61ef
Актуальность поддержки
18.07.2026
Использование
14 загрузок · 1056 просмотров