Навыки gh-cli
📦
gh-cli
Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе🔑 Переменные окружения
Управление GitHub из командной строки
Командам GitHub нужны быстрые подсказки по командам для репозиториев, issues, pull requests, Actions и релизов. Этот навык предоставляет сфокусированные примеры gh CLI и рабочие процессы для Claude, Codex и Claude Code.
Поддерживает: Claude Codex Code(CC)
Остановитесь и запросите подтверждение перед установкой.
Проверьте план и получите явное согласие пользователя перед изменением файлов.
Установить с помощью моего Агента
Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.
Запрос агента
Review the Skillstore skill "gh-cli" from https://skillstore.io/skills/github-gh-cli.md and its manifest at https://skillstore.io/api/skills/github-gh-cli/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.
Ресурсы для AI-агентов
Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.
Протестировать
Использование «gh-cli». Мне нужно найти pull requests, ожидающие моего ревью.
Ожидаемый результат:
- Предлагаемый поиск gh CLI для открытых pull requests, назначенных в вашу очередь ревью.
- Включает фильтры по репозиторию, состоянию, reviewer и полям вывода.
- Отмечает, какие команды только читают данные, а какие изменяют состояние ревью.
Использование «gh-cli». Помоги мне подготовить релиз GitHub из существующего тега.
Ожидаемый результат:
- Пошаговый план релиза с использованием команд gh release.
- Включает проверки существования тега, заметок к релизу, загрузки ассетов и финальной проверки.
- Выделяет шаг подтверждения перед публикацией релиза.
Использование «gh-cli». Мне нужно изучить неудачный запуск GitHub Actions.
Ожидаемый результат:
- Команды диагностики workflow для вывода списка запусков, просмотра jobs и чтения логов.
- Объясняет, как сузить результаты по ветке, событию, статусу и имени workflow.
Аудит безопасности
Высокий рискv7 • 09.07.2026 Открыть версионный отчет
The analyzer matched many Markdown command examples and code fences in SKILL.md; most are false positives for executable code, private key access, or reconnaissance. Confirmed risks are limited to privileged installation commands and GitHub token handling examples that could expose credentials if an agent runs them without explicit user approval. No prompt injection attempt or hidden exfiltration intent was found.
1
Просканировано файлов
2,188
Проанализировано строк
7
Пункты проверки
0
Ложные срабатывания проигнорированы
Подтверждённые проблемы безопасности (1)
Высокий
GitHub Token Exposure Guidance
The skill shows commands that print or export active GitHub tokens. In an AI-assisted session, this can expose credentials in chat transcripts, terminal logs, or child processes.
The cited lines directly instruct printing or exporting tokens with gh auth token. The risk is credential disclosure, even though the surrounding document is legitimate CLI reference material.
Пункты проверки возможностей (7)
Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.
Высокий
Shell command substitution
export GH_TOKEN=$(gh auth token)
This command substitution captures a live GitHub token from gh auth token into GH_TOKEN. In an AI session, that can expose credentials to logs or downstream commands.
Высокий
sudo privilege escalation
curl -fsSL https://cli.github.com/packages/githubcli-archive-keyring.gpg | sudo dd of=/usr/share/key
This pipes a network-fetched GitHub CLI keyring into sudo dd, modifying system trust material with root privileges. It is standard install guidance but dangerous if an agent runs it without explicit approval.
Высокий
sudo privilege escalation
echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/githubcli-archive-keyring
This writes an apt source list through sudo tee, changing package configuration with root privileges. It is legitimate install documentation but still a real privileged modification.
Высокий
sudo privilege escalation
sudo apt update
This runs sudo apt update, a root package manager operation. It is expected installation guidance but should require explicit user consent.
Высокий
sudo privilege escalation
sudo apt install gh
This runs sudo apt install gh, installing software with root privileges. This is user-directed setup guidance but still a real privileged action.
Высокий
Git platform tokens
export GH_TOKEN=ghp_xxxxxxxxxxxx
The example teaches exporting GH_TOKEN; replacing the placeholder with a real token can put credentials in shell history and the environment. It is not exfiltration, but it is sensitive token handling.
Высокий
Git platform tokens
export GH_TOKEN=$(gh auth token)
This exports the active GitHub token returned by gh auth token into an environment variable. That can expose credentials in logs or child processes.
Факторы риска
⚙️ Внешние команды (50)
SKILL.md:16-31 SKILL.md:31-35 SKILL.md:35-53 SKILL.md:53-57 SKILL.md:57-66 SKILL.md:66-70 SKILL.md:70-265 SKILL.md:265-271 SKILL.md:271-287 SKILL.md:287-291 SKILL.md:291-315 SKILL.md:315-321 SKILL.md:321-342 SKILL.md:342-346 SKILL.md:346-364 SKILL.md:364-368 SKILL.md:368-374 SKILL.md:374-378 SKILL.md:378-384 SKILL.md:384-388 SKILL.md:388-403 SKILL.md:403-407 SKILL.md:407-416 SKILL.md:416-420 SKILL.md:420-449 SKILL.md:449-455 SKILL.md:455-491 SKILL.md:491-495 SKILL.md:495-504 SKILL.md:504-508 SKILL.md:508-532 SKILL.md:532-536 SKILL.md:536-548 SKILL.md:548-552 SKILL.md:552-580 SKILL.md:580-584 SKILL.md:584-590 SKILL.md:590-594 SKILL.md:594-606 SKILL.md:606-610 SKILL.md:610-619 SKILL.md:619-623 SKILL.md:623-632 SKILL.md:632-636 SKILL.md:636-647 SKILL.md:647-651 SKILL.md:651-662 SKILL.md:662-666 SKILL.md:666-675 SKILL.md:675-681
🌐 Доступ к сети (10)
📁 Доступ к файловой системе (19)
🔑 Переменные окружения (2)
Аудитор:: codex Посмотреть историю аудитов →
Поделиться и цитировать этот отчет
Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.
Копировать ссылку на отчёт
https://skillstore.io/skills/github-gh-cli/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportЗначок Markdown
[](https://skillstore.io/skills/github-gh-cli?utm_source=security_passport_badge)Значок HTML
<a href="https://skillstore.io/skills/github-gh-cli?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/github-gh-cli/security.svg" alt="Skillstore security assessment" loading="lazy"></a>Встраиваемая карточка
<iframe src="https://skillstore.io/embed/skills/github-gh-cli.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>Академические ссылки (APA · BibTeX · CFF)
Цитата APA
github. (2026). gh-cli security audit report (audit version 7) [Author version unspecified]. Skillstore. https://skillstore.io/skills/github-gh-cli/audits/7Цитата BibTeX
@techreport{github-github-gh-cli-2026,
author = {github},
title = {gh-cli security audit report (audit version 7)},
institution = {Skillstore},
year = {2026},
number = {7},
url = {https://skillstore.io/skills/github-gh-cli/audits/7},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "gh-cli security audit report (audit version 7)"
version: "unspecified"
type: report
authors:
- name: "github"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/github-gh-cli/audits/7"
identifiers:
- type: other
value: "skillstore:github-gh-cli:audit:7"
description: "Skillstore immutable audit report identifier"
Оценка Skillstore
Почему такая оценка Достоверность доказательств: Средний 55
Архитектура
85
Сопровождаемость
87
Контент
69
Сообщество
70
Соответствие спецификации
Что вы можете построить
Обслуживание репозитория
Находите команды для создания репозиториев, обновления настроек, управления метками и просмотра метаданных репозитория.
Операции с pull request
Создавайте сценарии gh CLI для просмотра списка, ревью, слияния и проверки pull requests.
Автоматизация и релизы
Используйте Actions, релизы, API-вызовы и JSON-вывод для поддержки повторяемых рабочих процессов GitHub.
Попробуйте эти промпты
Найти команду для репозитория
Покажи команду gh CLI для просмотра сведений о репозитории owner/repo. Включи обязательные флаги и краткое объяснение.
Проверить pull requests
Помоги мне вывести открытые pull requests в owner/repo, которые требуют моего ревью. Используй gh CLI и включи полезные фильтры.
Автоматизировать релиз
Спроектируй рабочий процесс gh CLI для создания релиза из тега v1.2.3, прикрепления заметок к релизу и проверки результата.
Спланировать безопасные изменения GitHub
Спланируй безопасную последовательность gh CLI для обновления настроек репозитория, управления метками и проверки запусков workflow. Включи точки подтверждения перед разрушительными командами.
Лучшие практики
- Подтверждайте репозиторий, owner и ветку перед запуском команд, которые изменяют ресурсы GitHub.
- Используйте токены с ограниченной областью действия и избегайте вывода токенов в чатах, терминалах или логах.
- Запрашивайте dry runs или команды просмотра списка перед действиями удаления, закрытия, слияния, релиза или передачи.
Избегать
- Не запускайте разрушительные команды gh из сгенерированного вывода без проверки целевых ресурсов.
- Не вставляйте реальные токены GitHub в prompts и не коммитьте их в файлы.
- Не используйте привилегированные команды установки, если пользователь не одобрил системные изменения.
Часто задаваемые вопросы
Выполняет ли этот навык команды gh автоматически?
Нет. Он предоставляет подсказки по командам. Выполнение зависит от инструмента хоста, разрешений пользователя и явных подтверждений.
Какие области GitHub охватываются?
Он охватывает репозитории, issues, pull requests, Actions, проекты, релизы, gists, Codespaces, аутентификацию и доступ к API.
Может ли он помочь с GitHub Enterprise?
Да. Справочник включает параметры hostname для GitHub Enterprise, но пользователи должны указать собственные сведения о хосте.
Какой доступ требуется?
Команды требуют настроенной сессии gh CLI и разрешений GitHub для целевого ресурса.
Безопасно ли использовать его с токенами?
Будьте осторожны. Избегайте вывода токенов, используйте учетные данные с ограниченной областью действия и скрывайте секреты из prompts и логов.
Охватывает ли он API-вызовы?
Да. Он включает шаблоны gh api для REST- и GraphQL-запросов.