📦

javascript-sdk

Name: javascript-sdk
Author: inferen-sh

Ревизия содержимого r2 Высокий риск ⚙️ Внешние команды📁 Доступ к файловой системе🔑 Переменные окружения🌐 Доступ к сети⚡ Содержит скрипты

Создание приложений JavaScript SDK для inference.sh

Командам JavaScript нужны понятные шаблоны для выполнения AI-приложений, агентов, работы с файлами, потоковой передачи и безопасности фронтенда. Этот навык предоставляет практические рекомендации по SDK inference.sh для Node.js, TypeScript, React и серверных прокси.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Maintain this Skill? Claim it ⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "javascript-sdk" from https://skillstore.io/skills/inferen-sh-javascript-sdk.md and its manifest at https://skillstore.io/api/skills/inferen-sh-javascript-sdk/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/inferen-sh-javascript-sdk.md Подписанный manifest GET /api/skills/inferen-sh-javascript-sdk/manifest Подписанный lockfile GET /api/skills/inferen-sh-javascript-sdk/lockfile

Протестировать

Использование «javascript-sdk». Создай безопасную настройку Next.js для браузерных вызовов inference.sh.

Ожидаемый результат:

План backend-прокси с серверным хранением ключей, конфигурацией клиентского прокси, проверками аутентификации, ограничением частоты запросов и заметками по развертыванию.

Использование «javascript-sdk». Объясни, как передавать прогресс из длительной задачи генерации изображений.

Ожидаемый результат:

Пошаговый план интеграции, охватывающий параметры потоковой передачи, обработку прогресса, отображение логов, обработку частичных результатов и состояния завершения.

Использование «javascript-sdk». Проверь дизайн моего agent tool на готовность к production.

Ожидаемый результат:

Чеклист, охватывающий схемы инструментов, требования к подтверждению, область действия секретов, обработку ошибок, audit logs и безопасное fallback-поведение.

Аудит безопасности

Высокий риск

v5 • 06.08.2026 Открыть версионный отчет

Most static matches are documentation syntax or legitimate SDK examples, including template literals, file operations, and server-side environment configuration. Confirmed risks include direct eval of agent input, an unpinned external skill install, broad package execution permissions, agent-callable webhooks, and a browser-exposed API key example.

Просканировано файлов

3,961

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (1)

Высокий

SKILL.md:4

Broad Package Execution Permission

The skill permits unrestricted npm, npx, node, pnpm, and yarn commands. These patterns can execute arbitrary packages and lifecycle scripts with the agent process permissions.

The allowed-tools frontmatter explicitly grants wildcard package-manager and Node command access. Those commands can execute downloaded code without a command-specific allowlist.

Пункты проверки возможностей (7)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

references/server-proxy.md:395

Generic API/secret keys

: { apiKey: process.env.NEXT_PUBLIC_INFERENCE_API_KEY })

The example places an inference API key in NEXT_PUBLIC_INFERENCE_API_KEY for direct browser use. Next.js exposes NEXT_PUBLIC values to client bundles, disclosing the credential.

Высокий

references/tool-builder.md:240

Dynamic code evaluation with eval()

result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

Высокий

references/tool-builder.md:387

Dynamic code evaluation with eval()

const result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

Высокий

SKILL.md:7

Ruby/shell backtick execution

> **Install the belt CLI skill:** `npx skills add belt-sh/cli`

Line 7 instructs users to run an unpinned npx command that installs the external belt-sh/cli skill. This creates package and skill supply-chain exposure.

Средний

references/tool-builder.md:159

Slack webhook

const slack = webhookTool('notify_slack', 'https://hooks.slack.com/services/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

Средний

references/tool-builder.md:360

Slack webhook

const slack = webhookTool('notify', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

Средний

SKILL.md:301

Slack webhook

const notify = webhookTool('slack', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

Факторы риска

⚙️ Внешние команды (50)

📁 Доступ к файловой системе (16)

references/agent-patterns.md:153 references/agent-patterns.md:159 references/agent-patterns.md:166 references/agent-patterns.md:129 references/files.md:139 references/files.md:141 references/files.md:153 references/files.md:155 references/files.md:236 references/files.md:249 references/files.md:272 references/files.md:278 references/files.md:412 references/files.md:417 SKILL.md:352 SKILL.md:354

🔑 Переменные окружения (50)

🌐 Доступ к сети (26)

⚡ Содержит скрипты (4)

references/tool-builder.md:240 references/tool-builder.md:387 references/typescript.md:316 references/typescript.md:320

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg)](https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/inferen-sh-javascript-sdk.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

inferen-sh. (2026). javascript-sdk security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5

Цитата BibTeX

@techreport{inferen-sh-inferen-sh-javascript-sdk-2026,
  author = {inferen-sh},
  title = {javascript-sdk security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "javascript-sdk security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "inferen-sh"
date-released: "2026-08-06"
url: "https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5"
identifiers:
  - type: other
    value: "skillstore:inferen-sh-javascript-sdk:audit:5"
    description: "Skillstore immutable audit report identifier"

Сравнить варианты

2 устанавливаемых вариантов

Навык каждого автора остаётся отдельным устанавливаемым вариантом. Рекомендуемый вариант ранжируется по данным Skillstore.

Почему этот вариант первый

Больше использования в Skillstore

Автор / источник Оценка Skillstore Достоверность доказательств Использование в Skillstore Обновлено

inferen-sh Рекомендуется Текущий

inferen-sh-javascript-sdk

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 41

Обновлено

2026-09-09

inference-sh-9

inference-sh-9-javascript-sdk

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 13

Обновлено

2026-09-09

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Добавление AI-приложений в сервисы Node.js

Используйте SDK для запуска приложений inference.sh, управления статусом задач, потоковой передачи прогресса и обработки ошибок в серверном приложении.

Создание безопасных AI-функций в React

Настройте браузерные клиенты через backend-прокси, чтобы приложения React и Next.js могли вызывать inference.sh без раскрытия API-ключей.

Создание рабочих процессов агентов

Объединяйте template agents, пользовательские инструменты, файловые вложения, сессии и подтверждение человеком для контролируемых сценариев работы агентов.

Попробуйте эти промпты

Установить SDK

Помоги мне добавить @inferencesh/sdk в мой проект Node.js и инициализировать клиент с серверным API-ключом.

Запустить приложение

Покажи, как запустить приложение inference.sh из TypeScript, дождаться завершения и обработать успех или ошибку.

Добавить фронтенд-прокси

Спроектируй proxy route в Next.js для inference.sh, чтобы мой клиент React никогда не получал API-ключ.

Спроектировать рабочий процесс агента

Помоги мне создать рабочий процесс агента inference.sh с типизированными инструментами, файловыми вложениями, потоковыми ответами и шлюзами подтверждения человеком.

Лучшие практики

Храните API-ключи inference.sh на доверенных серверах или в менеджерах секретов, никогда не помещайте их в браузерные bundles.
Используйте типы TypeScript для статуса задач, аргументов инструментов и обработки ошибок, чтобы сократить ошибки интеграции.
Требуйте подтверждение и audit logging для инструментов, которые записывают файлы, вызывают webhooks или выполняют код.

Избегать

Не раскрывайте production API-ключи через переменные окружения NEXT_PUBLIC или клиентскую конфигурацию.
Не выполняйте model-generated аргументы инструментов с помощью eval() или другого неограниченного выполнения кода.
Не включайте широкие webhooks, доступ к файлам или выполнение кода без ограниченных разрешений и подтверждения пользователя.

Часто задаваемые вопросы

Какой пакет охватывает этот навык?

Он охватывает пакет @inferencesh/sdk для проектов JavaScript и TypeScript.

Можно ли использовать его с React или Next.js?

Да. Он включает шаблоны браузерного клиента и примеры серверного прокси для безопасной фронтенд-интеграции.

Поддерживает ли он потоковую передачу?

Да. Справочные материалы объясняют потоковую передачу прогресса задач, логи, частичные результаты и callbacks сообщений агента.

Работает ли он с файлами?

Да. Он документирует uploads, downloads, buffers, streams, браузерные объекты File и файловые вложения агентов.

Это полноценный шаблон приложения?

Нет. Это документационный навык с шаблонами реализации, которые вы адаптируете внутри собственного проекта.

Что следует проверить перед использованием в production?

Проверьте хранение API-ключей, аутентификацию прокси, ограничения частоты запросов, разрешения webhooks, доступ к файлам и потоки подтверждения инструментов.