Навыки deploy-to-vercel

📦

deploy-to-vercel

Name: deploy-to-vercel
Author: vercel-labs

v3.0.0 Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе

Развертывание веб-приложений на Vercel

Ручная настройка развертывания может замедлять выпуск и усложнять рабочие процессы предварительного просмотра. Этот навык проводит Claude, Codex и Claude Code через развертывание с помощью Vercel CLI, связывание проектов и резервные сценарии для sandbox-сред.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "deploy-to-vercel" from https://skillstore.io/skills/vercel-labs-deploy-to-vercel.md and its manifest at https://skillstore.io/api/skills/vercel-labs-deploy-to-vercel/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/vercel-labs-deploy-to-vercel.md Подписанный manifest GET /api/skills/vercel-labs-deploy-to-vercel/manifest Подписанный lockfile GET /api/skills/vercel-labs-deploy-to-vercel/lockfile

Протестировать

Использование «deploy-to-vercel». Разверни мое приложение и дай мне ссылку.

Ожидаемый результат:

Проект связан с Vercel, и preview-развертывание запущено. Preview URL: https://example-preview.vercel.app

Использование «deploy-to-vercel». Я не могу войти из этой sandbox-среды. Ты все еще можешь развернуть preview?

Ожидаемый результат:

Резервное развертывание завершено. Ваш preview URL готов, а claim URL может перенести развертывание в ваш аккаунт Vercel.

Использование «deploy-to-vercel». Разверни это в production.

Ожидаемый результат:

Сначала я проверю связанный проект Vercel, выбранную команду и статус git перед запуском production-развертывания.

Аудит безопасности

Высокий риск

v5 • 07.07.2026 Открыть версионный отчет

Most markdown backtick and shell-substitution alerts are formatting or quoted helper commands. Real risks remain in the fallback scripts because they upload project archives to fixed external deployment endpoints and poll returned URLs. No prompt injection text was found, but Archive.zip is an unnecessary binary review blind spot.

Просканировано файлов

901

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (3)

Высокий

SKILL.md:162-221 resources/deploy.sh:237-240 resources/deploy-codex.sh:237-240

Project Archive Upload to External Deployment Service

The fallback flow packages project files and posts the tarball to fixed deployment endpoints, then returns public preview and claim URLs. This can disclose source or unpublished content if run without clear consent.

The prose instructs fallback deployment and both scripts post the generated tarball to external endpoints. The data flow and public deployment outcome are explicit.

Средний

SKILL.md:59-70

Broad Git Commit and Push Workflow

The git deployment path instructs agents to add all files, commit, and push after one approval. Without a diff or secret review, unrelated files or credentials could be published.

The documented flow explicitly uses broad git add, commit, and push commands. The risk depends on local project contents, but the workflow is clear.

Средний

resources/deploy.sh:249-266 resources/deploy-codex.sh:249-266

Unvalidated Returned URL Polling

The scripts parse previewUrl from the deployment response and curl it without checking the host. A compromised or unexpected response could drive outbound requests to unintended destinations.

The URL is derived from an external response and then used in curl. The script discards the body, so impact is limited but real.

Пункты проверки возможностей (6)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

resources/deploy-codex.sh:239

Shell command substitution

RESPONSE=$(curl -s -X POST "$DEPLOY_ENDPOINT" -F "file=@$TARBALL" -F "framework=$FRAMEWORK")

This curl posts the generated project tarball to a fixed external deployment endpoint. That is intended deployment behavior, but it exposes source files and requires explicit user consent.

Высокий

resources/deploy-codex.sh:9

Hardcoded URL

DEPLOY_ENDPOINT="https://codex-deploy-skills.vercel.sh/api/deploy"

The hardcoded endpoint is later used to receive a project tarball through curl. Even if intended, this creates an external source-upload risk that requires explicit consent.

Высокий

resources/deploy.sh:239

Shell command substitution

RESPONSE=$(curl -s -X POST "$DEPLOY_ENDPOINT" -F "file=@$TARBALL" -F "framework=$FRAMEWORK")

This curl posts the generated project tarball to a fixed external deployment endpoint. That is intended deployment behavior, but it exposes source files and requires explicit user consent.

Высокий

resources/deploy.sh:9

Hardcoded URL

DEPLOY_ENDPOINT="https://claude-skills-deploy.vercel.com/api/deploy"

The hardcoded endpoint is later used to receive a project tarball through curl. Even if intended, this creates an external source-upload risk that requires explicit consent.

Средний

resources/deploy-codex.sh:266

Shell command substitution

HTTP_STATUS=$(curl -s -o /dev/null -w "%{http_code}" "$PREVIEW_URL")

The script curls PREVIEW_URL parsed from a remote response without domain validation. A compromised endpoint could cause outbound requests to unexpected hosts.

Средний

resources/deploy.sh:266

Shell command substitution

HTTP_STATUS=$(curl -s -o /dev/null -w "%{http_code}" "$PREVIEW_URL")

The script curls PREVIEW_URL parsed from a remote response without domain validation. A compromised endpoint could cause outbound requests to unexpected hosts.

Факторы риска

⚙️ Внешние команды (107)

🌐 Доступ к сети (5)

resources/deploy-codex.sh:9 resources/deploy.sh:9 SKILL.md:259 SKILL.md:260 SKILL.md:279

📁 Доступ к файловой системе (10)

resources/deploy-codex.sh:266 resources/deploy-codex.sh:168 resources/deploy.sh:266 resources/deploy.sh:168 SKILL.md:235 SKILL.md:235 SKILL.md:21 SKILL.md:24 SKILL.md:27 SKILL.md:30

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/vercel-labs-deploy-to-vercel/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/vercel-labs-deploy-to-vercel/security.svg)](https://skillstore.io/skills/vercel-labs-deploy-to-vercel?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/vercel-labs-deploy-to-vercel?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/vercel-labs-deploy-to-vercel/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/vercel-labs-deploy-to-vercel.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

vercel-labs. (2026). deploy-to-vercel security audit report (audit version 5) [Author version 3.0.0]. Skillstore. https://skillstore.io/skills/vercel-labs-deploy-to-vercel/audits/5

Цитата BibTeX

@techreport{vercel-labs-vercel-labs-deploy-to-vercel-2026,
  author = {vercel-labs},
  title = {deploy-to-vercel security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/vercel-labs-deploy-to-vercel/audits/5},
  note = {Author version 3.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "deploy-to-vercel security audit report (audit version 5)"
version: "3.0.0"
type: report
authors:
  - name: "vercel-labs"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/vercel-labs-deploy-to-vercel/audits/5"
identifiers:
  - type: other
    value: "skillstore:vercel-labs-deploy-to-vercel:audit:5"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Высокий

Архитектура

100

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Предварительный просмотр feature branch

Создать preview-развертывание Vercel из связанного проекта и вернуть preview URL для проверки.

Развертывание статического прототипа

Упаковать локальный статический сайт и создать claimable preview Vercel, когда аутентификация CLI недоступна.

Настройка развертывания проекта

Связать существующий репозиторий с Vercel, выбрать правильную команду и настроить развертывание на основе git.

Попробуйте эти промпты

Развернуть текущий проект

Разверни этот проект на Vercel как preview deployment и дай мне deployment URL.

Развернуть конкретную директорию

Разверни приложение в ./web на Vercel как preview. Используй мой существующий проект Vercel, если он связан.

Связать перед развертыванием

Проверь, связан ли этот репозиторий с Vercel. Если он не связан, помоги мне связать его с правильной командой и развернуть preview.

Production-развертывание с проверками

Разверни этот проект в Vercel production после проверки связанного проекта, области команды и статуса git вместе со мной.

Лучшие практики

Проверяйте git status перед одобрением любого commit, push или production-развертывания.
Храните секреты в переменных окружения Vercel, а не в локальных файлах внутри директории развертывания.
Используйте preview-развертывания по умолчанию и запрашивайте production-развертывание только после готовности.

Избегать

Не развертывайте родительскую директорию, содержащую несвязанные проекты или приватные файлы.
Не используйте резервную загрузку архива для репозиториев, содержащих непроверенные секреты.
Не просите агента отправлять изменения до проверки файлов, включенных в commit.