Навыки vercel-cli-with-tokens

📦

vercel-cli-with-tokens

Name: vercel-cli-with-tokens
Author: vercel-labs

v1.0.0 Ревизия содержимого r2 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе

Развертывание проектов Vercel с помощью токенов

Интерактивный вход в Vercel может блокировать автоматизированные рабочие процессы агентов. Этот навык дает Claude, Codex и Claude Code структурированный путь на основе токенов для развертываний, связывания, переменных окружения, доменов и устранения неполадок.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Maintain this Skill? Claim it ⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "vercel-cli-with-tokens" from https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens.md and its manifest at https://skillstore.io/api/skills/vercel-labs-vercel-cli-with-tokens/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/vercel-labs-vercel-cli-with-tokens.md Подписанный manifest GET /api/skills/vercel-labs-vercel-cli-with-tokens/manifest Подписанный lockfile GET /api/skills/vercel-labs-vercel-cli-with-tokens/lockfile

Протестировать

Использование «vercel-cli-with-tokens». Разверни это приложение в Vercel preview, используя токен из моего окружения.

Ожидаемый результат:

Агент проверяет наличие аутентификации и project scope, выполняет preview-развертывание и возвращает URL развертывания с отредактированными значениями токенов.

Использование «vercel-cli-with-tokens». Свяжи этот репозиторий с проектом Vercel для моей команды.

Ожидаемый результат:

Агент проверяет информацию git remote, выбирает team scope, связывает проект и сообщает полученные локальные метаданные Vercel без раскрытия секретов.

Использование «vercel-cli-with-tokens». Добавь DATABASE_URL в production на Vercel.

Ожидаемый результат:

Агент подтверждает целевой проект и окружение, передает значение через Vercel CLI и кратко описывает выполненное изменение.

Аудит безопасности

Высокий риск

v6 • 09.11.2026 Открыть версионный отчет

Most alerts identify Markdown formatting, local parsing, official Vercel links, or authorized CLI operations rather than malicious execution or reconnaissance. Credential lookup commands expose token values in captured output, while deployment guidance omits important commit, production-branch, and destructive-action safeguards. No evidence found of prompt injection or deliberate external credential exfiltration.

Просканировано файлов

354

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (7)

Высокий

SKILL.md:28

Environment file access

grep '^VERCEL_TOKEN=' .env 2>/dev/null

The grep command prints the complete VERCEL_TOKEN assignment, exposing the access token to captured command output and assistant transcripts.

Высокий

SKILL.md:42

Environment file access

grep -i 'vercel' .env 2>/dev/null

Broad grep prints every matching environment assignment, including Vercel credentials, into captured output instead of silently selecting the authentication variable.

Высокий

SKILL.md:78

Environment file access

grep -i 'vercel' .env 2>/dev/null

Although this step seeks project identifiers, its broad grep also prints token assignments, unnecessarily disclosing credentials in tool output.

Высокий

SKILL.md:318

Environment file access

grep -i vercel .env 2>/dev/null

The troubleshooting command prints matching environment values, including access tokens, into captured output without redaction.

Средний

SKILL.md:182-188

Deployment Commits the Entire Working Directory

The Git deployment recipe runs git add . before committing and pushing. Unreviewed changes or unignored secrets can enter the approved deployment commit.

The recipe explicitly stages all current-directory changes without reviewing the diff or selecting paths. Push approval does not establish approval for every staged file.

Средний

SKILL.md:108 SKILL.md:178-195 SKILL.md:303-304

Git Deployment Omits Production Branch Verification

The preferred Git flow pushes without checking the destination branch. A production-branch push can deploy production without the separate approval required elsewhere.

The document acknowledges branch-dependent deployments but supplies no branch check before git push. General push consent does not necessarily authorize production.

Средний

SKILL.md:247-248 SKILL.md:308

Blanket Prompt Bypass Lacks Destructive Action Approval

The working agreement recommends -y for confirmation prompts, and the environment-variable removal example uses it. Destructive removal has no explicit user-approval requirement.

Both instructions explicitly bypass confirmation, while approval requirements only cover Git pushes, production deployment, and paid or destructive plan changes.

Факторы риска

⚙️ Внешние команды (50)

🌐 Доступ к сети (4)

SKILL.md:81 SKILL.md:84 SKILL.md:85 SKILL.md:297

📁 Доступ к файловой системе (6)

SKILL.md:28 SKILL.md:42 SKILL.md:78 SKILL.md:144 SKILL.md:147 SKILL.md:318

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens/audits/6?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/vercel-labs-vercel-cli-with-tokens/security.svg)](https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/vercel-labs-vercel-cli-with-tokens/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/vercel-labs-vercel-cli-with-tokens.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

vercel-labs. (2026). vercel-cli-with-tokens security audit report (audit version 6) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens/audits/6

Цитата BibTeX

@techreport{vercel-labs-vercel-labs-vercel-cli-with-tokens-2026,
  author = {vercel-labs},
  title = {vercel-cli-with-tokens security audit report (audit version 6)},
  institution = {Skillstore},
  year = {2026},
  number = {6},
  url = {https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens/audits/6},
  note = {Author version 1.0.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "vercel-cli-with-tokens security audit report (audit version 6)"
version: "1.0.0"
type: report
authors:
  - name: "vercel-labs"
date-released: "2026-11-09"
url: "https://skillstore.io/skills/vercel-labs-vercel-cli-with-tokens/audits/6"
identifiers:
  - type: other
    value: "skillstore:vercel-labs-vercel-cli-with-tokens:audit:6"
    description: "Skillstore immutable audit report identifier"

Что вы можете построить

Предварительное развертывание из локального кода

Разверните локальный проект в Vercel preview без входа через браузер.

Настройка командного проекта

Свяжите репозиторий с правильной командой и проектом Vercel с помощью scoped CLI commands.

Обслуживание переменных окружения

Просматривайте, добавляйте, извлекайте или удаляйте переменные окружения Vercel через управляемый рабочий процесс CLI.

Попробуйте эти промпты

Развернуть preview

Используй рабочий процесс Vercel token, чтобы развернуть этот проект как preview. Редактируй любые значения токенов, которые читаешь или выводишь.

Связать командный проект

Настрой этот репозиторий для развертывания через Vercel CLI в правильном team scope. Спрашивай перед любой командой, которая изменяет удаленное состояние.

Обновить переменные окружения

Добавь или обнови переменные окружения Vercel, которые я предоставлю, для preview и production. Подтверди целевой проект перед применением изменений.

Устранить сбой развертывания

Исследуй этот сбой развертывания Vercel с помощью CLI-команд на основе токенов. Проверь аутентификацию, team scope, логи и конфигурацию проекта.

Лучшие практики

Редактируйте значения токенов и переменных окружения в выводе команд перед отправкой результатов.
Используйте preview-развертывания по умолчанию и требуйте явного одобрения перед production-изменениями.
Подтверждайте team scope, идентичность проекта и состояние репозитория перед связыванием или развертыванием.

Избегать

Не передавайте токены Vercel как command-line flags и не включайте их в shell history.
Не отправляйте git commits, не изменяйте домены и не выполняйте развертывание в production без явного одобрения пользователя.
Не запускайте широкие дампы окружения, когда достаточно более узкой проверки токена.

Часто задаваемые вопросы

Требует ли этот навык интерактивного входа в Vercel?

Нет. Он предназначен для аутентификации на основе токенов через VERCEL_TOKEN и связанные переменные проекта.

Может ли он развертывать в production?

Да, но рабочий процесс указывает, что production-развертывания должны выполняться только после явного запроса пользователя.

Будет ли он читать локальные файлы .env?

Да. Он может проверять файлы .env, чтобы найти токены Vercel и идентификаторы проекта, поэтому вывод следует редактировать.

Может ли он управлять переменными окружения Vercel?

Да. Он включает рабочие процессы для просмотра, добавления, извлечения и удаления переменных окружения Vercel.

Поддерживает ли он проекты с team scope?

Да. Он объясняет, как использовать team slugs, VERCEL_ORG_ID и VERCEL_PROJECT_ID для scoped operations.

Какова основная проблема безопасности?

Главная проблема — раскрытие секретов во время обнаружения токенов. Агентам следует избегать вывода или сохранения значений токенов.

Сведения для разработчиков

Автор

vercel-labs

Лицензия

Неизвестно

Версия автора

v1.0.0

Ревизия Skillstore

Примечание о версии

Устанавливаемое содержимое изменилось, но автор не обновил заявленную версию.

Репозиторий

https://github.com/vercel-labs/agent-skills/tree/1a2c79d4e6c4a2283dc2c614b6538cbe1ed5ca62/skills/vercel-cli-with-tokens

Ссылка

1f79e59ae427a74eab604c013e03b61f04634721

Актуальность поддержки

10.11.2026

Использование

12 загрузок · 200 просмотров

Структура файлов

📄 SKILL.md