📦

xget

Name: xget
Author: xixu-me

Ревизия содержимого r1 Высокий риск ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе🔑 Переменные окружения

Ускорьте загрузки с Xget

Разработчикам часто нужен более быстрый доступ к вышестоящим ресурсам пакетов, контейнеров и API. Этот навык помогает преобразовывать URL и применять конфигурацию Xget в распространенных инструментах.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Maintain this Skill? Claim it ⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "xget" from https://skillstore.io/skills/xixu-me-xget.md and its manifest at https://skillstore.io/api/skills/xixu-me-xget/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/xixu-me-xget.md Подписанный manifest GET /api/skills/xixu-me-xget/manifest Подписанный lockfile GET /api/skills/xixu-me-xget/lockfile

Протестировать

Использование «xget». Преобразуй URL репозитория GitHub, используя мой базовый URL Xget.

Ожидаемый результат:

Переписанный URL Xget, совпавший префикс платформы и короткое примечание, если вышестоящий URL не поддерживается.

Использование «xget». Покажи рекомендации по Docker Compose для моего развертывания Xget.

Ожидаемый результат:

Целевой раздел настройки, где публичный демо-хост заменен на запрошенный хост Xget.

Использование «xget». Настрой мой проект на использование Xget для установок npm.

Ожидаемый результат:

Краткое резюме изменений, затронутый конфигурационный файл и команда проверки или результат проверки.

Аудит безопасности

Высокий риск

v5 • 08.07.2026 Открыть версионный отчет

Most script command-execution alerts are false positives from JavaScript template literals, and most placeholder URL alerts are benign documentation. Real risks remain because the skill fetches live remote guidance, encourages execution-first behavior, writes persistent shell profiles, and targets credential-bearing config files. Publication should require confirmation gates and stronger source-trust controls.

Просканировано файлов

1,232

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (5)

Высокий

references/REFERENCE.md:117

Environment file access

- `.env`, SDK initialization code, shell profile files

The skill lists .env, SDK initialization code, and shell profile files as targets for project changes. These files can contain secrets or sensitive runtime configuration.

Высокий

references/REFERENCE.md:114

NPM config file (may contain tokens)

- `.npmrc`, `pip.conf`, `NuGet.Config`, `.cargo/config.toml`, `.condarc`

The skill lists .npmrc and similar package manager config files as targets for edits. These files often contain registry tokens, so execution-first edits create credential exposure and corruption risk.

Высокий

SKILL.md:78

Environment file access

example, pair a package-manager section with container, deployment, or `.env`

The skill recommends pairing package-manager work with .env guidance when needed. Because .env files often contain secrets, this target deserves review safeguards.

Высокий

SKILL.md:55-67 scripts/xget.mjs:6-8 scripts/xget.mjs:926-970

Remote Live Guidance Can Drive Local Changes

The skill tells agents to fetch live README guidance and adapt it to the user project. The helper downloads platform and README data from raw.gitcode.com, so changed or compromised upstream content can influence local edits.

The cited instructions require live README lookup before applying changes, and the helper contains default remote URLs used by topics and snippet. This is a clear remote-content trust boundary.

Высокий

SKILL.md:13-18 SKILL.md:51-67 references/REFERENCE.md:33-57 references/REFERENCE.md:108-122

Execution-First Workflow Encourages Persistent Changes

The skill instructs agents to run commands, edit real files, and apply changes end to end. The reference guide includes persistent shell profile setup, which can modify future user sessions.

Multiple cited sections explicitly prefer execution over examples and include commands that persist environment variables in shell profile files. The risk is behavioral and not fully captured by single-line pattern matches.

Пункты проверки возможностей (16)

Это реальные локальные возможности, которые могут ожидаться для этого навыка, поэтому они требуют проверки, но не считаются подтверждённым вредоносным поведением.

Высокий

references/REFERENCE.md:45

Hidden file in home directory

echo 'export XGET_BASE_URL="https://xget.example.com"' >> ~/.bashrc

The referenced command appends XGET_BASE_URL to ~/.bashrc, a hidden shell startup file. Persistent profile edits can alter future shell behavior and should require explicit confirmation.

Высокий

references/REFERENCE.md:51

Hidden file in home directory

echo 'export XGET_BASE_URL="https://xget.example.com"' >> ~/.zshrc

The referenced command appends XGET_BASE_URL to ~/.zshrc, a hidden shell startup file. Persistent profile edits can alter future shell behavior and should require explicit confirmation.

Высокий

references/REFERENCE.md:45

Hidden file access

echo 'export XGET_BASE_URL="https://xget.example.com"' >> ~/.bashrc

The command writes directly to ~/.bashrc as part of persistent setup. This is legitimate configuration, but it is a real filesystem modification with persistence risk.

Высокий

references/REFERENCE.md:51

Hidden file access

echo 'export XGET_BASE_URL="https://xget.example.com"' >> ~/.zshrc

The command writes directly to ~/.zshrc as part of persistent setup. This is legitimate configuration, but it is a real filesystem modification with persistence risk.

Средний

SKILL.md:30

Ruby/shell backtick execution

Prefer [`scripts/xget.mjs`](./scripts/xget.mjs) over manual guessing for live

The skill tells agents to prefer the included Node helper script for live platform data. Running that helper is expected, but it invokes local code that performs network fetches.

Средний

SKILL.md:31

Ruby/shell backtick execution

platform data, URL conversion, and README `Use Cases` lookup.

This line continues the instruction to use the helper for live platform data and README lookup. The risk is indirect execution of a local script that retrieves remote content.

Средний

SKILL.md:57

Ruby/shell backtick execution

- list candidate headings with `node scripts/xget.mjs topics --format json`

The skill explicitly instructs agents to run node scripts/xget.mjs topics. This is a real external command path, even though it is part of the intended workflow.

Средний

SKILL.md:59

Ruby/shell backtick execution

`node scripts/xget.mjs snippet --base-url https://xget.example.com --heading "Docker Compose Configu

The skill explicitly instructs agents to run node scripts/xget.mjs snippet. The helper fetches remote README content and rewrites it for the selected base URL.

Средний

SKILL.md:75

Ruby/shell backtick execution

`node scripts/xget.mjs platforms --format json` when the answer depends on

The skill explicitly instructs agents to run node scripts/xget.mjs platforms. The command fetches live remote platform data, so the external command risk is real.

Средний

SKILL.md:76

Ruby/shell backtick execution

current prefixes, and use `convert` for exact URL rewrites.

This line continues the instruction to use helper commands for current prefixes and URL conversion. It is legitimate tooling but still directs command execution.

Низкий

scripts/xget.mjs:7

Hardcoded URL

'https://raw.gitcode.com/xixu-me/xget/raw/main/src/config/platform-catalog.js';

The script hardcodes the remote GitCode URL used to fetch the live Xget platform catalog. This is intentional network behavior and creates a source-trust dependency.

Низкий

scripts/xget.mjs:8

Hardcoded URL

const DEFAULT_README_URL = 'https://raw.gitcode.com/xixu-me/xget/raw/main/README.md';

The script hardcodes the remote GitCode README URL used by topics and snippet commands. This is intentional network behavior and creates a source-trust dependency.

Низкий

scripts/xget.mjs:888

Environment variable access (dot notation)

resolveBaseUrl(getStringOption(options, 'base-url'), process.env.XGET_BASE_URL) ??

The convert command reads process.env.XGET_BASE_URL as a configuration fallback. The variable is a service URL rather than a secret, but it is real environment access.

Низкий

scripts/xget.mjs:958

Environment variable access (dot notation)

resolveBaseUrl(getStringOption(options, 'base-url'), process.env.XGET_BASE_URL) ??

The snippet command reads process.env.XGET_BASE_URL as a configuration fallback. The variable is a service URL rather than a secret, but it is real environment access.

Низкий

scripts/xget.mjs:888

Environment variable object

resolveBaseUrl(getStringOption(options, 'base-url'), process.env.XGET_BASE_URL) ??

The code accesses the process.env object to resolve XGET_BASE_URL for URL conversion. This is expected configuration access, but it is still environment-variable use.

Низкий

scripts/xget.mjs:958

Environment variable object

resolveBaseUrl(getStringOption(options, 'base-url'), process.env.XGET_BASE_URL) ??

The code accesses the process.env object to resolve XGET_BASE_URL for README snippet rewriting. This is expected configuration access, but it is still environment-variable use.

Факторы риска

⚙️ Внешние команды (53)

references/REFERENCE.md:15 references/REFERENCE.md:17 references/REFERENCE.md:35 references/REFERENCE.md:37 scripts/xget.mjs:15 scripts/xget.mjs:16 scripts/xget.mjs:75 scripts/xget.mjs:81-121 scripts/xget.mjs:140 scripts/xget.mjs:151 scripts/xget.mjs:175 scripts/xget.mjs:181 scripts/xget.mjs:201 scripts/xget.mjs:230 scripts/xget.mjs:270 scripts/xget.mjs:274 scripts/xget.mjs:287 scripts/xget.mjs:330 scripts/xget.mjs:353 scripts/xget.mjs:390 scripts/xget.mjs:393 scripts/xget.mjs:410 scripts/xget.mjs:493 scripts/xget.mjs:496 scripts/xget.mjs:507 scripts/xget.mjs:526 scripts/xget.mjs:547-600 scripts/xget.mjs:600-643 scripts/xget.mjs:643-648 scripts/xget.mjs:648-758 scripts/xget.mjs:758-763 scripts/xget.mjs:763-838 scripts/xget.mjs:838-901 scripts/xget.mjs:901-963 scripts/xget.mjs:963 SKILL.md:7 SKILL.md:23 SKILL.md:27 SKILL.md:30 SKILL.md:31 SKILL.md:50 SKILL.md:57 SKILL.md:58 SKILL.md:59 SKILL.md:61 SKILL.md:75 SKILL.md:76 SKILL.md:78 SKILL.md:82 SKILL.md:83 SKILL.md:84 SKILL.md:85 SKILL.md:88

🌐 Доступ к сети (16)

references/REFERENCE.md:18 references/REFERENCE.md:24 references/REFERENCE.md:30 references/REFERENCE.md:39 references/REFERENCE.md:45 references/REFERENCE.md:51 references/REFERENCE.md:57 references/REFERENCE.md:93 scripts/xget.mjs:7 scripts/xget.mjs:8 scripts/xget.mjs:10 scripts/xget.mjs:11 scripts/xget.mjs:118 scripts/xget.mjs:120 SKILL.md:27 SKILL.md:59

📁 Доступ к файловой системе (8)

references/REFERENCE.md:5 references/REFERENCE.md:45 references/REFERENCE.md:51 references/REFERENCE.md:45 references/REFERENCE.md:51 scripts/xget.mjs:547 scripts/xget.mjs:185 scripts/xget.mjs:268

🔑 Переменные окружения (4)

scripts/xget.mjs:888 scripts/xget.mjs:958 scripts/xget.mjs:888 scripts/xget.mjs:958

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/xixu-me-xget/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/xixu-me-xget/security.svg)](https://skillstore.io/skills/xixu-me-xget?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/xixu-me-xget?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/xixu-me-xget/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/xixu-me-xget.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

xixu-me. (2026). xget security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/xixu-me-xget/audits/5

Цитата BibTeX

@techreport{xixu-me-xixu-me-xget-2026,
  author = {xixu-me},
  title = {xget security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/xixu-me-xget/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "xget security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "xixu-me"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/xixu-me-xget/audits/5"
identifiers:
  - type: other
    value: "skillstore:xixu-me-xget:audit:5"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Высокий

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Настроить ускорение менеджера пакетов

Настройте npm, pip, Cargo, NuGet, Conda или похожие инструменты для использования развертывания Xget.

Подготовить контейнерные и CI-процессы

Адаптируйте примеры Docker, Kubernetes и GitHub Actions для использования префиксов реестра Xget.

Переключить базовые URL SDK

Обновите базовые URL AI SDK или inference API, сохранив обычное поведение аутентификации провайдера.

Попробуйте эти промпты

Преобразовать один URL

Преобразуй этот вышестоящий URL в URL Xget, используя мой базовый URL: [base URL] и [upstream URL].

Перечислить подходящие темы настройки

Найди текущие темы сценариев использования Xget, связанные с [tool or platform], и кратко опиши релевантный путь настройки.

Настроить файл проекта

Обнови этот проект для использования Xget с [package manager or container registry]. Используй [base URL] и проверь измененную конфигурацию.

Спланировать многоуровневую миграцию

Проверь этот репозиторий и спланируй изменения Xget для установки пакетов, загрузки контейнеров, CI-задач и базовых URL SDK перед их применением.

Лучшие практики

Предоставьте реальный базовый URL Xget перед запросом на применение изменений конфигурации.
Обновляйте актуальную карту платформ, когда важны точные префиксы или последняя поддержка.
Проверяйте постоянные изменения профиля оболочки и конфигурации проекта перед их запуском.

Избегать

Не используйте placeholder-хост Xget для production-команд.
Не предполагайте, что вышестоящий URL поддерживается, без проверки карты платформ.
Не применяйте постоянные изменения профиля, если пользователь просил только примеры.