技能 webapp-testing
📦
webapp-testing
内容修订 r2 高风险 🌐 网络访问📁 文件系统访问⚙️ 外部命令
使用 Playwright 测试本地 Web 应用
手动浏览器检查会漏掉本地应用中的渲染状态问题。此技能会指导 Claude、Codex 和 Claude Code 使用 Playwright 脚本、截图、控制台日志以及服务器辅助测试。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "webapp-testing" from https://skillstore.io/skills/artemisai-webapp-testing.md and its manifest at https://skillstore.io/api/skills/artemisai-webapp-testing/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“webapp-testing”。 检查我在 localhost 的仪表板，并找出损坏的 UI 控件。
预期结果:
- 页面达到网络空闲后已捕获截图。
- 发现主导航、仪表板卡片和三个表单输入框。
- 设置按钮在预期等待后仍未变为可见。
正在使用“webapp-testing”。 在登录尝试期间捕获浏览器控制台消息。
预期结果:
- 已在登录工作流期间收集控制台输出。
- 发现一个关于缺失图像资源的警告。
- 没有客户端错误阻止表单提交。
正在使用“webapp-testing”。 启动我的本地服务并验证结账页面。
预期结果:
- 两个已配置端口都在测试开始前变为就绪。
- 结账页面已加载并显示付款字段。
- 提交操作失败，因为缺少必需的测试值。
安全审计
高风险v9 • 2026/7/23 打开版本化报告
Two subprocess findings are confirmed because caller-controlled values can launch arbitrary processes, including a server command through a shell. The remaining 28 findings are safe local URLs, expected artifact writes, or Markdown backticks, but the instruction to execute scripts before inspection is a separate high-risk prompt injection concern.
6
已扫描文件
512
分析行数
2
复核项
0
已忽略误报
已确认安全问题 (1)
高
Prompt Injection Attempt Detected
The skill says, "DO NOT read the source until you try running the script first" and promotes bundled scripts as black boxes. This discourages security inspection before executing a helper that accepts arbitrary shell commands.
The anti-inspection instruction is explicit and repeated. Its danger is confirmed by the bundled helper's unrestricted subprocess behavior.
能力复核项 (2)
这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。
高
Python subprocess.run
result = subprocess.run(args.command)
The helper executes the unrestricted command supplied through argparse under the current process privileges. Although shell=False limits shell metacharacter injection, an agent or untrusted caller can still select any available executable.
高
Python subprocess.Popen
process = subprocess.Popen(
The caller-controlled --server string is passed to subprocess.Popen with shell=True. This intentionally enables arbitrary shell syntax and can execute injected commands with the agent's privileges.
风险因素
📁 文件系统访问 (4)
⚙️ 外部命令 (23)
scripts/with_server.py:88 scripts/with_server.py:69 SKILL.md:12 SKILL.md:14 SKILL.md:18-33 SKILL.md:33-37 SKILL.md:37-40 SKILL.md:40-42 SKILL.md:42-45 SKILL.md:45-50 SKILL.md:50-53 SKILL.md:53-63 SKILL.md:63-68 SKILL.md:68-72 SKILL.md:72-80 SKILL.md:80-81 SKILL.md:81-85 SKILL.md:85 SKILL.md:86-88 SKILL.md:88 SKILL.md:89 SKILL.md:94-95 SKILL.md:95-96
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/artemisai-webapp-testing/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/artemisai-webapp-testing?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/artemisai-webapp-testing?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/artemisai-webapp-testing/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/artemisai-webapp-testing.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
ArtemisAI. (2026). webapp-testing security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/artemisai-webapp-testing/audits/9BibTeX 引用
@techreport{artemisai-artemisai-webapp-testing-2026,
author = {ArtemisAI},
title = {webapp-testing security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/artemisai-webapp-testing/audits/9},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "webapp-testing security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
- name: "ArtemisAI"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/artemisai-webapp-testing/audits/9"
identifiers:
- type: other
value: "skillstore:artemisai-webapp-testing:audit:9"
description: "Skillstore immutable audit report identifier"
比较变体
11 个可安装变体每位作者的技能都保持为独立的可安装项。推荐变体按 Skillstore 证据排序。
为什么此变体排名第一
Skillstore 评分最高
作者 / 来源 Skillstore 评分 证据置信度 Skillstore 使用量 已更新
AutumnsGrove 推荐
autumnsgrove-webapp-testing
Skillstore 评分 85
证据置信度 高
Skillstore 使用量 69
已更新
2026-09-09
cam10001110101-webapp-testing
Skillstore 评分 38
证据置信度 中
Skillstore 使用量 15
已更新
2026-09-09
Skillstore 评分
评分依据 证据置信度: 中 45
架构
85
可维护性
87
内容
71
社区
83
规范符合性
你能构建什么
验证本地 UI 更改
在更改后检查本地前端，等待页面就绪并捕获截图。
调试浏览器行为
从运行中的应用收集控制台消息、已渲染 DOM 细节和视觉证据。
协调应用启动
在运行浏览器自动化工作流前启动后端和前端服务器。
试试这些提示
检查本地页面
使用此技能检查我在端口 5173 上的本地应用。等待网络空闲，捕获截图，并报告可见问题。
发现页面元素
打开本地页面，列出可见的按钮、链接和输入框，然后为主要工作流建议稳定的选择器。
调试控制台消息
运行一次 Playwright 检查，在与仪表板交互时捕获控制台消息，然后总结错误和可能原因。
运行托管服务器
先审查辅助工具用法。在本地启动后端和前端，等待就绪，然后使用 Playwright 验证登录流程。
最佳实践
- 在启动本地服务器前审查辅助工具用法和命令。
- 检查动态页面前等待网络空闲。
- 在更改选择器前捕获截图和控制台日志。
避免
- 未经审查就运行不可信的服务器命令。
- 在渲染状态就绪前测试动态应用。
- 将包含密钥的截图或日志保存到共享位置。
常见问题
此技能会测试已部署的生产站点吗？
它专为本地 Web 应用和静态本地 HTML 文件设计。生产环境测试需要单独批准和保护措施。
它使用哪个浏览器自动化库？
它使用 Python Playwright 示例，并以 headless 模式运行 Chromium。
它可以启动我的开发服务器吗？
可以，辅助工具可以启动本地服务器并等待其端口就绪。运行前请审查每条命令。
Claude、Codex 和 Claude Code 可以使用它吗？
可以。报告列出了对 Claude、Codex 和 Claude Code 的支持。
它会自动选择选择器吗？
它有助于发现已渲染的按钮、链接和输入框。审查者仍需要为测试选择稳定的选择器。
截图和日志会保存在哪里？
示例会将诊断文件保存到本地输出或临时路径。当文件可能包含敏感数据时，请使用项目范围内的路径。
开发者详情
作者
ArtemisAI许可证
Complete terms in LICENSE.txt
Skillstore 修订
r2
版本提示
作者未声明版本。
引用
89edfdc710d0846129dcee6a929477b04f08052c
维护新鲜度
2026/7/24
使用量
45 次下载 · 280 次浏览