技能 building-chat-widgets

📦

building-chat-widgets

Name: building-chat-widgets
Author: Asmayaseen

内容修订 r2 高风险 ⚡ 包含脚本⚙️ 外部命令🌐 网络访问

构建交互式聊天小组件

纯文本聊天无法支持丰富的任务工作流。此技能帮助团队设计交互式小组件、操作、实体标记和服务器处理程序。

支持: Claude Codex Code(CC)

⚠️ 38 差

安装前请停下并请求确认。

请审查安装计划，并在更改文件前获得用户明确同意。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "building-chat-widgets" from https://skillstore.io/skills/asmayaseen-building-chat-widgets.md and its manifest at https://skillstore.io/api/skills/asmayaseen-building-chat-widgets/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/asmayaseen-building-chat-widgets.md 已签名 manifest GET /api/skills/asmayaseen-building-chat-widgets/manifest 已签名 lockfile GET /api/skills/asmayaseen-building-chat-widgets/lockfile

测试它

正在使用“building-chat-widgets”。一个产品团队需要带按钮的订单状态小组件。

预期结果:

包含订单字段、状态标签和操作名称的小组件计划。
用于查看详情和请求更多更新的客户端操作职责。
用于确认更改和替换小组件的服务器操作职责。

正在使用“building-chat-widgets”。一名后端工程师需要表单提交行为。

预期结果:

一个服务器工作流，用于验证 payload 字段、处理表单、替换小组件并发送清晰的助手响应。

正在使用“building-chat-widgets”。一个团队希望在聊天中提及人员和文章。

预期结果:

一个实体标记计划，包含搜索行为、显示字段、点击处理和安全的上下文转换指导。

安全审计

高风险

v9 • 2026/7/23 打开版本化报告

All static alerts are false positives from Markdown syntax, Python imports, ordinary payload fields, or a same-origin request. Three semantic risks remain: hidden context injection, an unauthorized database mutation pattern, and raw exception disclosure.

已扫描文件

839

分析行数

复核项

已忽略误报

已确认安全问题 (3)

高

references/server-action-handler.md:42-60

Untrusted Data Added to Hidden Agent Context

A client-provided action identifier is inserted into HiddenContextItem without validation or escaping. Crafted delimiters or instructions could influence future model input.

The example directly interpolates action.payload data into hidden model context. No allowlist, type validation, or delimiter escaping is shown.

高

references/server-action-handler.md:105-110

Database Mutation Lacks Authorization Check

The confirmation handler trusts a client-provided item identifier and mutates the database without checking ownership or permission. This pattern can enable unauthorized changes.

The complete handler calls confirm_item with an action payload identifier and shows no authorization or record ownership check.

中

references/server-action-handler.md:206-216

Raw Exception Details Exposed to Users

The error handler returns str(e) in an assistant message. Exceptions may reveal internal implementation details, identifiers, paths, or sensitive service responses.

The catch-all handler directly embeds the exception string in user-visible content. The disclosure path is explicit in the example.

风险因素

⚡ 包含脚本 (2)

references/server-action-handler.md:9-20 SKILL.md:152-155

⚙️ 外部命令 (47)

🌐 网络访问 (1)

SKILL.md:203

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/asmayaseen-building-chat-widgets/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/asmayaseen-building-chat-widgets/security.svg)](https://skillstore.io/skills/asmayaseen-building-chat-widgets?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/asmayaseen-building-chat-widgets?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/asmayaseen-building-chat-widgets/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/asmayaseen-building-chat-widgets.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

Asmayaseen. (2026). building-chat-widgets security audit report (audit version 9) [Author version unspecified]. Skillstore. https://skillstore.io/skills/asmayaseen-building-chat-widgets/audits/9

BibTeX 引用

@techreport{asmayaseen-asmayaseen-building-chat-widgets-2026,
  author = {Asmayaseen},
  title = {building-chat-widgets security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/asmayaseen-building-chat-widgets/audits/9},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "building-chat-widgets security audit report (audit version 9)"
version: "unspecified"
type: report
authors:
  - name: "Asmayaseen"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/asmayaseen-building-chat-widgets/audits/9"
identifiers:
  - type: other
    value: "skillstore:asmayaseen-building-chat-widgets:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

可维护性

内容

社区

规范符合性

你能构建什么

设计产品工作流

为审批、任务列表、产品选择或引导式决策创建聊天小组件。

连接前端操作

将小组件按钮映射到导航、本地状态更改和后续聊天消息。

实现后端处理程序

规划可更新数据、替换小组件并流式传输助手响应的服务器操作。

试试这些提示

创建基础小组件计划

为 [task] 构建一个聊天小组件计划。包括小组件类型、可见字段、按钮和客户端操作名称。

添加客户端操作

为此小组件设计由客户端处理的操作：[describe widget]。包括 payload 字段、UI 更新和导航行为。

实现服务器操作

为 [workflow] 创建服务器操作设计。包括验证、状态更改、小组件替换和面向用户的响应行为。

审查小组件流程

审查此聊天小组件工作流是否已达到生产就绪状态：[paste summary]。检查 payload 验证、授权、实体处理和回退行为。

最佳实践

在任何服务器操作更改状态之前，验证 payload 字段和授权。
让仅客户端操作专注于导航或本地 UI 更改。
在将实体元数据插入模型可读上下文之前，对其进行转义。

避免

不要同时在客户端和服务器处理同一个操作。
不要在没有所有权检查的情况下信任操作 payload 值。
不要向最终用户暴露原始验证错误或堆栈详细信息。

常见问题

此技能可以帮助构建什么？

它有助于设计带有按钮、表单、操作、提及和后端处理程序的交互式聊天小组件。

它会创建完整的应用程序吗？

不会。它提供实现模式，供开发者在自己的应用中进行适配。

它能处理服务器端操作吗？

可以。它解释服务器操作流程、小组件替换、合成消息和客户端效果。

它支持实体提及吗？

可以。它展示了搜索实体以及将提及转换为 agent 可读上下文的模式。

哪些工具可以使用此技能？

该报告列出了对 Claude、Codex 和 Claude Code 的支持。

团队在生产前应添加什么？

团队应在生产前添加身份验证、授权、payload 验证、转义、监控和错误处理。

开发者详情

作者

Asmayaseen

许可证

MIT

Skillstore 修订

版本提示

作者未声明版本。

仓库

https://github.com/Asmayaseen/hackathon-2/tree/main/.claude/skills/building-chat-widgets

引用

89edfdc710d0846129dcee6a929477b04f08052c

维护新鲜度

2026/7/24

使用量

10 次下载 · 181 次浏览

文件结构

📁 references/

📄 server-action-handler.md

📄 widget-patterns.md

📁 scripts/

📄 verify.py

使用 starknet.js 构建 Starknet 应用

由 internet-court

Starknet 集成需要精确处理提供程序、账户、交易和费用。此技能为 Claude、Codex 和 Claude Code 提供实用的 starknet.js v9 模式。

编码与开发查看

building-chat-widgets

使用我的智能体安装

Agent 可读资源

测试它

安全审计

已确认安全问题 (3)

风险因素

复制报告链接

Markdown 徽章

HTML 徽章

嵌入卡片

APA 引用

BibTeX 引用

CITATION.cff

Skillstore 评分

你能构建什么

设计产品工作流

连接前端操作

实现后端处理程序

试试这些提示

最佳实践

避免

常见问题

开发者详情

Asmayaseen 的更多技能

tool-design

systematic-debugging

operating-production-services

styling-with-shadcn

streaming-llm-responses

context-degradation

相关技能

playwright-testing

python-async-patterns

python-fastapi-patterns

python-typing-patterns

nestjs-code-audit

starknet-js