技能 analyzing-component-quality
📦

analyzing-component-quality

中风险 ⚡ 包含脚本📁 文件系统访问⚙️ 外部命令🌐 网络访问

分析 Claude Code 组件质量

描述不佳的组件难以调用、保护和维护。此技能会为 Claude Code 组件评分,并提出具体改进建议。

支持: Claude Codex Code(CC)
📊 74 合格
1

下载技能 ZIP

2

在 Claude 中上传

前往 Settings → Capabilities → Skills → Upload skill

3

开启并开始使用

测试它

正在使用“analyzing-component-quality”。 某个 skill 描述含糊,并且拥有许多宽泛工具。

预期结果:

  • 整体质量:尚可,但需要进行重要改进。
  • 主要问题:触发条件不清晰、工具访问过多,以及缺少示例。
  • 建议操作:收窄工具范围,并用具体的激活短语重写描述。

正在使用“analyzing-component-quality”。 某个 agent 包含 Task,尽管它只执行单一且聚焦的审查。

预期结果:

  • 由于委托并不合理,工具权限评分会降低。
  • 建议是移除 Task,或解释为什么需要编排。

正在使用“analyzing-component-quality”。 某位 marketplace 作者想要最终就绪性检查。

预期结果:

  • 报告总结评分、优势、必需修复项,以及变更后的预期质量。
  • 安全性和可用性发现会按优先级分开列出。

安全审计

中风险
v6 • 6/28/2026

Static analysis reported many command, weak-crypto, credential, and network patterns, but review found most are markdown examples or scoring text. No prompt injection, obfuscation, credential access, or network exfiltration was found. The remaining concern is that the skill grants Bash and ships a helper script that reads a caller-provided local path.

3
已扫描文件
1,431
分析行数
8
发现项
6
审计总数
中风险问题 (1)
Bash Tool and Local Script Execution
The skill grants Bash and documents running quality-scorer.py with a caller-provided path. The helper script reads local component files and prints a report, but Bash permission increases risk if future instructions use untrusted input unsafely.
低风险问题 (3)
Static Weak-Crypto and SAM Findings Are False Positives
The reported weak-cryptography and Windows SAM matches occur in descriptive text, scoring labels, and output formatting. No evidence found of cryptographic functions, SAM database reads, password dumping, or credential collection.
Markdown Command Examples Are Not Runtime Shell Execution
Many external-command detections are fenced markdown examples and inline tool lists. They explain how to assess components and do not execute by themselves.
Documentation URL Does Not Indicate Network Exfiltration
The only network indicator is a documentation link to Claude Code Plugin Documentation. No evidence found that the skill or Python script performs HTTP requests.

检测到的模式

Bash Permission DeclaredUser-Supplied Path Read by Helper Script
审计者: codex 查看审计历史 →

质量评分

64
架构
100
可维护性
87
内容
70
社区
54
安全
78
规范符合性

你能构建什么

发布前审查 Skill

检查 Claude Code skill 是否具备清晰的触发条件、合适的工具和有用的文档。

审计 Agent 工具权限

评估 agent 是否为其声明的目的使用了最小可行工具集。

改进内部组件标准

在团队创建的 skills、agents、commands 和 hooks 中应用一致的评分规则。

试试这些提示

基础组件审查
分析此 Claude Code 组件的质量。为每个维度评分,并列出前三项改进。
工具权限检查
审查此组件的工具权限。说明哪些工具是合理的、有风险的或不必要的。
Marketplace 就绪性审计
评估此组件是否已准备好进入 marketplace。包括质量评分、安全顾虑和必需变更。
高级评分规则比较
使用质量评分规则比较这些组件。对它们进行排名,识别共同弱点,并提出标准改进。

最佳实践

  • 在给出最终评分前,先审查组件文件和支持性引用资料。
  • 解释薄弱描述、含糊触发条件或有风险权限时,引用原文。
  • 优先处理能够减少工具访问、明确调用方式或改善用户结果的修复。

避免

  • 不要把技术有效性当作 marketplace 质量的证明。
  • 没有明确需求时,不要批准宽泛的 Bash、Write、Edit 或 Task 访问。
  • 当可以给出具体重写或工具变更时,不要提供泛泛反馈。

常见问题

此技能评估什么?
它会评估组件描述、工具权限、触发条件、安全性、可用性和改进机会。
它会验证文件结构吗?
不。它假定结构和必需字段已经由另一个流程验证过。
它可以审查 Claude Code agents 和 skills 吗?
可以。它涵盖 agents、skills、commands 和 hooks,并使用特定于组件的标准。
它包含自动评分器吗?
可以。包含的 quality-scorer.py 脚本可为 markdown 组件文件提供启发式评分。
评分是完全客观的吗?
不是。评分规则能提升一致性,但审查人员仍应结合上下文进行判断。
为什么会有安全警告?
此技能授予 Bash 权限,并可以运行一个辅助脚本来读取用户选择的本地文件。