此报告尚无所请求语言的翻译，当前显示规范英文报告。

版本化安全评估

报告编号: SA-099A3DBE

7/6/2026, 5:20:11 AM

generative-art 安全评估 v8

Skill 安全认证报告

审计历史
审计模型: codex 历史报告
技能名称
generative-art
版本
v8
维护者
Cam10001110101
来源
github.com/Cam10001110101/claude-skills-base/tree/main/mnt/skills/examples/generative-art
覆盖范围
4 已扫描文件 · 1,460 分析行数
策略版本
不可用

已确认问题摘要

未发现已确认的安全问题

已完成的审计没有记录已确认的安全问题，但这不证明该 Skill 没有副作用。

安装上下文

历史证据

本报告可能无法描述当前可安装的 artifact。请打开当前 Skill 详情页查看安装建议。

打开当前 Skill 详情页

本报告不会阻止或授权 manifest 或 ZIP。

Most static findings are false positives caused by Markdown code fences, inline file references, CSS border declarations, and JavaScript RegExp.exec(). The confirmed issues are low-severity third-party CDN and Google Fonts loads in the generated artifact template, which create privacy, availability, and supply-chain considerations.

报告位置

历史报告

使用本报告安装前，请先查看审计历史。

审计证明

无法签发证明

所需的不可变绑定不完整。

人工验证

未进行人工验证

本报告没有人工验证记录。

覆盖范围

4 已扫描文件 · 1,460 分析行数

有 5 项内容需要查看

局限

本报告不声称进行了运行时或沙箱执行，也不证明不存在副作用。

证据链

证据从来源绑定延伸到安装契约。证据可用于验证，但不是安全保证。

  1. 来源

    绑定不可用

  2. 构件

    身份信息不完整

  3. 审计

    已完成

  4. 安装契约

    打开 manifest 进行验证

    打开 manifest

观察到的能力

“已观察到”表示本报告记录了支持证据；“未记录”不证明该能力不存在。

包含脚本

可能执行 Skill 随附的代码。

在 1 个证据位置观察到

网络访问

可能连接外部服务。

在 5 个证据位置观察到

文件系统访问

可能读取或写入本地文件。

本次审计未记录

环境变量

可能读取进程环境中的值。

本次审计未记录

外部命令

可能调用 Skill 之外的命令或程序。

在 16 个证据位置观察到

能力复核项 (5)
低
SKILL.md:304
Hardcoded URL
<script src="https://cdnjs.cloudflare.com/ajax/libs/p5.js/1.7.0/p5.min.js"></script>
The instructions explicitly include loading p5.js from cdnjs in generated HTML. This is intentional, but it creates a third-party dependency and supply-chain exposure.
低
templates/viewer.html:33
Hardcoded URL
<script src="https://cdnjs.cloudflare.com/ajax/libs/p5.js/1.7.0/p5.min.js"></script>
The viewer template loads p5.js from cdnjs at runtime. This external script dependency can affect privacy, availability, and supply-chain trust.
低
templates/viewer.html:34
Hardcoded URL
<link rel="preconnect" href="https://fonts.googleapis.com">
The template opens a preconnect to Google Fonts. This is an intentional external network dependency with privacy and availability implications.
低
templates/viewer.html:35
Hardcoded URL
<link rel="preconnect" href="https://fonts.gstatic.com" crossorigin>
The template opens a preconnect to fonts.gstatic.com. This is an intentional external network dependency with privacy and availability implications.
低
templates/viewer.html:36
Hardcoded URL
<link href="https://fonts.googleapis.com/css2?family=Poppins:wght@400;500;600&family=Lora:wght@400;5
The template loads fonts from Google Fonts. This external request can disclose usage metadata and depends on a third-party service.

风险问题

已确认的安全问题与仍需审核的项目分开展示。

此次已完成的审计未记录已确认的安全发现。

补救措施

本次审计记录了建议的修复措施。实施这些措施是维护者的责任。

  1. FIX-001
    低
    Generated artifacts load p5.js from cdnjs.
    Bundle a vetted local copy of p5.js or pin an integrity-checked script with a documented update process.
  2. FIX-002
    低
    The viewer template loads Google Fonts and preconnects to Google font domains.
    Use system fonts, bundle local font files, or clearly disclose the external font requests to users.
  3. FIX-003
    低
    Markdown examples trigger noisy command-execution detections.
    Consider avoiding backtick-heavy examples or annotate them as non-executable documentation to reduce future scanner noise.

专家证据

不可变主体身份、扫描器元数据、已排除匹配项和源码级证据。

Artifact 主体

Marketplace 提交
不可用
内容哈希
不可用
目录树哈希
不可用
Skill 路径
不可用
审计载荷哈希
不可用

分析元数据

审计模型: codex

分析状态: 已完成

范围仅限于已记录的文件、行数、方法和证据；本报告不声称进行了运行时或沙箱执行。

验证与导出

JSON 报告 CITATION.cff SARIF 2.1.0 已签名安装清单

manifest 和 lockfile 将安装 artifact 绑定到加密哈希。该完整性声明独立于安全评估。

审计证明: not_attestable