此报告尚无所请求语言的翻译，当前显示规范英文报告。

版本化安全评估

报告编号: SA-B959EBFD

7/9/2026, 7:20:08 AM

gwas-database 安全评估 v14

Skill 安全认证报告

审计历史

审计模型: codex 最新发布的报告

技能名称: gwas-database
版本: v14
维护者: davila7
来源: github.com/davila7/claude-code-templates/tree/main/cli-tool/components/skills/scientific/gwas-database
覆盖范围: 2 已扫描文件 · 1,397 分析行数
策略版本: 不可用

已确认问题摘要

未发现已确认的安全问题

已完成的审计没有记录已确认的安全问题，但这不证明该 Skill 没有副作用。

安装上下文

请查看当前 Skill 详情页

本页仅汇总报告证据。Skill 详情页提供 canonical install advisory。

打开当前 Skill 详情页

本报告不会阻止或授权 manifest 或 ZIP。

The static findings are mostly documentation examples for public NHGRI-EBI GWAS Catalog API access, public URLs, and Markdown inline code. I did not find prompt injection text or evidence of credential exfiltration. The remaining concerns are insecure FTP or HTTP download guidance and a documented helper that writes downloaded files locally.

报告位置

证据链

证据从来源绑定延伸到安装契约。证据可用于验证，但不是安全保证。

来源

已绑定 commit 与路径
构件

已绑定内容与 tree hash
审计

已完成
安装契约

打开 manifest 进行验证
打开 manifest

观察到的能力

“已观察到”表示本报告记录了支持证据；“未记录”不证明该能力不存在。

包含脚本

可能执行 Skill 随附的代码。

本次审计未记录

网络访问

可能连接外部服务。

在 53 个证据位置观察到

文件系统访问

可能读取或写入本地文件。

在 1 个证据位置观察到

环境变量

可能读取进程环境中的值。

本次审计未记录

外部命令

可能调用 Skill 之外的命令或程序。

在 50 个证据位置观察到

能力复核项 (7)

中

references/api_reference.md:772

Python file write/append

with open(output_path, 'wb') as f:

The example writes downloaded network content to a local path built from function arguments. It is legitimate but should validate paths and confirm writes.

中

SKILL.md:255

FTP protocol

# ftp://ftp.ebi.ac.uk/pub/databases/gwas/summary_statistics/GCSTXXXXXX/

The skill recommends ftp:// downloads from EBI. FTP lacks transport integrity, so public data could be tampered with in transit.

中

SKILL.md:404

FTP protocol

wget ftp://ftp.ebi.ac.uk/pub/databases/gwas/summary_statistics/GCSTXXXXXX/harmonised/GCSTXXXXXX-harm

The skill recommends ftp:// downloads from EBI. FTP lacks transport integrity, so public data could be tampered with in transit.

低

references/api_reference.md:769

Python HTTP libraries

response = requests.get(harmonised_url, stream=True)

This request streams a file from the HTTP download mirror. The data is public, but unauthenticated transport can affect file integrity.

低

references/api_reference.md:761

Hardcoded URL

ftp_base = "http://ftp.ebi.ac.uk/pub/databases/gwas/summary_statistics"

The URL uses unencrypted HTTP for public GWAS data download guidance. This creates a narrow integrity risk without credential exposure.

低

SKILL.md:232

Hardcoded URL

1. **FTP download**: http://ftp.ebi.ac.uk/pub/databases/gwas/summary_statistics/

The URL uses unencrypted HTTP for public GWAS data download guidance. This creates a narrow integrity risk without credential exposure.

低

SKILL.md:599

Hardcoded URL

- **FTP site**: http://ftp.ebi.ac.uk/pub/databases/gwas/

The URL uses unencrypted HTTP for public GWAS data download guidance. This creates a narrow integrity risk without credential exposure.

风险问题

已确认的安全问题与仍需审核的项目分开展示。

此次已完成的审计未记录已确认的安全发现。

补救措施

本次审计记录了建议的修复措施。实施这些措施是维护者的责任。

FIX-001
中
Insecure FTP or HTTP download guidance

Replace ftp:// and http:// download examples with HTTPS URLs when available, and recommend checksum verification for downloaded datasets.
FIX-002
中
Local file writes from network downloads

Validate GCST identifiers and output paths, avoid overwriting existing files, and ask the user before writing downloaded files.
FIX-003
低
Large public API and data requests

Keep rate limiting, pagination, caching, and file size checks in examples to reduce operational risk.

专家证据

不可变主体身份、扫描器元数据、已排除匹配项和源码级证据。

Artifact 主体

Marketplace 提交: b959ebfd1043a07c0c4378ab94ca4342cb0259f5
内容哈希: 0d914b28f57068d694d86cdc168a9da1c8441fcaf42c3a1afb105ffb325afa46
目录树哈希: e7de28bcbaeb378c056480b6aec128b041ca256ee2a6c67b2bc84e4a1660c461
Skill 路径: skills/davila7/gwas-database
审计载荷哈希: 4dccf266d2d45e8d3f8a0dc63aa0b545

分析元数据

审计模型: codex

分析状态: 已完成

范围仅限于已记录的文件、行数、方法和证据；本报告不声称进行了运行时或沙箱执行。

验证与导出

JSON 报告 CITATION.cff SARIF 2.1.0 已签名安装清单来源

manifest 和 lockfile 将安装 artifact 绑定到加密哈希。该完整性声明独立于安全评估。

审计证明: not_attestable