技能 exa-cli

📦

exa-cli

Name: exa-cli
Author: DCjanus

内容修订 r1 高风险 🌐 网络访问🔑 环境变量⚙️ 外部命令

使用 Exa 搜索 Web 和代码上下文

当前的技术答案通常需要实时 Web 来源和聚焦的代码参考。此技能从 CLI 运行 Exa 搜索，并返回 Web 或编程上下文以供审查。

支持: Claude Codex Code(CC)

⚠️ 38 差

安装前请停下并请求确认。

请审查安装计划，并在更改文件前获得用户明确同意。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "exa-cli" from https://skillstore.io/skills/dcjanus-exa-cli.md and its manifest at https://skillstore.io/api/skills/dcjanus-exa-cli/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/dcjanus-exa-cli.md 已签名 manifest GET /api/skills/dcjanus-exa-cli/manifest 已签名 lockfile GET /api/skills/dcjanus-exa-cli/lockfile

测试它

正在使用“exa-cli”。搜索当前 Exa MCP 认证指南。

预期结果:

一份简洁的相关来源列表，包含链接、可用日期，以及关于所需 token 处理的说明。

正在使用“exa-cli”。查找 Python httpx 超时问题的代码上下文。

预期结果:

对可能的超时设置、相关库行为以及下一步要检查的来源参考进行聚焦说明。

正在使用“exa-cli”。比较框架迁移的近期指南。

预期结果:

对官方文档、发布说明和可信示例进行简短比较，并明确指出冲突。

安全审计

高风险

v8 • 2026/7/5 打开版本化报告

The skill is a Python CLI that sends search and code-context requests to the Exa MCP endpoint. Most Markdown backtick and entropy alerts are false positives, but network access, token handling, and direct script execution are real. No prompt injection or intentionally malicious behavior was found.

已扫描文件

436

分析行数

复核项

已忽略误报

已确认安全问题 (2)

高

scripts/exa-cli.py:115 scripts/exa-cli.py:132-134 scripts/exa-cli.py:312-313 scripts/exa-cli.py:352-353

Environment Token Can Be Sent To Custom Endpoint

The CLI accepts a custom endpoint while resolving EXA_API_KEY or EXA_MCP_TOKEN from the environment. If a user uses an untrusted endpoint, the Authorization header can disclose that token.

The code directly combines environment token resolution, Authorization header creation, and user-configurable endpoints. The exposure depends on a user or prompt choosing an untrusted endpoint.

中

SKILL.md:24 SKILL.md:38 scripts/exa-cli.py:313 scripts/exa-cli.py:353

Command-Line Token Option Can Expose Secrets

The documentation and CLI support passing an authentication token with --token. Command-line secrets can appear in shell history, process listings, or terminal logs.

Both commands expose a --token option and the skill documentation tells users it is accepted. This is a common local secret-handling risk, not evidence of malicious intent.

能力复核项 (13)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

高

scripts/exa-cli.py:115

Generic API/secret keys

return cli_token or os.getenv("EXA_API_KEY") or os.getenv("EXA_MCP_TOKEN")

The line accesses API token variables and the token is later sent in an Authorization header. A custom endpoint could receive that secret.

中

scripts/exa-cli.py:115

Python getenv function

return cli_token or os.getenv("EXA_API_KEY") or os.getenv("EXA_MCP_TOKEN")

The function reads EXA_API_KEY or EXA_MCP_TOKEN from the environment. These values are credentials and are later used for Authorization headers.

中

scripts/exa-cli.py:115

getenv function call

return cli_token or os.getenv("EXA_API_KEY") or os.getenv("EXA_MCP_TOKEN")

The getenv call retrieves Exa authentication tokens from the environment. Credential access is expected, but it remains sensitive behavior.

中

SKILL.md:8

Ruby/shell backtick execution

说明:以下调用方式均以当前 `SKILL.md` 文件所在文件夹为 workdir。必须直接当作可执行文件执行。

The detector label is imprecise, but the line instructs agents to execute the bundled script directly. That is real external command execution.

中

SKILL.md:10

Ruby/shell backtick execution

- 运行脚本:`scripts/exa-cli.py`

The line documents running scripts/exa-cli.py as a command. Executing the bundled Python script can run dependencies and make network calls.

中

SKILL.md:11

Ruby/shell backtick execution

- 网页搜索:`scripts/exa-cli.py web-search-exa <query>`

The line documents a web-search command that executes the script with user input. That command sends search queries to the configured service.

中

SKILL.md:12

Ruby/shell backtick execution

- 编程检索:`scripts/exa-cli.py get-code-context-exa <query>`

The line documents a code-context command that executes the script with user input. That command sends programming queries to the configured service.

低

scripts/exa-cli.py:250

HTTP client library

request = build_request("initialize", params)

This initialize request is immediately sent to the configured MCP endpoint. It is expected behavior, but it is outbound network access.

低

scripts/exa-cli.py:263

HTTP client library

request = build_request("tools/list", {})

This tools/list request is part of the remote MCP session setup. It confirms the skill contacts an external service.

低

scripts/exa-cli.py:295

HTTP client library

request = build_request(method, request_params)

This request carries user search arguments before the following network call. The network use is intentional but can disclose queries to Exa or a custom endpoint.

低

scripts/exa-cli.py:31

Hardcoded URL

DEFAULT_ENDPOINT = "https://mcp.exa.ai/mcp"

The code hardcodes the default external Exa MCP URL. This is legitimate for the tool, but it confirms outbound network behavior.

低

SKILL.md:23

Hardcoded URL

`--endpoint`:服务地址(默认 `https://mcp.exa.ai/mcp`)。

The documentation names the default external Exa MCP endpoint. This is expected, but it confirms network traffic leaves the local environment.

低

SKILL.md:37

Hardcoded URL

`--endpoint`:服务地址(默认 `https://mcp.exa.ai/mcp`)。

The documentation repeats the default external Exa MCP endpoint for code-context requests. This is legitimate but confirms outbound network use.

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/dcjanus-exa-cli/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/dcjanus-exa-cli/security.svg)](https://skillstore.io/skills/dcjanus-exa-cli?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/dcjanus-exa-cli?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dcjanus-exa-cli/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/dcjanus-exa-cli.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

DCjanus. (2026). exa-cli security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/dcjanus-exa-cli/audits/8

BibTeX 引用

@techreport{dcjanus-dcjanus-exa-cli-2026,
  author = {DCjanus},
  title = {exa-cli security audit report (audit version 8)},
  institution = {Skillstore},
  year = {2026},
  number = {8},
  url = {https://skillstore.io/skills/dcjanus-exa-cli/audits/8},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "exa-cli security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
  - name: "DCjanus"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/dcjanus-exa-cli/audits/8"
identifiers:
  - type: other
    value: "skillstore:dcjanus-exa-cli:audit:8"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

可维护性

内容

社区

规范符合性

你能构建什么

验证当前 API 指南

在修改依赖外部 API 的代码之前，搜索近期官方来源。

收集技术研究来源

为技术决策或比较查找相关网页和上下文片段。

查找编程上下文

在起草文档之前，检索有关库、错误或框架行为的聚焦上下文。

试试这些提示

基础 Web 搜索

使用 exa-cli 搜索关于 {topic} 的当前官方指南。总结最有力的来源并附上链接。

库使用上下文

对 {library} {task} 使用 get-code-context-exa。返回相关指南、来源名称以及任何版本详情。

来源比较

使用 web-search-exa 比较关于 {decision} 的近期来源。识别一致点、冲突点和最权威的链接。

优化的研究查询

使用 exa-cli，并为 {research question} 设置适当的结果数量和上下文限制。优先选择权威来源，并注明不确定性。

最佳实践

在审查搜索结果时，优先选择官方文档和一手来源。
使用环境变量保存 token，而不是使用命令行 token 参数。
设置结果和上下文限制，使输出保持聚焦且便于审查。

避免

不要将私有代码、密钥或客户数据作为搜索查询发送。
不要在启用基于环境的 token 时使用不受信任的自定义端点。
不要在未检查来源质量的情况下将搜索输出视为权威。

常见问题

此技能连接到什么？

它连接到已配置的 Exa MCP 端点，默认是托管的 Exa MCP 服务。

它需要 API key 吗？

经过认证的使用需要来自 EXA_API_KEY、EXA_MCP_TOKEN 或 --token 选项的 token。

它可以搜索代码示例吗？

可以。get-code-context-exa 命令用于编程问题和库使用上下文。

我可以更改端点吗？

可以，但只能使用可信端点，因为授权标头和查询会被发送到那里。

它会缓存结果吗？

它会缓存 MCP 初始化和 tool-list 响应，而不是完整的搜索结果内容。

哪些助手可以使用它？

报告列出了对 Claude、Codex 和 Claude Code 的支持。

开发者详情

作者

DCjanus

许可证

MIT

Skillstore 修订

版本提示

作者未声明版本。

仓库

https://github.com/DCjanus/prompts/tree/master/skills/exa-cli

引用

7e9e368dc1a370f2040369ebcd0db06d90cb48e5

维护新鲜度

2026/7/21

使用量

8 次下载 · 209 次浏览

文件结构

📁 scripts/

📄 exa-cli.py

📄 SKILL.md

exa-cli

使用我的智能体安装

Agent 可读资源

测试它

安全审计

已确认安全问题 (2)

风险因素

复制报告链接

Markdown 徽章

HTML 徽章

嵌入卡片

APA 引用

BibTeX 引用

CITATION.cff

Skillstore 评分

你能构建什么

验证当前 API 指南

收集技术研究来源

查找编程上下文

试试这些提示

最佳实践

避免

常见问题

开发者详情