技能 smart-bug-fix
📦
smart-bug-fix
v1.0.0 内容修订 r1 高风险 ⚙️ 外部命令
通过根因分析修复 Bug
当团队跳过根因分析时，Bug 修复可能会失败。此技能会引导 Claude、Codex 和 Claude Code 完成诊断、实施、测试和验证。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "smart-bug-fix" from https://skillstore.io/skills/dnyoussef-smart-bug-fix.md and its manifest at https://skillstore.io/api/skills/dnyoussef-smart-bug-fix/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“smart-bug-fix”。 Bug：Firefox 上登录失败。上下文：authentication module。复现步骤可用。
预期结果:
- 识别浏览器特定的 token 处理是可能原因。
- 在沙盒化工作流中应用有针对性的身份验证修复。
- 报告通过的测试、回归状态和性能影响。
正在使用“smart-bug-fix”。 Bug：负载下 API 超时。上下文：包含近期延迟日志的 API service。
预期结果:
- 在更改行为前分析日志和代码路径。
- 比较不止一种修复方案。
- 总结已更改文件、验证状态和剩余风险。
正在使用“smart-bug-fix”。 Bug：部署后出现数据库连接错误。上下文：database adapter 和部署日志。
预期结果:
该工作流会生成根因叙述、修复理由、验证摘要，并在测试失败时生成升级说明。
安全审计
高风险v8 • 2026/7/5 打开版本化报告
Most static backtick findings are false positives from Markdown fences, inline command names, examples, and diagrams. I confirmed the executable bash workflow and xargs file traversal patterns because they direct agents to run external CLIs over user-provided paths. I also found semantic risks around sending code context to Gemini and using full-auto code modification without an explicit human approval gate.
1
已扫描文件
222
分析行数
5
复核项
0
已忽略误报
已确认安全问题 (2)
高
Potential Code Disclosure to External Model Service
The workflow calls Gemini with the supplied context path for large repositories. This can transmit proprietary code to an external model service without explicit consent.
Lines 83-89 conditionally run the Gemini CLI with files set to the user-provided context path. This directly supports code disclosure risk, although the actual transport depends on the user Gemini setup.
中
Autonomous Code Modification Without Approval Gate
The workflow instructs Codex full-auto to fix a user-described bug using the supplied context path, with no documented diff approval before generated changes are produced.
Lines 100-111 pass the bug description and context path into Codex and enable a full-auto fix workflow. Sandbox and network-disabled flags reduce impact, but the skill does not require human approval before modification.
能力复核项 (5)
这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。
中
Ruby/shell backtick execution
```bash
The fenced bash workflow runs npx, Gemini, Codex, find, xargs, jq, and other CLIs over user-provided input. This is real external command execution if an agent follows the skill instructions.
中
Shell command substitution
LOC=$(find "$CONTEXT_PATH" -name "*.js" -o -name "*.ts" | xargs wc -l | tail -1 | awk '{print $1}')
The command substitution executes find, xargs, wc, tail, and awk against the supplied context path. User-controlled paths and untrusted filenames can cause unsafe traversal or argument handling.
中
Template literal with command substitution
```bash
This location contains the bash workflow with command substitutions and external CLIs rather than inert text alone. The commands consume the bug description and context path supplied by the user.
中
Unix shell invocation
#!/bin/bash
The shebang introduces an executable shell workflow in the skill instructions. The surrounding block directs agents to run multiple external tools and modify code.
中
xargs command (can execute arbitrary commands)
LOC=$(find "$CONTEXT_PATH" -name "*.js" -o -name "*.ts" | xargs wc -l | tail -1 | awk '{print $1}')
xargs is run on files discovered under a user-provided context path without null-delimited handling. This is a real command-execution pattern with unsafe filename and argument edge cases.
风险因素
⚙️ 外部命令 (29)
SKILL.md:36-43 SKILL.md:43-47 SKILL.md:47-62 SKILL.md:62-66 SKILL.md:66-149 SKILL.md:149-154 SKILL.md:154-155 SKILL.md:155-156 SKILL.md:156-159 SKILL.md:159 SKILL.md:160 SKILL.md:163-164 SKILL.md:164-165 SKILL.md:165-171 SKILL.md:171-181 SKILL.md:181-185 SKILL.md:185-191 SKILL.md:191-195 SKILL.md:195-199 SKILL.md:199-203 SKILL.md:203-214 SKILL.md:83 SKILL.md:97 SKILL.md:123 SKILL.md:141 SKILL.md:144 SKILL.md:66-149 SKILL.md:67 SKILL.md:83
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/dnyoussef-smart-bug-fix/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/dnyoussef-smart-bug-fix?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/dnyoussef-smart-bug-fix?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/dnyoussef-smart-bug-fix/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/dnyoussef-smart-bug-fix.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
DNYoussef. (2026). smart-bug-fix security audit report (audit version 8) [Author version 1.0.0]. Skillstore. https://skillstore.io/skills/dnyoussef-smart-bug-fix/audits/8BibTeX 引用
@techreport{dnyoussef-dnyoussef-smart-bug-fix-2026,
author = {DNYoussef},
title = {smart-bug-fix security audit report (audit version 8)},
institution = {Skillstore},
year = {2026},
number = {8},
url = {https://skillstore.io/skills/dnyoussef-smart-bug-fix/audits/8},
note = {Author version 1.0.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "smart-bug-fix security audit report (audit version 8)"
version: "1.0.0"
type: report
authors:
- name: "DNYoussef"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/dnyoussef-smart-bug-fix/audits/8"
identifiers:
- type: other
value: "skillstore:dnyoussef-smart-bug-fix:audit:8"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 中 55
架构
100
可维护性
87
内容
71
社区
91
规范符合性
你能构建什么
修复功能回归
应用开发者可以追踪回归问题的根因，应用有针对性的修复，并在审查前验证测试。
分诊生产环境 Bug
事件响应人员可以结合日志、复现步骤和影响检查，制定更安全的修复计划。
审查复杂 Pull Request
技术负责人可以比较替代修复方案，并在批准变更前要求提供验证证据。
试试这些提示
报告一个简单 Bug
使用 smart-bug-fix 修复此 Bug：[描述故障]。上下文路径：[文件或文件夹]。解释根因和验证结果。
添加复现细节
在 [上下文路径] 上使用 smart-bug-fix。Bug：[描述]。复现步骤：[步骤]。包括可能的原因、建议的修复和测试。
调查日志和测试
针对 [Bug] 运行深入的 smart-bug-fix 分析。使用 [上下文路径]、[错误日志] 和 [失败测试]。在应用更改前比较替代方案。
验证生产环境回归
针对 [系统] 中的生产环境回归使用 smart-bug-fix。包括 RCA、Codex 修复理由、回归验证、性能影响和剩余风险。
最佳实践
- 在接受自动化修复前审查根因证据。
- 在干净的分支中运行该工作流，并确保项目测试可用。
- 确认仓库允许使用任何外部模型。
避免
- 不要在没有审查步骤的情况下对生产文件运行全自动修复。
- 不要将密钥、私有日志或宽泛的文件系统路径作为上下文传入。
- 不要将测试通过摘要视为部署批准。
常见问题
此技能会自动修改代码吗？
它描述了一个 Codex 自动修复阶段，因此用户应仅在受控分支或沙盒中运行它。
它可以使用多个 AI 模型吗？
可以。该工作流引用 Claude 进行分析，引用 Codex 进行实施，并引用 Gemini 进行大上下文分析。
它会取代人工代码审查吗？
不能。它为审查者提供诊断、修复理由和验证证据。
哪些输入最有用？
清晰的 Bug 描述、狭窄的上下文路径、复现步骤、日志和失败测试最有用。
它适合用于私有代码吗？
请谨慎使用。该工作流在大型代码库分析期间，可能会将选定的代码上下文发送到外部模型服务。
测试失败时会发生什么？
该技能会在达到配置的迭代限制后升级，并请求另一种方案或更多上下文。