技能 altllm-portal-auth
📦
altllm-portal-auth
内容修订 r1 高风险 🌐 网络访问📁 文件系统访问🔑 环境变量⚙️ 外部命令
验证 AltLLM 钱包会话
钱包登录可能会暴露私钥，或造成令人困惑的本地会话。此技能可指导你更安全地完成 AltLLM Portal 身份验证、外部签名、状态检查和退出登录。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "altllm-portal-auth" from https://skillstore.io/skills/internet-court-altllm-portal-auth.md and its manifest at https://skillstore.io/api/skills/internet-court-altllm-portal-auth/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“altllm-portal-auth”。 为默认 AltLLM Portal API 准备钱包质询。
预期结果:
助手返回质询消息、nonce、到期时间和签名说明，然后在使用任何私钥之前停止。
正在使用“altllm-portal-auth”。 在部署前检查我保存的 Portal 登录信息。
预期结果:
助手报告已保存的用户、会话源、目标源和转发状态，而不泄露会话令牌。
正在使用“altllm-portal-auth”。 退出我的本地 Portal 钱包会话。
预期结果:
助手删除本地会话文件，并说明本地退出登录不会撤销 API 密钥。
安全审计
高风险v2 • 2026/7/21 打开版本化报告
The skill documents wallet authentication, including access to private keys and storage of a local Portal session. The primary risks are intentional credential handling, an explicitly unsafe argv option, and unreviewed shared instructions outside this package. Hardcoded URLs and Markdown command formatting are benign in context.
2
已扫描文件
168
分析行数
9
复核项
0
已忽略误报
已确认安全问题 (4)
高
Crypto seed/private key mention
| `login-wallet --private-key-env <name>` | Sign in with a locally available private key from an env
The workflow authorizes use of a wallet private key from an environment variable. A compromised environment can expose the wallet credential.
高
Crypto seed/private key mention
| `login-wallet --private-key-file <path>` | Sign in with a locally available private key from a fil
The workflow authorizes reading a wallet private key from a file. The key file must be selected and protected carefully.
高
Crypto seed/private key mention
| `login-wallet --private-key <hex> --allow-unsafe-private-key-argv` | Sign in with an inline privat
The workflow permits an inline private key in command arguments when an unsafe flag is supplied. Arguments can leak through process listings and shell history.
中
Unreviewed Shared-Instruction Dependency
The skill instructs agents to read two parent-directory shared files before use, but those files are outside the audited package. Their contents could introduce unsafe commands or prompt-injection instructions after publication.
The explicit precondition to read external shared files is present, while the audit covers only two package files. Their content and safety cannot be verified from this skill.
能力复核项 (9)
这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。
高
Generic API/secret keys
ALTLLM_WALLET_PRIVATE_KEY=<private-key> \
The command reads a wallet private key from an environment variable to sign in. A private key is highly sensitive and exposure can compromise the wallet.
高
Generic API/secret keys
--private-key-env ALTLLM_WALLET_PRIVATE_KEY
The command explicitly selects an environment variable containing a wallet private key. This is sensitive credential access, even though it is a safer input method than argv.
高
Generic API/secret keys
- `ALTLLM_WALLET_PRIVATE_KEY=<private-key>` with the default `--private-key-env ALTLLM_WALLET_PRIVAT
The reference documents private-key environment-variable input. Handling this credential presents a material wallet-compromise risk if the environment is exposed.
高
Path traversal sequence
> - `../_shared/preflight.md`
The skill directs the agent to read a file outside the skill directory. The referenced content is not included in this audit, so it creates an unreviewed instruction dependency.
高
Path traversal sequence
> - `../_shared/session-and-target.md`
The skill directs the agent to read a second parent-directory file. Its unreviewed content could alter behavior outside the audited package.
高
Hidden file in home directory
- Save the resulting session to `~/.altllm/portal-cli-session.json` unless overridden.
The skill directs storage of an authenticated Portal session under the user home directory. Session credentials require restrictive permissions and explicit user consent.
中
Hidden file access
"sessionFile": "/Users/<user>/.altllm/portal-cli-session.json",
The documented workflow stores an authentication session in a hidden home-directory file. Session-token storage is sensitive and requires secure permissions and user awareness.
中
Hidden file access
"sessionFile": "/Users/<user>/.altllm/portal-cli-session.json",
Representative logout output identifies the hidden session file. The file can contain authentication state and must be protected from other local users.
中
Hidden file access
- Save the resulting session to `~/.altllm/portal-cli-session.json` unless overridden.
The skill directs storage of an authenticated Portal session in a hidden file. This is sensitive local authentication state.
风险因素
🌐 网络访问 (6)
📁 文件系统访问 (6)
🔑 环境变量 (3)
审计者: claude 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/internet-court-altllm-portal-auth/audits/2?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/internet-court-altllm-portal-auth?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/internet-court-altllm-portal-auth?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/internet-court-altllm-portal-auth/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/internet-court-altllm-portal-auth.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
internet-court. (2026). altllm-portal-auth security audit report (audit version 2) [Author version unspecified]. Skillstore. https://skillstore.io/skills/internet-court-altllm-portal-auth/audits/2BibTeX 引用
@techreport{internet-court-internet-court-altllm-portal-auth-2026,
author = {internet-court},
title = {altllm-portal-auth security audit report (audit version 2)},
institution = {Skillstore},
year = {2026},
number = {2},
url = {https://skillstore.io/skills/internet-court-altllm-portal-auth/audits/2},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "altllm-portal-auth security audit report (audit version 2)"
version: "unspecified"
type: report
authors:
- name: "internet-court"
date-released: "2026-07-21"
url: "https://skillstore.io/skills/internet-court-altllm-portal-auth/audits/2"
identifiers:
- type: other
value: "skillstore:internet-court-altllm-portal-auth:audit:2"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 中 41
架构
85
可维护性
87
内容
65
社区
83
规范符合性
你能构建什么
连接开发者钱包
准备并完成 AltLLM Portal 钱包登录，而无需将私钥放入命令参数中。
排查本地会话状态问题
在运行实际 CLI 命令之前，检查已保存的用户、目标源和转发状态。
使用外部签名
从 Privy 等钱包提供商获取质询，然后验证返回的签名。
试试这些提示
检查我的会话
使用 altllm-portal-auth 检查我保存的 Portal 钱包会话是否有效，然后我再运行实际命令。
准备钱包质询
使用 altllm-portal-auth 为我的钱包地址准备登录质询。返回用于外部签名的质询详情后停止。
验证已签名的质询
使用 altllm-portal-auth，通过我提供的 nonce 和签名验证已签名的质询，然后确认已保存的会话状态。
检查主机安全性
使用 altllm-portal-auth 为非默认 AltLLM API 主机规划钱包登录。优先使用外部签名，并识别私钥暴露风险。
最佳实践
- 当钱包提供商可用时，优先准备质询并使用外部签名。
- 签名前验证钱包地址、链、nonce、质询主机和到期时间。
- 在运行实际命令前检查会话状态，并保护已保存的会话文件。
避免
- 直接在命令参数中传递私钥。
- 在未检查质询的情况下，针对非默认远程 API 主机自动签名。
- 误以为本地退出登录会撤销服务器凭据或 API 密钥。
常见问题
此技能可以提供哪些帮助？
它有助于完成 AltLLM Portal 钱包登录、质询准备、签名验证、会话状态检查和本地退出登录。
它需要我的私钥吗？
不需要。推荐流程会准备质询，以便你的钱包或提供商在外部进行签名。
它可以与 Privy 配合使用吗？
可以。当 Privy 能够为质询消息返回标准钱包签名时，即可使用。
会话存储在哪里？
文档中说明的默认路径是用户主目录下的 Portal CLI 会话文件。
状态检查会泄露令牌吗？
不会。文档中说明的状态命令会报告用户和目标详情，而不会输出会话令牌。
退出登录会撤销 API 密钥吗？
不会。本地退出登录只会删除已保存的会话文件，不会撤销 API 密钥。
开发者详情
许可证
MIT
Skillstore 修订
r1
版本提示
作者未声明版本。
引用
3f6e026a3363e0954ede7bef0cfe88d4475de137
维护新鲜度
2026/7/21
使用量
1 次下载 · 0 次浏览
文件结构