技能 distributed-debugging-debug-trace

📦

distributed-debugging-debug-trace

Name: distributed-debugging-debug-trace
Author: sickn33

内容修订 r2 严重 ⚡ 包含脚本⚙️ 外部命令🌐 网络访问📁 文件系统访问🔑 环境变量

配置分布式调试和追踪

分布式故障很难跨服务复现。此技能帮助配置追踪、日志、性能分析、仪表板以及适合生产环境的安全调试工作流。

支持: Claude Codex Code(CC)

⚠️ 38 差

请勿自动安装此 Skill。

权威策略要求在执行任何安装操作前由操作人员审查。

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求

Review the Skillstore skill "distributed-debugging-debug-trace" from https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace.md and its manifest at https://skillstore.io/api/skills/sickn33-distributed-debugging-debug-trace/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/sickn33-distributed-debugging-debug-trace.md 已签名 manifest GET /api/skills/sickn33-distributed-debugging-debug-trace/manifest 已签名 lockfile GET /api/skills/sickn33-distributed-debugging-debug-trace/lockfile

测试它

正在使用“distributed-debugging-debug-trace”。一个团队需要诊断 checkout、payment 和 inventory 服务中的慢请求。

预期结果:

在每个服务入口点定义追踪边界。
将 trace ID 添加到日志和响应头中。
除非明确进行脱敏，否则请求正文会从 span 中排除。
在生产环境中降低采样率，并在事件期间提高采样率。

正在使用“distributed-debugging-debug-trace”。一名 SRE 希望为内存增长制定生产环境性能分析计划。

预期结果:

heap snapshots 通过授权和 IP 允许列表进行限制。
快照文件写入受限目录。
记录保留和清理规则。
该计划避免将 inspector ports 暴露到公共网络。

安全审计

严重

v5 • 2026/7/23 打开版本化报告

Most static findings are false positives caused by JavaScript template literals, explicit configuration reads, and ordinary profiler file output. Confirmed risks include unsafe dashboard rendering and debugger exposure. The playbook also contains unauthenticated runtime evaluation and sensitive telemetry patterns that require correction before publication.

已扫描文件

1,361

分析行数

复核项

已忽略误报

已确认安全问题 (3)

严重

resources/implementation-playbook.md:179-255

Unauthenticated Remote Runtime Evaluation

The remote debug server accepts WebSocket messages without authentication and sends caller expressions to Runtime.evaluate. Network clients can execute code in the process.

The server directly routes unauthenticated evaluate messages to the Node.js inspector. The default all-interface binding makes remote access plausible.

高

resources/implementation-playbook.md:294-325

Sensitive Request Data Exported in Traces

The tracing example records complete request bodies, user identifiers, and session identifiers. The configured span processor exports these values to Jaeger.

The code explicitly serializes request.body and records user and session identifiers. No field allowlist or redaction occurs before export.

高

resources/implementation-playbook.md:1008-1046

Cross-Request Debug Log Capture

Production middleware replaces the process-wide console during one request. Concurrent request logs can enter another user debug context and expose sensitive data.

The console object is global, while capture state belongs to one request. Concurrent application activity can therefore be recorded in the wrong context.

能力复核项 (7)

这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。

高

resources/implementation-playbook.md:1183

innerHTML assignment (XSS risk)

container.innerHTML = `

The dashboard inserts WebSocket-supplied metrics into innerHTML without encoding. A crafted payload can execute script in the dashboard origin.

高

resources/implementation-playbook.md:1195

innerHTML assignment (XSS risk)

entry.innerHTML = `

The dashboard inserts WebSocket-supplied trace fields into innerHTML without encoding. A crafted payload can execute script in the dashboard origin.

高

resources/implementation-playbook.md:1208

innerHTML assignment (XSS risk)

entry.innerHTML = `

The dashboard inserts WebSocket-supplied log fields into innerHTML without encoding. A crafted payload can execute script in the dashboard origin.

高

resources/implementation-playbook.md:182

Hardcoded IP address

this.host = options.host || '0.0.0.0';

The example binds the Node.js inspector or remote debug service to all network interfaces. Exposed debugger access can permit arbitrary runtime evaluation.

高

resources/implementation-playbook.md:268

Hardcoded IP address

ENV NODE_OPTIONS="--inspect=0.0.0.0:9229"

The example binds the Node.js inspector or remote debug service to all network interfaces. Exposed debugger access can permit arbitrary runtime evaluation.

高

resources/implementation-playbook.md:269

Hardcoded IP address

CMD ["node", "--inspect-brk=0.0.0.0:9229", "index.js"]

The example binds the Node.js inspector or remote debug service to all network interfaces. Exposed debugger access can permit arbitrary runtime evaluation.

中

resources/implementation-playbook.md:1163

WebSocket connection

const ws = new WebSocket('ws://localhost:9231/debug');

The dashboard accepts unauthenticated plaintext WebSocket data and passes it to rendering functions. This permits local data injection and interception.

风险因素

⚡ 包含脚本 (3)

resources/implementation-playbook.md:1183 resources/implementation-playbook.md:1195 resources/implementation-playbook.md:1208

⚙️ 外部命令 (31)

🌐 网络访问 (9)

resources/implementation-playbook.md:315 resources/implementation-playbook.md:388 resources/implementation-playbook.md:1163 resources/implementation-playbook.md:294 resources/implementation-playbook.md:898 resources/implementation-playbook.md:899 resources/implementation-playbook.md:182 resources/implementation-playbook.md:268 resources/implementation-playbook.md:269

📁 文件系统访问 (7)

resources/implementation-playbook.md:681 resources/implementation-playbook.md:713 resources/implementation-playbook.md:737 resources/implementation-playbook.md:680 resources/implementation-playbook.md:713 resources/implementation-playbook.md:737 resources/implementation-playbook.md:56

🔑 环境变量 (50)

审计者: codex 查看审计历史 →

分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告

复制报告链接

https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-distributed-debugging-debug-trace/security.svg)](https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-distributed-debugging-debug-trace/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/sickn33-distributed-debugging-debug-trace.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学术引用 (APA · BibTeX · CFF)

APA 引用

sickn33. (2026). distributed-debugging-debug-trace security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace/audits/5

BibTeX 引用

@techreport{sickn33-sickn33-distributed-debugging-debug-trace-2026,
  author = {sickn33},
  title = {distributed-debugging-debug-trace security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "distributed-debugging-debug-trace security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "sickn33"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/sickn33-distributed-debugging-debug-trace/audits/5"
identifiers:
  - type: other
    value: "skillstore:sickn33-distributed-debugging-debug-trace:audit:5"
    description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据证据置信度: 中

架构

可维护性

内容

社区

规范符合性

你能构建什么

追踪服务故障

在相关服务之间添加追踪边界、关联 ID 和 span 元数据。

标准化调试日志

为团队创建一致的调试日志、元数据字段和采样控制。

准备生产诊断

为生产问题规划受控的性能分析、仪表板和紧急调试流程。

试试这些提示

规划基础调试

为我的 Node.js 服务创建一个调试设置。包括 IDE 设置、有用的日志以及安全的开发默认值。

添加追踪覆盖

为这些服务设计 OpenTelemetry 追踪：[services]。包括 span 边界、关联 ID 和安全的属性规则。

创建性能分析工作流

为 [service] 中的 CPU 和内存问题构建性能分析工作流。包括采样、存储、访问控制和清理。

审查生产调试

审计此生产调试计划中的安全风险、数据泄露、暴露端口和运维防护措施：[plan]。

最佳实践

除非使用安全隧道，否则将远程调试器绑定到 localhost。
在记录日志或追踪之前，对密钥、请求正文和个人数据进行脱敏。
使用严格的访问控制和保留期限来存储 profiles 和 heap snapshots。

避免

不要在生产环境中将 inspector ports 暴露在 0.0.0.0 上。
不要使用 innerHTML 将不可信的调试消息放入 DOM。
不要在没有采样、脱敏和存储限制的情况下启用详细追踪。

常见问题

此技能面向哪些系统？

它专注于 Node.js 服务、分布式追踪、调试日志、性能分析、仪表板和 IDE 调试工作流。

它可以用于生产环境调试吗？

可以，但生产环境示例在使用前需要强身份验证、脱敏、采样和网络限制。

它会安装可观测性工具吗？

不会。它提供实现指导和示例，用户必须自行适配并运行。

它支持 Claude、Codex 和 Claude Code 吗？

支持。报告列出了对 Claude、Codex 和 Claude Code 的支持。

哪些数据应从追踪中排除？

除非已安全脱敏，否则应排除密钥、令牌、密码、原始请求正文、会话标识符和个人数据。

主要的安全顾虑是什么？

示例包含远程调试和调试数据收集模式，如果没有严格控制，可能会不安全。

开发者详情

作者

sickn33

许可证

MIT

Skillstore 修订

版本提示

作者未声明版本。

仓库

https://github.com/sickn33/antigravity-awesome-skills/tree/main/skills/distributed-debugging-debug-trace

引用

f9e2c34b4f19c7f3e6b0a1e93227b5f77cc12526

维护新鲜度

2026/7/26

使用量

7 次下载 · 128 次浏览

文件结构

📁 resources/

📄 implementation-playbook.md

📄 SKILL.md