技能 environment-setup-guide
📦
environment-setup-guide
内容修订 r2 高风险 ⚙️ 外部命令🌐 网络访问📁 文件系统访问🔑 环境变量
设置开发环境
新项目经常失败，是因为本地工具、依赖项和配置步骤不明确。此技能可创建结构化的设置指南，其中包含特定平台的命令、检查项和故障排查说明。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "environment-setup-guide" from https://skillstore.io/skills/sickn33-environment-setup-guide.md and its manifest at https://skillstore.io/api/skills/sickn33-environment-setup-guide/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“environment-setup-guide”。 我需要一个使用 PostgreSQL 的 Node.js API 的入职引导步骤。
预期结果:
一份指南，包含先决条件、Node 和数据库安装步骤、环境变量占位符、依赖安装、迁移步骤和验证检查。
正在使用“environment-setup-guide”。 我的团队在设置过程中遇到权限错误和端口冲突。
预期结果:
一个故障排查部分，分别说明 PATH 问题、包权限、运行中的服务、被占用端口和数据库连接检查。
正在使用“environment-setup-guide”。 在发布之前让我们的设置说明更安全。
预期结果:
一份修订后的指南，避免盲目执行远程安装程序，在特权命令前给出警告，并用占位符替换真实密钥。
安全审计
高风险v5 • 2026/7/23 打开版本化报告
Most static findings are false positives caused by Markdown fences, placeholders, local addresses, and ordinary setup references. Confirmed risks include mutable remote installers, root execution, Docker group privileges, and exposed default database credentials. No prompt injection or data-exfiltration intent was found.
1
已扫描文件
493
分析行数
8
复核项
0
已忽略误报
已确认安全问题 (2)
高
Default Database Credentials Exposed on Host Port
The Docker Compose example publishes PostgreSQL on port 5432 while assigning the password "password". Other local users or reachable hosts could authenticate.
The configuration directly combines predictable credentials with a published database port. The risk is clear unless the host network is fully isolated.
中
Setup Template Runs Project-Defined Code Without Confirmation
The setup template runs npm installation, migrations, and setup tests automatically. Dependency lifecycle hooks or project scripts can execute arbitrary code and alter data.
The listed commands execute dependency and project-controlled scripts without a review or confirmation boundary. Their exact behavior depends on the target repository.
能力复核项 (8)
这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。
高
sudo privilege escalation
sudo -E bash "$tmpdir/nodesource-setup.sh"
This runs a downloaded NodeSource script with root privileges and preserves the environment. A compromised response or dependency could modify the entire system.
高
sudo privilege escalation
sudo sh get-docker.sh
This executes the mutable get.docker.com script as root without an integrity check or review step. Compromise of the download path would yield system control.
高
sudo privilege escalation
sudo usermod -aG docker $USER
Adding a user to the docker group grants control of the Docker daemon. That access is commonly equivalent to root privileges on the host.
高
Database connection strings
- DATABASE_URL=postgresql://postgres:password@db:5432/mydb
The example embeds the predictable database password "password" and publishes PostgreSQL on the host. Reuse outside an isolated machine could expose the database.
中
Unix shell invocation
/bin/bash "$tmpdir/homebrew-install.sh"
This command executes a script downloaded from a mutable URL. Manual review reduces risk, but remote shell code can still compromise the user account.
低
Hardcoded URL
curl -fsSLo "$tmpdir/homebrew-install.sh" https://raw.githubusercontent.com/Homebrew/install/HEAD/in
The command downloads a mutable installer from GitHub for later execution. The official host lowers suspicion, but no version pin or checksum protects integrity.
低
Hardcoded URL
curl -fsSLo "$tmpdir/nodesource-setup.sh" https://deb.nodesource.com/setup_20.x
The command downloads a mutable NodeSource setup script that is later executed as root. No version pin or checksum authenticates the retrieved content.
低
Hardcoded URL
curl -fsSL https://get.docker.com -o get-docker.sh
The command downloads a mutable Docker installation script that is immediately executed as root. It provides no checksum or content review step.
风险因素
⚙️ 外部命令 (50)
SKILL.md:38-44 SKILL.md:44-73 SKILL.md:73-84 SKILL.md:84 SKILL.md:94 SKILL.md:97 SKILL.md:108 SKILL.md:111 SKILL.md:114 SKILL.md:118 SKILL.md:121 SKILL.md:125 SKILL.md:132 SKILL.md:136-137 SKILL.md:137 SKILL.md:143 SKILL.md:145-146 SKILL.md:146 SKILL.md:151 SKILL.md:155 SKILL.md:160 SKILL.md:165 SKILL.md:169 SKILL.md:174 SKILL.md:175-179 SKILL.md:179-185 SKILL.md:185 SKILL.md:187 SKILL.md:190 SKILL.md:193 SKILL.md:196 SKILL.md:198 SKILL.md:202 SKILL.md:205 SKILL.md:209 SKILL.md:222 SKILL.md:226 SKILL.md:232 SKILL.md:236-237 SKILL.md:237 SKILL.md:242 SKILL.md:246 SKILL.md:251 SKILL.md:252-256 SKILL.md:256-262 SKILL.md:262 SKILL.md:265 SKILL.md:268 SKILL.md:276 SKILL.md:283
🌐 网络访问 (14)
📁 文件系统访问 (20)
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/sickn33-environment-setup-guide/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-environment-setup-guide?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-environment-setup-guide?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-environment-setup-guide/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-environment-setup-guide.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
sickn33. (2026). environment-setup-guide security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-environment-setup-guide/audits/5BibTeX 引用
@techreport{sickn33-sickn33-environment-setup-guide-2026,
author = {sickn33},
title = {environment-setup-guide security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-environment-setup-guide/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "environment-setup-guide security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/sickn33-environment-setup-guide/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-environment-setup-guide:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 中 55
架构
85
可维护性
87
内容
69
社区
83
规范符合性
你能构建什么
创建项目入职引导步骤
将项目需求转化为面向新开发者工作站的清晰设置指南。
准备新机器
在将开发工作迁移到新计算机时，规划安装和验证步骤。
记录环境问题
为常见安装、PATH、端口和数据库连接问题添加故障排查说明。
试试这些提示
基础设置指南
为我的项目创建一份开发环境设置指南。在列出命令之前，先询问缺失的语言、数据库和操作系统详细信息。
跨平台设置
编写适用于 macOS、Ubuntu 和 Windows 的设置说明。包括先决条件、安装步骤、环境变量和验证检查。
入职引导检查清单
将这些项目需求转换为入职引导检查清单。包括预期版本、配置文件、设置验证和常见修复方法。
强化设置审查
审查这份设置指南中的高风险命令。尽可能替换远程脚本执行，添加确认步骤，并避免暴露密钥。
最佳实践
- 对密钥使用占位符名称，绝不要要求用户将真实密钥值粘贴到聊天中。
- 在运行会安装软件或更改系统设置的命令前，要求用户确认。
- 优先使用官方包管理器说明，并包含版本检查和回滚说明。
避免
- 不要在未经审查、没有校验和或未确认可信来源的情况下运行下载的安装脚本。
- 不要在未先展示确切更改的情况下追加内容到 shell 启动文件。
- 不要将 .env 文件、令牌、密码或特定机器路径提交到仓库。
常见问题
此技能能自动运行设置命令吗？
它旨在生成指导内容。用户应在执行前审查并批准任何命令。
它支持 macOS、Linux 和 Windows 吗？
是。该指南包含 Homebrew、apt-style 包管理器、Chocolatey、winget 和直接安装程序的示例。
它能记录环境变量吗？
可以。它可以列出必需变量和占位符，但用户不应提供真实密钥。
它能帮助进行 Docker 设置吗？
可以。它可以起草 Docker 和 compose 设置步骤，包括服务检查和数据库连接测试。
它会验证每条命令都是安全的吗？
不能。用户应验证来源可信度、包签名、权限和项目特定需求。
这对团队入职引导有用吗？
是。它可以将项目需求转化为可重复的入职引导步骤，并包含检查项和故障排查说明。