技能 lint-and-validate
📦
lint-and-validate
内容修订 r1 高风险 ⚙️ 外部命令
运行 Lint 和类型验证
代码变更经常因为跳过 lint、类型或审计检查而失败。此技能会指导代理为 Node.js 和 Python 项目执行可重复的验证流程。
支持: Claude Codex Code(CC)
安装前请停下并请求确认。
请审查安装计划，并在更改文件前获得用户明确同意。
使用我的智能体安装
将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。
智能体请求
Review the Skillstore skill "lint-and-validate" from https://skillstore.io/skills/sickn33-lint-and-validate.md and its manifest at https://skillstore.io/api/skills/sickn33-lint-and-validate/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智能体仍应展示其计划，并按安全策略请求必要确认。
Agent 可读资源
当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。
测试它
正在使用“lint-and-validate”。 在组件更新后验证 TypeScript 项目。
预期结果:
- Lint 已通过，没有剩余样式错误。
- 类型检查在一个组件中失败，因为缺少必需的 prop。
- 建议的下一步：更新 prop 用法并重新运行验证。
正在使用“lint-and-validate”。 在标记错误修复完成之前审查 Python 项目。
预期结果:
- Ruff 发现格式问题并已修正。
- Mypy 报告已更改函数中缺少两个注解。
- 建议的下一步：添加注解并重复检查。
正在使用“lint-and-validate”。 检查仓库是否配置了验证工具。
预期结果:
该项目已配置 lint 和类型检查，但未检测到安全审计命令。请在发布验证前添加一个。
安全审计
高风险v5 • 2026/7/9 打开版本化报告
The Python runner genuinely executes lint commands in the target project, including project-defined npm lint scripts. Several SKILL.md command examples are actionable because the skill allows Bash, while pure command-name and filename mentions are false positives. No prompt injection or explicit data-exfiltration intent was found.
3
已扫描文件
393
分析行数
9
复核项
0
已忽略误报
已确认安全问题 (1)
高
Project-Controlled Commands Run During Validation
The runner reads package.json and executes npm lint scripts in the target directory. A malicious project can define lint scripts that run arbitrary local commands during validation.
The code maps package.json lint scripts to npm run lint and executes them with subprocess.run in the provided project path. This is expected for linting but unsafe for untrusted repositories.
能力复核项 (9)
这些是真实的本地能力，对此技能可能是预期行为，因此需要复核，但不会按已确认恶意行为计分。
高
Python subprocess.run
proc = subprocess.run(
subprocess.run executes linter command arrays inside the selected project directory. The npm lint path can invoke project-controlled package scripts, so untrusted repositories can execute local commands.
中
Ruby/shell backtick execution
1. **Lint/Fix:** `npm run lint` or `npx eslint "path" --fix`
The line instructs the agent to run npm lint or npx eslint with Bash access. npm run lint executes project-defined scripts, which is risky in untrusted repositories.
中
Ruby/shell backtick execution
2. **Types:** `npx tsc --noEmit`
The line instructs the agent to run npx tsc, which executes a project tool from the local environment. This is expected validation behavior but still external command execution.
中
Ruby/shell backtick execution
3. **Security:** `npm audit --audit-level=high`
The line instructs the agent to run npm audit. This invokes an external package manager command and may disclose dependency metadata to the configured npm registry.
中
Ruby/shell backtick execution
1. **Linter (Ruff):** `ruff check "path" --fix` (Fast & Modern)
The line instructs the agent to run ruff with fix mode over a path. It is legitimate linting guidance, but it executes an installed binary and can modify files.
中
Ruby/shell backtick execution
2. **Security (Bandit):** `bandit -r "path" -ll`
The line instructs the agent to run Bandit recursively over a path. This is normal security scanning, but it is still external command execution on repository contents.
中
Ruby/shell backtick execution
3. **Types (MyPy):** `mypy "path"`
The line instructs the agent to run mypy on a path. This is legitimate type checking, but it executes an installed external tool in the project context.
中
Ruby/shell backtick execution
2. **Run Audit:** `npm run lint && npx tsc --noEmit`
The quality loop instructs npm run lint followed by npx tsc. The npm script component can execute arbitrary commands from package.json in an untrusted project.
中
Ruby/shell backtick execution
| `scripts/lint_runner.py` | Unified lint check | `python scripts/lint_runner.py <project_path>` |
The line documents running the bundled lint runner with a project path. That runner executes external lint commands, including project-defined npm scripts.
风险因素
审计者: codex 查看审计历史 →
分享与引用此报告
分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。
复制报告链接
https://skillstore.io/skills/sickn33-lint-and-validate/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-lint-and-validate?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-lint-and-validate?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-lint-and-validate/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-lint-and-validate.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学术引用 (APA · BibTeX · CFF)
APA 引用
sickn33. (2026). lint-and-validate security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-lint-and-validate/audits/5BibTeX 引用
@techreport{sickn33-sickn33-lint-and-validate-2026,
author = {sickn33},
title = {lint-and-validate security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-lint-and-validate/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "lint-and-validate security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-09"
url: "https://skillstore.io/skills/sickn33-lint-and-validate/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-lint-and-validate:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 评分
评分依据 证据置信度: 中 45
架构
85
可维护性
87
内容
68
社区
83
规范符合性
你能构建什么
提交前验证
在将代码变更报告为完成之前运行 lint 和类型检查。
代理质量门禁
在编辑后为 Claude、Codex 或 Claude Code 提供一致的检查清单。
仓库健康状况审查
检查项目是否配置并可使用常见的验证工具。
试试这些提示
运行基础验证
Validate the current project after my changes. Run the appropriate lint and type checks, then summarize any failures.
修复 Lint 失败
Run the project lint workflow. Fix clear style or syntax issues, then rerun validation until the lint check passes or needs my decision.
检查类型和安全性
Run lint, type checks, and configured security audit commands for this repository. Report each result and the remaining risk.
审计验证覆盖范围
Inspect the repository validation setup. Identify missing lint, type, or audit configuration, then propose the smallest practical improvements.
最佳实践
- 从仓库根目录运行验证，以便工具找到其配置文件。
- 在来自未知来源的仓库中运行命令前先审查命令。
- 修复后重新运行失败的检查，并清晰报告最终结果。
避免
- 未经用户批准，不要运行不受信任仓库中项目定义的 scripts。
- 不要将 lint 通过视为代码正确或安全的证明。
- 当项目应强制执行标准时，不要忽略缺失的工具配置。
常见问题
此技能使用哪些工具？
它使用常见的 Node.js 和 Python 验证工具，例如 npm lint、ESLint、TypeScript、Ruff、Bandit 和 Mypy。
它会自动修复代码吗？
当工作流请求时，它可以使用工具的修复模式，但复杂失败仍需要修改代码。
它对不受信任的仓库安全吗？
请谨慎使用。某些验证命令可以运行项目定义的 scripts，因此在执行前应先审查命令。
它会运行测试吗？
不会。它专注于 lint、类型、审计和类型覆盖率工作流，而不是应用测试套件。
Claude Code 和 Codex 可以使用它吗？
可以。元数据将 Claude、Codex 和 Claude Code 列为支持的工具。
未配置 linter 时会发生什么？
该技能会要求代理检查常见配置文件，并建议添加验证设置。
开发者详情
作者
sickn33许可证
MIT
Skillstore 修订
r1
版本提示
作者未声明版本。
引用
0519034dad657fb1f7706e0550e962beeda73fdf
维护新鲜度
2026/7/18
使用量
9 次下载 · 85 次浏览
文件结构