此报告尚无所请求语言的翻译，当前显示规范英文报告。
版本化安全评估
报告编号: SA-F93E9BB0
7/7/2026, 4:27:11 AM
uv-package-manager 安全评估 v4
Skill 安全认证报告
审计模型: codex 最新发布的报告
- 技能名称
- uv-package-manager
- 版本
- v4
- 维护者
- sickn33
- 覆盖范围
- 2 已扫描文件 · 869 分析行数
- 策略版本
- 不可用
已确认问题的最高严重性
严重
有 1 个已确认的安全问题需要处理。
安装上下文
请查看当前 Skill 详情页
本页仅汇总报告证据。Skill 详情页提供 canonical install advisory。
打开当前 Skill 详情页本报告不会阻止或授权 manifest 或 ZIP。
The skill is documentation-only Markdown, and most static alerts are false positives from comments, Markdown backticks, placeholder URLs, and project-local .venv paths. The install examples still include remote script execution and a ~/.bashrc write, which are real risks if an agent or user runs them without confirmation.
报告位置
最新发布的报告
“最新”仅指报告序列，不代表 artifact 当前有效。
审计证明
无法签发证明
所需的不可变绑定不完整。
人工验证
未进行人工验证
本报告没有人工验证记录。
覆盖范围
2 已扫描文件 · 869 分析行数
有 7 项内容需要查看
局限
本报告不声称进行了运行时或沙箱执行，也不证明不存在副作用。
证据链
证据从来源绑定延伸到安装契约。证据可用于验证，但不是安全保证。
来源
已绑定 commit 与路径
构件
已绑定内容与 tree hash
审计
已完成
观察到的能力
“已观察到”表示本报告记录了支持证据；“未记录”不证明该能力不存在。
包含脚本
可能执行 Skill 随附的代码。
本次审计未记录
网络访问
可能连接外部服务。
在 7 个证据位置观察到
文件系统访问
可能读取或写入本地文件。
在 5 个证据位置观察到
环境变量
可能读取进程环境中的值。
本次审计未记录
外部命令
可能调用 Skill 之外的命令或程序。
在 5 个证据位置观察到
能力复核项 (6)
严重
PowerShell invocation
powershell -c "irm https://astral.sh/uv/install.ps1 | iex"
The example runs PowerShell to download an external installer and execute it through iex. If copied or run by an agent, this is remote code execution without integrity verification.
高
Hidden file in home directory
echo 'export PATH="$HOME/.cargo/bin:$PATH"' >> ~/.bashrc
The command appends to ~/.bashrc, which changes future shell startup behavior. Even though it is a PATH fix, modifying a home dotfile should require explicit confirmation.
高
Hidden file access
echo 'export PATH="$HOME/.cargo/bin:$PATH"' >> ~/.bashrc
The command writes to ~/.bashrc, a hidden shell startup file. This is a persistent user-environment change and should not be automated without approval.
低
Hardcoded URL
curl -LsSf https://astral.sh/uv/install.sh | sh
The line fetches an installer from an external URL. The URL is for the uv project, but the network dependency is real and is paired with shell execution.
低
Hardcoded URL
powershell -c "irm https://astral.sh/uv/install.ps1 | iex"
The line fetches a PowerShell installer from an external URL before execution. The URL appears to be a uv install source, but it remains an external network dependency.
低
Hardcoded URL
cargo install --git https://github.com/astral-sh/uv uv
The cargo install example pulls source code from GitHub without a pinned commit. This is a normal install path, but it still relies on external network code.
风险问题
已确认的安全问题与仍需审核的项目分开展示。
已确认安全问题 (1)
RISK-001 严重
Pipe to shell pattern
curl -LsSf https://astral.sh/uv/install.sh | sh
The command pipes a remotely downloaded installer directly into sh. This is a classic remote code execution pattern and lacks checksum or signature verification in the example.
补救措施
本次审计记录了建议的修复措施。实施这些措施是维护者的责任。
- FIX-001严重Remote installer scripts are piped directly into a shell or PowerShell.Prefer package managers such as pip, Homebrew, or a pinned release, and add explicit checksum or signature verification before execution.
- FIX-002高Troubleshooting guidance appends directly to ~/.bashrc.Tell users to review and edit shell startup files manually, or use a temporary PATH update for the current session.
- FIX-003低The cargo install example pulls from a Git URL without pinning a commit.Use a published package or pin source installs to a trusted tag or commit when documenting reproducible setup.
专家证据
不可变主体身份、扫描器元数据、已排除匹配项和源码级证据。
Artifact 主体
- Marketplace 提交
- f93e9bb0daca99badb6a7e574b97737155d57cb3
- 内容哈希
- 26a938281a55bd77e190d1baa8c6f7672611958816b5c43fde6e4b6d8c91d959
- 目录树哈希
- e6b80bee43c3e9e14f10bacd3b8454c7590ffcbdc03929ef1808ddf363a02406
- Skill 路径
- skills/sickn33/uv-package-manager
- 审计载荷哈希
- 5a3bf0666b196981faa67c136f7bba49
分析元数据
审计模型: codex
分析状态: 已完成
范围仅限于已记录的文件、行数、方法和证据；本报告不声称进行了运行时或沙箱执行。
验证与导出
manifest 和 lockfile 将安装 artifact 绑定到加密哈希。该完整性声明独立于安全评估。
审计证明: not_attestable