此报告尚无所请求语言的翻译，当前显示规范英文报告。

版本化安全评估

报告编号: SA-3E4B6C31

7/9/2026, 9:26:37 AM

system-environment-setup 安全评估 v6

Skill 安全认证报告

审计历史
审计模型: codex 最新发布的报告
技能名称
system-environment-setup
版本
v6
维护者
supercent-io
来源
github.com/supercent-io/skills-template/tree/main/.agent-skills/system-environment-setup/
覆盖范围
2 已扫描文件 · 479 分析行数
策略版本
不可用

已确认问题的最高严重性

高

有 1 个已确认的安全问题需要处理。

安装上下文

请查看当前 Skill 详情页

本页仅汇总报告证据。Skill 详情页提供 canonical install advisory。

打开当前 Skill 详情页

本报告不会阻止或授权 manifest 或 ZIP。

Most static findings are markdown or sample-code false positives, including code fences, localhost URLs, relative links, private CIDRs, and normal process.env access. I confirmed credential-handling risks where the skill shows copy-paste database URLs with weak passwords and secret-like provider keys in environment templates. No evidence found of prompt injection, data exfiltration, or malicious command execution.

报告位置

最新发布的报告

“最新”仅指报告序列，不代表 artifact 当前有效。

审计证明

无法签发证明

所需的不可变绑定不完整。

人工验证

未进行人工验证

本报告没有人工验证记录。

覆盖范围

2 已扫描文件 · 479 分析行数

有 6 项内容需要查看

局限

本报告不声称进行了运行时或沙箱执行，也不证明不存在副作用。

证据链

证据从来源绑定延伸到安装契约。证据可用于验证，但不是安全保证。

  1. 来源

    已绑定 commit 与路径

  2. 构件

    已绑定内容与 tree hash

  3. 审计

    已完成

  4. 安装契约

    打开 manifest 进行验证

    打开 manifest

观察到的能力

“已观察到”表示本报告记录了支持证据；“未记录”不证明该能力不存在。

包含脚本

可能执行 Skill 随附的代码。

本次审计未记录

网络访问

可能连接外部服务。

在 9 个证据位置观察到

文件系统访问

可能读取或写入本地文件。

在 3 个证据位置观察到

环境变量

可能读取进程环境中的值。

在 22 个证据位置观察到

外部命令

可能调用 Skill 之外的命令或程序。

在 25 个证据位置观察到

能力复核项 (5)
高
SKILL.md:132
AWS credential environment variables
AWS_ACCESS_KEY_ID=AKIAXXXXXXX
The .env.example includes AWS_ACCESS_KEY_ID with a key-like placeholder. This encourages long-lived cloud credentials in local files if copied.
高
SKILL.md:133
AWS credential environment variables
AWS_SECRET_ACCESS_KEY=xxxxxxxx
The .env.example includes AWS_SECRET_ACCESS_KEY as a file-based secret. Long-lived cloud secrets in environment files are a real secret-management risk.
高
SKILL.md:38
Database connection strings
- DATABASE_URL=postgresql://postgres:password@db:5432/myapp
The Docker Compose example hardcodes a database URL with the literal password value password. Copy-paste use can deploy weak credentials and expose secrets in configuration.
高
SKILL.md:112
Database connection strings
DATABASE_URL=postgresql://postgres:password@localhost:5432/myapp
The .env.example snippet includes a PostgreSQL URL with a literal password value. This is a real copy-paste risk for weak local or shared credentials.
高
SKILL.md:130
Generic API/secret keys
STRIPE_SECRET_KEY=sk_test_xxx
The .env.example includes a Stripe secret key field with a realistic sk_test prefix. It encourages API secrets in copied environment files without secret-manager guidance.

风险问题

已确认的安全问题与仍需审核的项目分开展示。

已确认安全问题 (1)

RISK-001 高
SKILL.md:38-53SKILL.md:112-133
Insecure Copy-Paste Default Credentials
The setup examples combine production-style configuration with weak or placeholder secrets such as postgres:password, POSTGRES_PASSWORD: password, change-me token secrets, SMTP_PASSWORD, STRIPE_SECRET_KEY, and AWS_ACCESS_KEY_ID. Users may copy these values into real projects instead of generating unique secrets.
The cited snippets are environment and Docker setup templates intended for copy-paste use, and they include weak database passwords and secret-like provider credentials. The skill also warns against committing secrets, so confidence is high rather than absolute.

补救措施

本次审计记录了建议的修复措施。实施这些措施是维护者的责任。

  1. FIX-001
    高
    Weak default credentials in examples
    Replace postgres:password and POSTGRES_PASSWORD: password with generated placeholder syntax and require unique local passwords.
  2. FIX-002
    高
    Secret-like provider credentials in .env.example
    Use neutral placeholders and document secret managers or cloud identity roles for AWS, Stripe, SMTP, and token secrets.
  3. FIX-003
    中
    Terraform state can retain sensitive values
    Add guidance for encrypted remote state, restricted state access, and secret references for database passwords.

专家证据

不可变主体身份、扫描器元数据、已排除匹配项和源码级证据。

Artifact 主体

Marketplace 提交
3e4b6c31a74a3bd1a291c98cf585d720cb9fbc88
内容哈希
0edf77e1104a283736bcd1193cca8cb5610ca666b259951840762bf88d2265a0
目录树哈希
65d42f07c3a61ef3679fbc3b5db645d10c850769393a49371fed501d8a697750
Skill 路径
skills/supercent-io/system-environment-setup
审计载荷哈希
d65eaade37d881f99e0ac92cbc4f34bd

分析元数据

审计模型: codex

分析状态: 已完成

范围仅限于已记录的文件、行数、方法和证据；本报告不声称进行了运行时或沙箱执行。

验证与导出

JSON 报告 CITATION.cff SARIF 2.1.0 已签名安装清单 来源

manifest 和 lockfile 将安装 artifact 绑定到加密哈希。该完整性声明独立于安全评估。

审计证明: not_attestable