技能 expo-api-audit
📦
expo-api-audit
內容修訂 r1 中風險 ⚙️ 外部命令🌐 網路存取📁 檔案系統存取🔑 環境變數
稽核 Expo API 整合
Expo 應用程式經常隱藏損壞的 API 流程、不安全的權杖處理，以及過時的畫面資料。此技能會引導 Claude、Codex 或 Claude Code 進行結構化 API 稽核。
支援: Claude Codex Code(CC)
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "expo-api-audit" from https://skillstore.io/skills/cjharmath-expo-api-audit.md and its manifest at https://skillstore.io/api/skills/cjharmath-expo-api-audit/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「expo-api-audit」。 稽核驗證儲存和重新整理行為。
預期結果:
- Critical: 權杖儲存在 AsyncStorage，而不是 expo-secure-store。
- Major: 401 重試期間，重新整理呼叫可能會平行執行。
- Fix: 將權杖移至 SecureStore，並新增重新整理去重。
正在使用「expo-api-audit」。 找出繞過產生 hooks 的畫面。
預期結果:
報告會列出使用直接 API 呼叫的畫面、說明每個繞過情況，並建議以產生的 hook 取代。
正在使用「expo-api-audit」。 檢查使用者個人資料更新的離線行為。
預期結果:
稽核會識別缺少的佇列處理、不清楚的離線錯誤，以及重新連線後的過時快取行為。
安全審計
中風險v8 • 2026/7/5 開啟版本化報告
Most static findings are false positives caused by Markdown fences, inline code, and literal search patterns. The skill shows no prompt injection, credential exfiltration, or hidden network destination evidence. Two contextual risks remain: optional package installation instructions and an Orval dry-run command that may execute project configuration.
1
已掃描檔案
415
分析行數
0
複核項目
0
已忽略的誤報
已確認的安全問題 (2)
中
Project Tool Execution Requires Confirmation
SKILL.md instructs running npx orval --dry-run. Orval can load project configuration, so the skill should require user approval before execution.
The command is present in the audit workflow and may execute project-defined configuration. The risk is contextual because Orval use can be legitimate.
中
Global Tool Installation Commands
The dependency section recommends brew, apt-get, cargo, and npm global installation commands. These modify the developer environment and fetch external packages.
The package manager commands are explicit and can change host state. They are optional dependency guidance, so the risk is moderate rather than malicious.
風險因素
⚙️ 外部命令 (73)
SKILL.md:21 SKILL.md:23-33 SKILL.md:33-39 SKILL.md:39-59 SKILL.md:59-65 SKILL.md:65-66 SKILL.md:66 SKILL.md:67 SKILL.md:68 SKILL.md:69-70 SKILL.md:70-71 SKILL.md:71 SKILL.md:72-78 SKILL.md:78-85 SKILL.md:85-97 SKILL.md:97-99 SKILL.md:99-112 SKILL.md:112-116 SKILL.md:116-125 SKILL.md:125-129 SKILL.md:129-130 SKILL.md:130 SKILL.md:139-154 SKILL.md:154-159 SKILL.md:159-160 SKILL.md:160-164 SKILL.md:164 SKILL.md:170 SKILL.md:176-187 SKILL.md:187-195 SKILL.md:195 SKILL.md:201-211 SKILL.md:211-220 SKILL.md:220-226 SKILL.md:226-235 SKILL.md:235-243 SKILL.md:243-246 SKILL.md:246-247 SKILL.md:247-253 SKILL.md:253 SKILL.md:257-259 SKILL.md:259-265 SKILL.md:265-269 SKILL.md:269-275 SKILL.md:275-283 SKILL.md:283-284 SKILL.md:284-293 SKILL.md:293-309 SKILL.md:309-318 SKILL.md:318-320 SKILL.md:320-323 SKILL.md:323-324 SKILL.md:324-325 SKILL.md:325-328 SKILL.md:328-330 SKILL.md:330-331 SKILL.md:331-334 SKILL.md:334-356 SKILL.md:356-360 SKILL.md:360-367 SKILL.md:367-369 SKILL.md:369-376 SKILL.md:376-381 SKILL.md:381-390 SKILL.md:390-394 SKILL.md:394-396 SKILL.md:396-407 SKILL.md:178 SKILL.md:203 SKILL.md:176-187 SKILL.md:201-211 SKILL.md:42 SKILL.md:48
🌐 網路存取 (10)
📁 檔案系統存取 (8)
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/cjharmath-expo-api-audit/audits/8?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/cjharmath-expo-api-audit?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/cjharmath-expo-api-audit?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/cjharmath-expo-api-audit/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/cjharmath-expo-api-audit.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
CJHarmath. (2026). expo-api-audit security audit report (audit version 8) [Author version unspecified]. Skillstore. https://skillstore.io/skills/cjharmath-expo-api-audit/audits/8BibTeX 引用
@techreport{cjharmath-cjharmath-expo-api-audit-2026,
author = {CJHarmath},
title = {expo-api-audit security audit report (audit version 8)},
institution = {Skillstore},
year = {2026},
number = {8},
url = {https://skillstore.io/skills/cjharmath-expo-api-audit/audits/8},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "expo-api-audit security audit report (audit version 8)"
version: "unspecified"
type: report
authors:
- name: "CJHarmath"
date-released: "2026-07-05"
url: "https://skillstore.io/skills/cjharmath-expo-api-audit/audits/8"
identifiers:
- type: other
value: "skillstore:cjharmath-expo-api-audit:audit:8"
description: "Skillstore immutable audit report identifier"
Skillstore 評分
評分依據 證據置信度: 高 55
架構
85
可維護性
87
內容
71
社群
83
規範符合度
你可以打造什麼
發布前 API 檢視
在發布前稽核 Expo 應用程式，以捕捉損壞的後端同步、硬編碼資料和缺少的錯誤處理。
驗證流程強化
檢查權杖儲存、重新整理行為、interceptors 和登出路徑，以找出 Expo 安全性問題。
產生用戶端清理
找出繞過 Orval hooks 或在本機 stores 中重複伺服器狀態的畫面和服務。
試試這些提示
基本 API 檢視
稽核我的 Expo 應用程式 API 整合。著重於產生的 hooks、直接 API 呼叫和硬編碼畫面資料。
驗證權杖稽核
檢視我的 Expo 應用程式中的驗證權杖處理。檢查儲存、重新整理流程、interceptors 和登出行為。
離線同步檢視
稽核 React Query 和 Expo networking 的離線行為。檢查快取讀取、失敗 mutations、重新連線行為和錯誤狀態。
完整整合報告
執行完整的 Expo API 整合稽核。回傳按優先順序排列的發現，包含受影響檔案、嚴重性、影響和建議修正。
最佳實務
- 從儲存庫根目錄執行稽核，讓檔案探索保持在範圍內。
- 執行 package manager commands 或專案 code generators 前先確認。
- 先檢視高嚴重性的驗證發現，再處理較低優先順序的清理項目。
避免
- 沒有明確的使用者核准時，不要執行全域安裝。
- 不要在未檢查用途前，就將每個直接 API 呼叫視為錯誤。
- 不要將秘密值貼到稽核報告中。
常見問題
此技能支援 Codex 嗎？
是。它支援 Claude、Codex 和 Claude Code，用於以儲存庫為基礎的 Expo 稽核。
它能取代行動測試嗎？
否。它會檢視程式碼模式並回報風險，但 emulator 和 device tests 仍然必要。
它可以稽核驗證安全性嗎？
可以。它會檢查權杖儲存、重新整理邏輯、request interceptors、401 處理和登出行為。
它需要 Orval 嗎？
否。它包含 Orval 檢查，但許多 API、驗證和離線檢查不使用 Orval 也適用。
它會讀取環境秘密嗎？
它會搜尋不安全的環境使用方式。使用者應避免在輸出中分享秘密值。
它可以產生什麼輸出？
它可以產生 Markdown 報告、按優先順序排列的發現、修正任務或 pull request 指引。