此報告尚無所請求語言的翻譯，目前顯示規範英文報告。

版本化安全評估

報告編號: SA-C579EFD0

7/5/2026, 12:44:25 PM

ci-pipeline-setup 安全評估 v8

Skill 安全認證報告

審計紀錄
稽核模型: codex 最新發佈的報告
技能名稱
ci-pipeline-setup
版本
v1.0
維護者
Doyajin174
來源
github.com/Doyajin174/myskills/tree/main/.public/skills/ci-pipeline-setup
涵蓋範圍
1 已掃描檔案 · 401 分析行數
策略版本
無法使用

已確認問題的最高嚴重性

中

有 1 個已確認的安全問題需要處理。

安裝情境

請查看目前的 Skill 詳情頁

本頁僅彙整報告證據。Skill 詳情頁提供權威安裝建議。

開啟目前的 Skill 詳情頁

本報告不會阻止或授權 manifest 或 ZIP。

Most static findings are false positives caused by Markdown syntax, not executable Ruby backticks. The GitHub documentation links and GITHUB_TOKEN example are benign workflow references. One contextual risk remains: the Vercel deployment template passes secrets to a mutable third-party action.

報告位置

最新發佈的報告

「最新」僅指報告序列，不代表成品目前有效。

稽核證明

無法簽發證明

所需的不可變繫結不完整。

人工驗證

未進行人工驗證

本報告沒有人工作驗證記錄。

涵蓋範圍

1 已掃描檔案 · 401 分析行數

有 1 項內容需要查看

限制

本報告不聲稱已進行執行階段或沙箱執行，也不證明不存在副作用。

證據鏈

證據從來源綁定延伸至安裝契約。證據可用於驗證，但並非安全保證。

  1. 來源

    已綁定 commit 與路徑

  2. 構件

    已綁定內容與 tree hash

  3. 稽核

    已完成

  4. 安裝契約

    開啟 manifest 進行驗證

    開啟 manifest

觀察到的能力

「已觀察到」表示本報告記錄了支持證據；「未記錄」不證明該能力不存在。

包含腳本

可能執行 Skill 隨附的程式碼。

此次稽核未記錄

網路存取

可能連線至外部服務。

在 3 個證據位置觀察到

檔案系統存取

可能讀取或寫入本機檔案。

此次稽核未記錄

環境變數

可能讀取處理程序環境中的值。

在 1 個證據位置觀察到

外部命令

可能叫用 Skill 以外的命令或程式。

在 23 個證據位置觀察到

風險問題

已確認的安全問題與仍需審核的項目分開顯示。

已確認的安全問題 (1)

RISK-001 中
SKILL.md:330-336SKILL.md:351-355
Deployment Secrets Passed to Third-Party Action
The Vercel deployment examples use amondnet/vercel-action@v25 with Vercel secret values. This is legitimate automation, but the third-party action can access deployment credentials.
The YAML directly pairs a non-GitHub deployment action with Vercel secret names. It is a common deployment pattern, so the issue is supply-chain exposure rather than clear malicious intent.

補救措施

本次稽核記錄了建議的修復措施。實施這些措施是維護者的責任。

  1. FIX-001
    中
    Third-party deployment action receives Vercel secrets.
    Pin the action to a reviewed commit SHA or use the official Vercel CLI, and scope tokens to deployment only.
  2. FIX-002
    中
    Workflow examples omit explicit permissions.
    Add least-privilege permissions to each workflow, with read-only defaults and write scopes only for required jobs.
  3. FIX-003
    低
    Secret handling guidance is implicit.
    State that agents should reference secret names only and never request, print, or hardcode secret values.

專家證據

不可變主體身分、掃描器中繼資料、已排除的相符項目和原始碼層級證據。

Artifact 主體

Marketplace 提交
c579efd02184f1128d6741d16e6c8d951d7d4208
內容雜湊
2665323f4cef4a965116f81474eaf74a3cac98db1b491a7549c1ef2c1efd4a63
目錄樹雜湊
e62a798f61fac8cde50a7f2a3d5f4d1a99f507c437e94120b13910347ebe83cc
Skill 路徑
skills/doyajin174/ci-pipeline-setup
稽核承載資料雜湊
1886333ec2e42f89bd65943e8d0f0608

分析中繼資料

稽核模型: codex

分析狀態: 已完成

範圍僅限於已記錄的檔案、行數、方法和證據；本報告不聲稱進行了執行階段或沙箱執行。

驗證與匯出

JSON 報告 CITATION.cff SARIF 2.1.0 已簽署安裝清單 來源

manifest 和 lockfile 將安裝 artifact 綁定到加密雜湊。該完整性聲明獨立於安全評估。

稽核證明: not_attestable