スキル javascript-sdk

📦

javascript-sdk

Name: javascript-sdk
Author: inferen-sh

コンテンツリビジョン r2 高リスク ⚙️ 外部コマンド📁 ファイルシステムへのアクセス🔑 環境変数🌐 ネットワークアクセス⚡ スクリプトを含む

建置 inference.sh JavaScript SDK 應用程式

JavaScript 團隊需要清楚的模式來處理 AI 應用程式執行、代理程式、檔案、串流與前端安全性。此技能為 Node.js、TypeScript、React 與伺服器代理提供實用的 inference.sh SDK 指引。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

Maintain this Skill? Claim it ⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "javascript-sdk" from https://skillstore.io/skills/inferen-sh-javascript-sdk.md and its manifest at https://skillstore.io/api/skills/inferen-sh-javascript-sdk/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/inferen-sh-javascript-sdk.md 署名済み manifest GET /api/skills/inferen-sh-javascript-sdk/manifest 署名済み lockfile GET /api/skills/inferen-sh-javascript-sdk/lockfile

テストする

「javascript-sdk」を使用しています。為瀏覽器呼叫 inference.sh 建立安全的 Next.js 設定。

期待される結果:

一份後端代理計畫，包含伺服器端金鑰儲存、用戶端代理設定、驗證檢查、速率限制與部署注意事項。

「javascript-sdk」を使用しています。說明如何從長時間執行的圖片生成任務串流進度。

期待される結果:

一份逐步整合大綱，涵蓋串流選項、進度處理、日誌顯示、部分輸出處理與完成狀態。

「javascript-sdk」を使用しています。審查我的代理程式工具設計是否已具備正式環境可用性。

期待される結果:

一份檢查清單，涵蓋工具 schema、核准需求、祕密範圍、錯誤處理、稽核日誌與安全備援行為。

セキュリティ監査

高リスク

v5 • 2026/8/6 バージョン別レポートを開く

Most static matches are documentation syntax or legitimate SDK examples, including template literals, file operations, and server-side environment configuration. Confirmed risks include direct eval of agent input, an unpinned external skill install, broad package execution permissions, agent-callable webhooks, and a browser-exposed API key example.

スキャンされたファイル

3,961

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (1)

高

SKILL.md:4

Broad Package Execution Permission

The skill permits unrestricted npm, npx, node, pnpm, and yarn commands. These patterns can execute arbitrary packages and lifecycle scripts with the agent process permissions.

The allowed-tools frontmatter explicitly grants wildcard package-manager and Node command access. Those commands can execute downloaded code without a command-specific allowlist.

機能レビュー項目 (7)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

references/server-proxy.md:395

Generic API/secret keys

: { apiKey: process.env.NEXT_PUBLIC_INFERENCE_API_KEY })

The example places an inference API key in NEXT_PUBLIC_INFERENCE_API_KEY for direct browser use. Next.js exposes NEXT_PUBLIC values to client bundles, disclosing the credential.

高

references/tool-builder.md:240

Dynamic code evaluation with eval()

result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

高

references/tool-builder.md:387

Dynamic code evaluation with eval()

const result = eval(call.args.expression);

The example passes an agent-supplied expression directly to eval(). A crafted tool argument can execute arbitrary JavaScript in the host process.

高

SKILL.md:7

Ruby/shell backtick execution

> **Install the belt CLI skill:** `npx skills add belt-sh/cli`

Line 7 instructs users to run an unpinned npx command that installs the external belt-sh/cli skill. This creates package and skill supply-chain exposure.

中

references/tool-builder.md:159

Slack webhook

const slack = webhookTool('notify_slack', 'https://hooks.slack.com/services/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

中

references/tool-builder.md:360

Slack webhook

const slack = webhookTool('notify', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

中

SKILL.md:301

Slack webhook

const notify = webhookTool('slack', 'https://hooks.slack.com/...')

The example configures an agent-callable Slack webhook, creating a real outbound side effect and potential data disclosure path. The displayed endpoint is only a placeholder.

リスク要因

⚙️ 外部コマンド (50)

📁 ファイルシステムへのアクセス (16)

references/agent-patterns.md:153 references/agent-patterns.md:159 references/agent-patterns.md:166 references/agent-patterns.md:129 references/files.md:139 references/files.md:141 references/files.md:153 references/files.md:155 references/files.md:236 references/files.md:249 references/files.md:272 references/files.md:278 references/files.md:412 references/files.md:417 SKILL.md:352 SKILL.md:354

🔑 環境変数 (50)

🌐 ネットワークアクセス (26)

⚡ スクリプトを含む (4)

references/tool-builder.md:240 references/tool-builder.md:387 references/typescript.md:316 references/typescript.md:320

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg)](https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/inferen-sh-javascript-sdk?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/inferen-sh-javascript-sdk/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/inferen-sh-javascript-sdk.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

inferen-sh. (2026). javascript-sdk security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5

BibTeX形式の引用

@techreport{inferen-sh-inferen-sh-javascript-sdk-2026,
  author = {inferen-sh},
  title = {javascript-sdk security audit report (audit version 5)},
  institution = {Skillstore},
  year = {2026},
  number = {5},
  url = {https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "javascript-sdk security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
  - name: "inferen-sh"
date-released: "2026-08-06"
url: "https://skillstore.io/skills/inferen-sh-javascript-sdk/audits/5"
identifiers:
  - type: other
    value: "skillstore:inferen-sh-javascript-sdk:audit:5"
    description: "Skillstore immutable audit report identifier"

バリアントを比較

インストール可能なバリアント 2 件

各作者のスキルは個別のインストール項目として維持されます。推奨バリアントは Skillstore の証拠で順位付けされます。

このバリアントが首位の理由

Skillstore での利用が多い

作者 / ソース Skillstore スコア証拠の信頼度 Skillstore 利用状況更新済み

inferen-sh 推奨現在

inferen-sh-javascript-sdk

Skillstore スコア 38

証拠の信頼度中

Skillstore 利用状況 41

更新済み

2026-09-09

inference-sh-9

inference-sh-9-javascript-sdk

Skillstore スコア 38

証拠の信頼度中

Skillstore 利用状況 12

更新済み

2026-09-09

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

將 AI 應用程式加入 Node.js 服務

使用 SDK 執行 inference.sh 應用程式、管理任務狀態、串流進度，並在伺服器應用程式中處理錯誤。

建置安全的 React AI 功能

透過後端代理設定瀏覽器用戶端，讓 React 與 Next.js 應用程式能呼叫 inference.sh 而不暴露 API 金鑰。

建立代理程式工作流程

結合範本代理程式、自訂工具、檔案附件、工作階段與人工核准，以建立受控的代理程式體驗。

これらのプロンプトを試す

安裝 SDK

協助我將 @inferencesh/sdk 加入我的 Node.js 專案，並使用伺服器端 API 金鑰初始化用戶端。

執行應用程式

示範如何從 TypeScript 執行 inference.sh 應用程式、等待完成，並處理成功或失敗。

新增前端代理

為 inference.sh 設計 Next.js 代理路由，讓我的 React 用戶端永遠不會收到 API 金鑰。

設計代理程式工作流程

協助我建置 inference.sh 代理程式工作流程，包含具型別的工具、檔案附件、串流回應與人工核准閘門。

ベストプラクティス

將 inference.sh API 金鑰保存在受信任的伺服器或祕密管理器中，絕不要放入瀏覽器 bundle。
使用 TypeScript 型別處理任務狀態、工具參數與錯誤處理，以減少整合錯誤。
對會寫入檔案、呼叫 webhook 或執行程式碼的工具，要求核准並記錄稽核日誌。

回避

不要透過 NEXT_PUBLIC 環境變數或用戶端設定暴露正式環境 API 金鑰。
不要使用 eval() 或其他不受限制的程式碼執行方式來評估模型產生的工具參數。
未設定範圍化權限與使用者確認時，不要啟用廣泛的 webhook、檔案存取或程式碼執行。

よくある質問

這個技能涵蓋哪個套件？

它涵蓋適用於 JavaScript 與 TypeScript 專案的 @inferencesh/sdk 套件。

我可以搭配 React 或 Next.js 使用嗎？

可以。它包含瀏覽器用戶端模式與伺服器代理範例，以支援安全的前端整合。

它支援串流嗎？

可以。參考資料說明串流任務進度、日誌、部分輸出與代理程式訊息回呼。

它能處理檔案嗎？

可以。它記錄上傳、下載、緩衝區、串流、瀏覽器 File 物件與代理程式檔案附件。

這是完整的應用程式範本嗎？

不是。這是一個文件技能，提供可調整後放入你自己專案中的實作模式。

正式環境使用前應該審查什麼？

請審查 API 金鑰儲存、代理驗證、速率限制、webhook 權限、檔案存取與工具核准流程。

開発者情報

作成者

inferen-sh

ライセンス

MIT

Skillstore リビジョン

バージョンに関する注意

作者はバージョンを宣言していません。

リポジトリ

https://github.com/inferen-sh/skills/tree/main/sdk/javascript-sdk/

参照

4121de961d1b6f2ffca856260e239505c302452c

メンテナンスの新しさ

2026/8/7

利用状況

5 ダウンロード · 134 閲覧

ファイル構成

📁 references/

📄 agent-patterns.md

📄 files.md

📄 react-integration.md

📄 server-proxy.md

📄 sessions.md

📄 streaming.md

📄 tool-builder.md

📄 typescript.md

📄 SKILL.md