此報告尚無所請求語言的翻譯,目前顯示規範英文報告。

版本化安全評估

報告編號: SA-1C086D73

6/11/2026, 9:41:16 AM

git-guardrails-claude-code 安全評估 v1

Skill 安全認證報告

審計紀錄
稽核模型: claude 歷史報告
技能名稱
git-guardrails-claude-code
版本
v1
維護者
mattpocock
涵蓋範圍
2 已掃描檔案 · 122 分析行數
策略版本
無法使用

已確認問題摘要

未發現已確認的安全問題

已完成的稽核沒有記錄已確認的安全問題,但這不證明該 Skill 沒有副作用。

安裝情境

歷史證據

本報告可能無法描述目前可安裝的 artifact。請開啟目前的 Skill 詳情頁查看安裝建議。

開啟目前的 Skill 詳情頁

本報告不會阻止或授權 manifest 或 ZIP。

This is a defensive security skill that sets up Claude Code hooks to block dangerous git commands. The static analyzer flagged several patterns that are false positives: 'Ruby/shell backtick execution' findings are misidentified JSON template syntax in markdown documentation; 'Hidden file in home directory' findings reference the legitimate Claude Code config path ~/.claude/settings.json; and 'Weak cryptographic algorithm' was triggered by the word 'hard' in git reset --hard patterns. The shell script is a straightforward pattern-matching guardrail with no malicious intent. It only blocks commands and never executes any untrusted input.

報告位置

歷史報告

使用本報告安裝前,請先查看稽核歷史。

稽核證明

無法簽發證明

所需的不可變繫結不完整。

人工驗證

未進行人工驗證

本報告沒有人工作驗證記錄。

涵蓋範圍

2 已掃描檔案 · 122 分析行數

有 2 項內容需要查看

限制

本報告不聲稱已進行執行階段或沙箱執行,也不證明不存在副作用。

證據鏈

證據從來源綁定延伸至安裝契約。證據可用於驗證,但並非安全保證。

  1. 來源

    綁定不可用

  2. 構件

    身分資訊不完整

  3. 稽核

    已完成

  4. 安裝契約

    開啟 manifest 進行驗證

    開啟 manifest

觀察到的能力

「已觀察到」表示本報告記錄了支持證據;「未記錄」不證明該能力不存在。

包含腳本

可能執行 Skill 隨附的程式碼。

此次稽核未記錄

網路存取

可能連線至外部服務。

此次稽核未記錄

檔案系統存取

可能讀取或寫入本機檔案。

在 5 個證據位置觀察到

環境變數

可能讀取處理程序環境中的值。

此次稽核未記錄

外部命令

可能叫用 Skill 以外的命令或程式。

在 20 個證據位置觀察到

能力複核項目 (2)
中
Shell script with stdin input parsing
The block-dangerous-git.sh script reads from stdin and uses jq to parse tool input. While this is a legitimate hook pattern, the script does not validate or sanitize the input before pattern matching. This is by design for a guardrail hook, but the grep patterns are not anchored and could theoretically match unintended commands. Low practical risk since the script only reads and matches, never executes.
低
References to hidden config directories
Documentation references ~/.claude/settings.json for global Claude Code configuration. This is the standard Claude Code config path, not a suspicious location. False positive from the static analyzer.

風險問題

已確認的安全問題與仍需審核的項目分開顯示。

此次已完成的稽核未記錄已確認的安全發現。

專家證據

不可變主體身分、掃描器中繼資料、已排除的相符項目和原始碼層級證據。

Artifact 主體

Marketplace 提交
無法使用
內容雜湊
無法使用
目錄樹雜湊
無法使用
Skill 路徑
無法使用
稽核承載資料雜湊
無法使用

分析中繼資料

稽核模型: claude

分析狀態: 已完成

範圍僅限於已記錄的檔案、行數、方法和證據;本報告不聲稱進行了執行階段或沙箱執行。

驗證與匯出

manifest 和 lockfile 將安裝 artifact 綁定到加密雜湊。該完整性聲明獨立於安全評估。

稽核證明: not_attestable