📦
content-creator
88建立符合品牌一致性的行銷內容
行銷團隊需要能在各通路保持一致的內容。這項技能可協助規劃、撰寫、分析及最佳化內容，以符合品牌語調與 SEO。
寫作與內容 查看
技能 secrets-management
📦
secrets-management
內容修訂 r1 高風險 ⚙️ 外部命令🌐 網路存取🔑 環境變數
保護 CI/CD 機密
團隊經常透過日誌、原始碼控制或過於寬鬆的管線權限暴露機密。此技能可協助設計更安全的擷取、輪替、遮罩和掃描工作流程。
支援: Claude Codex Code(CC)
安裝前請停止並請求確認。
請審查安裝計畫，並在變更檔案前取得使用者明確同意。
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "secrets-management" from https://skillstore.io/skills/sickn33-secrets-management.md and its manifest at https://skillstore.io/api/skills/sickn33-secrets-management/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「secrets-management」。 審查使用 API 和資料庫憑證的 GitHub Actions 部署。
預期結果:
- 識別必須遮罩並限定於受保護環境的機密。
- 建議使用受管理的機密擷取，且不直接記錄值。
- 指出長期有效的雲端金鑰，並建議採用 OIDC 角色假設。
正在使用「secrets-management」。 規劃生產資料庫密碼的輪替流程。
預期結果:
- 定義輪替擁有權、時程、驗證和復原檢查。
- 區分機密更新、應用程式重新載入和舊憑證撤銷步驟。
- 為輪替失敗事件新增稽核記錄和警示。
正在使用「secrets-management」。 為儲存庫和 CI 建立機密掃描控制。
預期結果:
- 新增 pre-commit 和 CI 掃描檢查點。
- 說明失敗條件和開發者修復步驟。
- 建議定期掃描儲存庫歷史紀錄。
安全審計
高風險v5 • 2026/7/7 開啟版本化報告
Most external command and network findings are false positives caused by Markdown examples, code fences, or documentation endpoints. The audit confirms real security risks where examples print secrets to CI logs, rely on long-lived AWS credentials, or may persist secrets in Terraform state.
1
已掃描檔案
365
分析行數
8
複核項目
0
已忽略的誤報
已確認的安全問題 (3)
高
Secrets Printed In CI Logs
Several CI examples print API keys, database URLs, or production secrets with echo. This can expose credentials in workflow logs if copied into real pipelines.
The examples explicitly print secret-backed variables in CI job steps. Log exposure is a direct and well-understood credential leakage path.
高
Terraform State May Store Secrets
The Terraform example reads a database password from AWS Secrets Manager and assigns it to a database resource. Terraform state can retain that secret without extra controls.
The password value is used in a Terraform-managed resource attribute. Terraform state exposure is a common secret-management risk for this pattern.
中
Plaintext Secret Values In Commands
The examples include literal secret values and a Vault root token in command lines. Users may copy these patterns into shell history, process metadata, or shared documentation.
The values are examples, but the snippets teach passing secrets directly through commands. The surrounding text does not warn about shell history or replacing placeholders safely.
能力複核項目 (8)
這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。
高
AWS credential environment variables
aws-access-key-id: ${{ secrets.AWS_ACCESS_KEY_ID }}
The example configures GitHub Actions with a long-lived AWS access key from repository secrets. This is security-sensitive because OIDC role assumption is safer and limits credential exposure.
高
AWS credential environment variables
aws-secret-access-key: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
The example configures GitHub Actions with a long-lived AWS secret access key. This can expose durable cloud credentials if workflow permissions or secrets access are misconfigured.
高
Database connection strings
password = jsondecode(data.aws_secretsmanager_secret_version.db_password.secret_string)["
The Terraform example places a database password into a managed resource attribute. Terraform state can retain this secret unless state storage is encrypted and tightly restricted.
高
Database connection strings
echo "Database URL: ${{ secrets.DATABASE_URL }}"
The example prints a database URL secret with echo inside a CI job. Connection strings commonly contain credentials and should not be written to logs.
高
Database connection strings
- echo "Database: $DATABASE_URL"
The GitLab CI example echoes a database URL variable. Database URLs can contain usernames, passwords, and host details that should not appear in job logs.
高
Generic API/secret keys
echo "API Key: ${{ secrets.API_KEY }}"
The example prints a secret API key with echo inside a CI job. Directly logging secret values can expose credentials in build logs.
高
Generic API/secret keys
echo "Deploying with ${{ secrets.PROD_API_KEY }}"
The deployment example echoes a production API key reference. Even when CI masking exists, examples should not teach printing secret values during deployment.
高
Generic API/secret keys
- echo "Deploying with $API_KEY"
The GitLab CI example echoes an API key variable. This is a real log exposure risk if copied into a pipeline.
風險因素
⚙️ 外部命令 (40)
SKILL.md:70-83 SKILL.md:83-87 SKILL.md:87-112 SKILL.md:112-116 SKILL.md:116-129 SKILL.md:129-131 SKILL.md:131-137 SKILL.md:137-141 SKILL.md:141-145 SKILL.md:145-166 SKILL.md:166-170 SKILL.md:170-182 SKILL.md:182-188 SKILL.md:188-193 SKILL.md:193-197 SKILL.md:197-205 SKILL.md:205-207 SKILL.md:207-213 SKILL.md:213-218 SKILL.md:218-242 SKILL.md:242-269 SKILL.md:269-283 SKILL.md:283-323 SKILL.md:323-329 SKILL.md:329-342 SKILL.md:342-346 SKILL.md:346-353 SKILL.md:353-357 SKILL.md:357-358 SKILL.md:358-362 SKILL.md:362-363 SKILL.md:363-364 SKILL.md:125 SKILL.md:126 SKILL.md:155-158 SKILL.md:334 SKILL.md:116-129 SKILL.md:145-166 SKILL.md:329-342 SKILL.md:330
🌐 網路存取 (5)
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/sickn33-secrets-management/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/sickn33-secrets-management?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/sickn33-secrets-management?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-secrets-management/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/sickn33-secrets-management.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
sickn33. (2026). secrets-management security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-secrets-management/audits/5BibTeX 引用
@techreport{sickn33-sickn33-secrets-management-2026,
author = {sickn33},
title = {secrets-management security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-secrets-management/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "secrets-management security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/sickn33-secrets-management/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-secrets-management:audit:5"
description: "Skillstore immutable audit report identifier"
比較變體
2 個可安裝變體每位作者的技能都保留為獨立的可安裝項目。推薦變體依 Skillstore 證據排序。
為何此變體排名第一
Skillstore 使用量較高
Skillstore 評分
評分依據 證據置信度: 中 55
架構
85
可維護性
87
內容
69
社群
83
規範符合度
你可以打造什麼
強化部署管線
設計只在受保護的部署步驟中擷取機密的 CI/CD 流程。
審查機密處理控制
檢查管線是否正確遮罩、限定範圍、輪替和稽核憑證。
標準化平台整合
為 Vault、AWS Secrets Manager 和 Kubernetes 機密交付建立可重複使用的模式。
試試這些提示
盤點管線機密
列出此管線使用的機密、其擁有者、輪替需求，以及每個值應儲存的位置。
新增受管理的機密擷取
更新此部署計畫，讓 GitHub Actions 從 Vault 擷取機密，且不列印機密值。
設計輪替工作流程
為具有復原和稽核需求的資料庫憑證設計 AWS Secrets Manager 輪替工作流程。
稽核機密暴露路徑
審查此 Terraform 和 Kubernetes 機密流程是否存在 state 暴露、日誌暴露和權限過寬問題。
最佳實務
- 優先使用如 OIDC 這類短期有效的身分型存取，而非長期有效的靜態雲端金鑰。
- 遮罩機密值，且絕不在日誌中列印憑證或連線字串。
- 依環境分隔機密，並為每個機密存放區啟用稽核日誌。
避免
- 將真實機密、權杖或可重複使用的範例值提交到原始碼控制。
- 將生產環境機密複製到 CI 日誌、建置成品或議題留言中。
- 授予每個分支、job 或部署步驟過於寬鬆的機密存放區權限。
常見問題
此技能會儲存或擷取我的機密嗎？
否。它提供外部機密存放區的實作指引和範例。
它討論哪些機密後端？
它涵蓋 Vault、AWS Secrets Manager、Azure Key Vault、Google Secret Manager、GitHub Secrets 和 GitLab variables。
我可以將它用於生產管線嗎？
可以，在依你的 IAM、網路、稽核和核准需求調整範例之後即可。
它包含輪替指引嗎？
有。它概述自動和手動輪替步驟，包括驗證和舊機密撤銷。
它能防止機密外洩嗎？
否。它會建議控制措施，但你的 CI 系統和機密存放區必須強制執行這些措施。
使用前我應該審查什麼？
審查日誌輸出、雲端身分、Terraform state 保護、機密路徑和分支保護。
開發者詳細資訊
作者
sickn33授權
MIT
Skillstore 修訂
r1
版本提示
作者未聲明版本。
引用
9f814fc6a43fd99946f2da5e0df231c65a38bc76
維護新鮮度
2026/7/21
使用量
6 次下載 · 111 次瀏覽
檔案結構
📄 SKILL.md
sickn33 的更多技能
查看全部📦
prompt-engineering-patterns
85以經實證的模式改善 LLM 提示詞
不一致的提示詞會浪費時間，並讓 AI 輸出難以信任。此技能透過可重複使用的模式、範例、評估步驟和最佳化工作流程來指引提示詞設計。
效率 查看
📦
senior-architect
81設計可擴展的軟體架構
在 web、mobile、backend 和 cloud 系統之間比較架構決策並不容易。此技能提供結構化指南與本機 scaffold scripts，用於報告、依賴項審查和取捨文件。
程式開發 查看
📦
senior-fullstack
81以資深級模式建置全端應用程式
團隊需要一致的設定、架構與審查指引，來打造現代 Web 應用程式。此技能為 React、Next.js、Node.js、GraphQL 和 PostgreSQL 專案提供 scaffolders、工作流程參考與品質提示。
程式開發 查看
📦
prompt-engineer
81使用 Prompt Engineer 優化 AI 提示詞
當目標模糊或複雜時，要寫出清楚的提示詞並不容易。此技能會運用經驗證的提示詞框架，將粗略請求轉化為結構化提示詞。
效率 查看
📦
product-manager-toolkit
80運用研究洞察排定產品工作的優先順序
產品團隊需要更快速的方法來排序功能、綜合訪談內容並記錄決策。此技能提供 RICE 評分、訪談分析和 PRD 範本，用於結構化規劃。
效率 查看
相關技能
查看全部📦
secret-scanner
77偵測程式碼中曝露的機密
由 CuriousLearner
外洩的憑證可能讓攻擊者存取雲端帳戶、資料庫和支付系統。此技能可協助 Claude、Codex 和 Claude Code 找出可能的機密，並產出清楚的修復步驟。
安全與法遵 查看
📦
DevOps & Quality
76改善 DevOps 品質關卡
由 AbdulSamad94
團隊在發布前需要一致的 linting、型別檢查與 CI 習慣。此 skill 提供 ESLint、提交、CI、測試與 secrets 處理的精簡標準。
DevOps 與基礎設施 查看
📦
testing
85建構可靠的測試自動化
由 89jobrien
薄弱的測試會拖慢發布並掩蓋回歸問題。此技能可引導測試策略、TDD、自動化、覆蓋率審查，以及 Playwright 網頁檢查。
程式開發 查看
📦
testing-patterns
81在整個程式碼庫中規劃可靠測試
由 0xDarkMatter
這項技能協助團隊選擇測試策略、mock、資料 fixture、覆蓋率 gate 和 CI 模式，而不混淆測試範圍。它為 Claude、Codex 和 Claude Code 提供針對單元、整合、端對端、TDD 與管線測試的結構化指引。
程式開發 查看
📦
senior-devops
81自動化 DevOps 管線與部署
由 alirezarezvani
DevOps 工作通常需要可重複的管線、基礎架構與部署模式。此技能提供 CI/CD、IaC、部署與營運審查的腳本和參考指南。
DevOps 與基礎設施 查看
📦
devops-orchestrator
79協調 DevOps 交付
由 Brownbull
DevOps 工作通常橫跨管線、基礎架構、監控與部署決策。此技能會將這些任務整理成檢查清單、交接事項與推出計畫。
DevOps 與基礎設施 查看