技能 stripe-projects
📦
stripe-projects
內容修訂 r1 高風險 ⚙️ 外部命令🌐 網路存取
透過 Stripe Projects 佈建服務
開發人員經常需要資料庫、身分驗證、託管和 API 認證資料，同時不離開其編碼工作流程。此技能會引導 Claude、Codex 和 Claude Code 完成 Stripe Projects CLI 佈建步驟。
支援: Claude Codex Code(CC)
安裝前請停止並請求確認。
請審查安裝計畫，並在變更檔案前取得使用者明確同意。
使用我的智慧代理安裝
將此請求複製給你的智慧代理，其中包含權威 Skill 頁面和清單。
智能體請求
Review the Skillstore skill "stripe-projects" from https://skillstore.io/skills/stripe-stripe-projects.md and its manifest at https://skillstore.io/api/skills/stripe-stripe-projects/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.你的智慧代理仍應顯示其計畫，並依安全政策請求必要確認。
Agent 可讀資源
當 AI Agent、爬蟲或腳本需要乾淨脈絡、而不是讀取完整頁面時，請使用這些連結。
測試它
正在使用「stripe-projects」。 我需要一個用於原型的資料庫。
預期結果:
此技能會搜尋目錄、確認可用的資料庫提供者、視需要初始化專案，並新增所選服務。
正在使用「stripe-projects」。 哪些服務已經連線？
預期結果:
此技能會檢查專案狀態，並只回報提供者名稱、服務類型、方案層級和環境變數名稱。
正在使用「stripe-projects」。 我需要電子郵件提供者的 API 金鑰。
預期結果:
此技能會在目錄中搜尋電子郵件提供者，並啟動已核准的佈建或連結流程。
安全審計
高風險v5 • 2026/7/7 開啟版本化報告
Most Markdown backtick detections are false positives because they mark examples, tables, or fixed CLI commands. Real risks remain around package and plugin installation, project initialization, user-controlled CLI arguments, sensitive environment files, and a handoff to a locally installed skill. No prompt injection attempt was found in SKILL.md.
1
已掃描檔案
133
分析行數
9
複核項目
0
已忽略的誤報
已確認的安全問題 (2)
高
Environment file access
Only inspect `.projects/` or `.env` directly if the user explicitly asks you to — the CLI is authori
The line permits direct inspection of .projects or .env when the user asks. Those files may contain credentials, so outputs need strict redaction.
高
Unaudited Local Skill Handoff
The skill says project initialization installs stripe-projects-cli under .claude/skills, then tells the agent to invoke that local skill. That follow-on skill is not included in this marketplace report, so later instructions may be unaudited.
The handoff is explicit in SKILL.md and it changes the instruction set used after initialization. I did not inspect the generated local skill because it is not part of the provided static analysis.
能力複核項目 (9)
這些是真實的本機能力，對此技能而言可能是預期行為，因此需要複核，但不會按已確認的惡意行為計分。
高
Ruby/shell backtick execution
If `OK`: use the locally-installed `stripe-projects-cli` skill (invoke using the Skill tool with nam
The line tells the agent to invoke a locally installed skill. That skill is outside this audited package and can alter later agent behavior.
中
Ruby/shell backtick execution
- **macOS (Homebrew):** `brew install stripe/stripe-cli/stripe` (or `brew upgrade stripe/stripe-cli/
The skill tells the agent to install or upgrade the Stripe CLI with Homebrew. Package installation changes the host and fetches software from outside the workspace.
中
Ruby/shell backtick execution
```bash
The skill tells the agent to install the Stripe Projects plugin. Installing CLI plugins changes local tooling and executes third-party distributed code.
中
Ruby/shell backtick execution
```bash
The command accepts a user-provided query placeholder. If an agent constructs it without quoting or validation, shell metacharacters in the query could be interpreted.
中
Ruby/shell backtick execution
```bash
The skill instructs stripe projects init --yes, which mutates local project state and may trigger authentication. It should require explicit user consent.
中
Ruby/shell backtick execution
```
The surrounding block documents that initialization may open a browser and install a local skill. Those side effects are real even though the matched token is a fence.
中
Ruby/shell backtick execution
**Important:** `stripe projects init` installs the `stripe-projects-cli` skill locally at `.claude/s
The line states that initialization installs a local skill under .claude/skills. Adding executable agent instructions to the workspace is a security-relevant side effect.
中
Ruby/shell backtick execution
If `MISSING`: re-run `stripe projects init --yes` — the skill is bundled with the Projects plugin an
The line tells the agent to rerun project initialization when the local skill is missing. That repeats a state-changing command and skill installation path.
中
Ruby/shell backtick execution
| `PROVIDER_NOT_LINKED` | Provider requires OAuth linking | Run `stripe projects link <provider>` —
The recovery command can start provider OAuth linking and may open a browser. It links external accounts and should require explicit user confirmation.
風險因素
⚙️ 外部命令 (32)
SKILL.md:36-38 SKILL.md:38-42 SKILL.md:42 SKILL.md:47-49 SKILL.md:49-55 SKILL.md:55-57 SKILL.md:57-59 SKILL.md:59-63 SKILL.md:63-65 SKILL.md:65-71 SKILL.md:71-73 SKILL.md:73-77 SKILL.md:77-79 SKILL.md:79-85 SKILL.md:85 SKILL.md:91-93 SKILL.md:93-95 SKILL.md:95 SKILL.md:97 SKILL.md:105-106 SKILL.md:106-107 SKILL.md:107-108 SKILL.md:108-110 SKILL.md:110-114 SKILL.md:114 SKILL.md:118-119 SKILL.md:119-120 SKILL.md:120-121 SKILL.md:121-123 SKILL.md:123 SKILL.md:129 SKILL.md:130
🌐 網路存取 (2)
審計單位: codex 檢視審計紀錄 →
分享與引用此報告
分享版本化評估報告、中性徽章、嵌入卡片與引用。Skillstore 只報告證據，不判斷該 Skill 是否安全。
複製報告連結
https://skillstore.io/skills/stripe-stripe-projects/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdown 徽章
[](https://skillstore.io/skills/stripe-stripe-projects?utm_source=security_passport_badge)HTML 徽章
<a href="https://skillstore.io/skills/stripe-stripe-projects?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/stripe-stripe-projects/security.svg" alt="Skillstore security assessment" loading="lazy"></a>嵌入卡片
<iframe src="https://skillstore.io/embed/skills/stripe-stripe-projects.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>學術引用 (APA · BibTeX · CFF)
APA 引用
stripe. (2026). stripe-projects security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/stripe-stripe-projects/audits/5BibTeX 引用
@techreport{stripe-stripe-stripe-projects-2026,
author = {stripe},
title = {stripe-projects security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/stripe-stripe-projects/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "stripe-projects security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "stripe"
date-released: "2026-07-07"
url: "https://skillstore.io/skills/stripe-stripe-projects/audits/5"
identifiers:
- type: other
value: "skillstore:stripe-stripe-projects:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore 評分
評分依據 證據置信度: 中 55
架構
85
可維護性
85
內容
67
社群
83
規範符合度
你可以打造什麼
新增應用程式基礎架構
從 Stripe Projects 目錄佈建資料庫、快取、身分驗證提供者或託管服務。
檢查專案設定
檢查已初始化的專案狀態，並列出環境變數名稱，而不暴露祕密值。
建置 AI 服務堆疊
尋找 LLM 存取、向量儲存、物件儲存、搜尋和電子郵件寄送的提供者。
試試這些提示
瀏覽可用服務
請顯示 Stripe Projects 目錄，並為此應用程式建議資料庫選項。
新增所需基礎架構
使用 Stripe Projects 將 Postgres 和 Redis 新增至此專案。只顯示環境變數名稱。
佈建 AI 堆疊
尋找 LLM、向量資料庫、物件儲存和電子郵件寄送的提供者。佈建前先比較可用選項。
復原專案設定
檢查我的 Stripe Projects 狀態，確認本機 CLI 技能可用，並診斷任何提供者連結錯誤。
最佳實務
- 在要求代理程式繼續之前，先完成瀏覽器驗證。
- 要求提供環境變數名稱，而不是祕密值。
- 在佈建付費服務前，確認提供者選擇和方案層級。
避免
- 不要要求代理程式列印 .env 祕密值。
- 不要在未確認成本、區域和方案層級的情況下佈建服務。
- 不要手動編輯 .projects 或產生的環境檔案。
常見問題
此技能會建立雲端資源嗎？
可以。它可以執行 Stripe Projects CLI 流程，以佈建或連接支援的第三方服務。
沒有 Stripe CLI 也能運作嗎？
不會。此技能需要 Stripe CLI 和 Projects plugin，才能繼續佈建。
它可以擷取 API 認證資料嗎？
它可以協助設定環境變數，但回應應只顯示名稱。祕密值應保持遮蔽。
它可以瀏覽服務目錄嗎？
可以。它可以在選擇提供者前搜尋或瀏覽 Stripe Projects 目錄。
需要驗證時會發生什麼事？
CLI 可能會開啟瀏覽器。使用者必須先完成登入，代理程式才能繼續。
它與 Claude、Codex 和 Claude Code 相容嗎？
可以。報告列出 Claude、Codex 和 Claude Code 為支援的工具。