此報告尚無所請求語言的翻譯，目前顯示規範英文報告。

版本化安全評估

報告編號: SA-C82560F0

10/27/2026, 2:25:14 AM

feeling-search 安全評估 v2

Skill 安全認證報告

審計紀錄
掃描器版本 3.0.0 稽核模型: codex 歷史報告
技能名稱
feeling-search
版本
v1.0.2
維護者
xixi048
來源
github.com/xixi048/feeling-search-skill/tree/e1f69931a1416ba91897ac66488d137d208729db/skills/feeling-search
涵蓋範圍
3 已掃描檔案 · 869 分析行數
策略版本
skillstore-security-audit-policy-v1

已確認問題摘要

未發現已確認的安全問題

已完成的稽核沒有記錄已確認的安全問題，但這不證明該 Skill 沒有副作用。

安裝情境

歷史證據

本報告可能無法描述目前可安裝的 artifact。請開啟目前的 Skill 詳情頁查看安裝建議。

開啟目前的 Skill 詳情頁

本報告不會阻止或授權 manifest 或 ZIP。

Most alerts are false positives involving Markdown backticks, Chinese documentation, ordinary indexing, and expected cache operations. Confirmed risks involve quota-token forwarding across redirects and an endpoint override that permits plaintext HTTP. No evidence found of malware, prompt injection, or unrelated credential collection.

報告位置

歷史報告

使用本報告安裝前，請先查看稽核歷史。

稽核證明

證明已被替代

已有更新的證明。

人工驗證

未進行人工驗證

本報告沒有人工作驗證記錄。

涵蓋範圍

3 已掃描檔案 · 869 分析行數

有 3 項內容需要查看

限制

本報告不聲稱已進行執行階段或沙箱執行，也不證明不存在副作用。

證據鏈

證據從來源綁定延伸至安裝契約。證據可用於驗證，但並非安全保證。

  1. 來源

    已綁定 commit 與路徑

  2. 構件

    已綁定內容與 tree hash

  3. 稽核

    已完成

  4. 安裝契約

    開啟 manifest 進行驗證

    開啟 manifest

觀察到的能力

「已觀察到」表示本報告記錄了支持證據；「未記錄」不證明該能力不存在。

包含腳本

可能執行 Skill 隨附的程式碼。

此次稽核未記錄

網路存取

可能連線至外部服務。

在 9 個證據位置觀察到

檔案系統存取

可能讀取或寫入本機檔案。

在 5 個證據位置觀察到

環境變數

可能讀取處理程序環境中的值。

在 4 個證據位置觀察到

外部命令

可能叫用 Skill 以外的命令或程式。

在 50 個證據位置觀察到

能力複核項目 (3)
中
scripts/fs_api.py:110
Python HTTP libraries
with urllib.request.urlopen(req, timeout=TIMEOUT) as resp:
Authenticated style and image requests reach this urlopen with X-FS-Quota as a regular header. Default redirects can forward that credential across origins or to HTTP.
中
scripts/fs_api.py:135
Python HTTP libraries
with urllib.request.urlopen(req, timeout=TIMEOUT) as resp:
Cloud analysis supplies X-FS-Quota as a regular header before this urlopen. Default POST redirects can forward that credential to a different origin.
中
scripts/fs_api.py:76
Python environment access
return (os.environ.get("FS_API_BASE") or DEFAULT_BASE).rstrip("/")
FS_API_BASE is accepted without HTTPS validation and feeds authenticated requests. A plaintext HTTP override exposes the quota token and cloud input to network interception.

風險問題

已確認的安全問題與仍需審核的項目分開顯示。

此次已完成的稽核未記錄已確認的安全發現。

補救措施

本次稽核記錄了建議的修復措施。實施這些措施是維護者的責任。

  1. FIX-001
    中
    Default urllib redirect handling can forward X-FS-Quota to another host or an HTTP destination.
    Reject redirects for authenticated requests, or permit only same-origin HTTPS redirects and strip quota tokens before any origin change.
  2. FIX-002
    中
    FS_API_BASE accepts plaintext HTTP endpoints for requests carrying quota tokens and cloud input.
    Validate the endpoint scheme before requests and require HTTPS when transmitting credentials or input; document trust requirements for custom hosts.

專家證據

不可變主體身分、掃描器中繼資料、已排除的相符項目和原始碼層級證據。

Artifact 主體

Marketplace 提交
c82560f0cf96396644b967b13dece3f27c3f8ddc
內容雜湊
0b545025b03cad1575b7bbc68b43345919912ef39e089f1731da7b7f5a2b4015
目錄樹雜湊
59f5a31675792c4c53a868ee1751eefe4da75424da366702d405a36bec5fb2f9
Skill 路徑
skills/xixi048/feeling-search
稽核承載資料雜湊
2d7cd7f3d8a1b494d031f23191912225

分析中繼資料

稽核模型: codex

分析狀態: 已完成

範圍僅限於已記錄的檔案、行數、方法和證據；本報告不聲稱進行了執行階段或沙箱執行。

驗證與匯出

JSON 報告 已簽署稽核證明 CITATION.cff SARIF 2.1.0 已簽署安裝清單 來源

manifest 和 lockfile 將安裝 artifact 綁定到加密雜湊。該完整性聲明獨立於安全評估。

稽核證明: superseded