スキル doc-sync-tool
📦
doc-sync-tool
コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド📁 ファイルシステムへのアクセス
同步 AI 代理文件
團隊通常會為 Claude、Codex 和其他代理維護不同的指令檔案。此技能透過手動同步、監看模式和輔助腳本，讓這些檔案保持一致。
対応: Claude Codex Code(CC)
インストール前に停止して確認を求めてください。
計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "doc-sync-tool" from https://skillstore.io/skills/zhanlincui-doc-sync-tool.md and its manifest at https://skillstore.io/api/skills/zhanlincui-doc-sync-tool/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「doc-sync-tool」を使用しています。 同步只有一個資料夾中含有 CLAUDE.md 的專案。
期待される結果:
工具會回報一個相符資料夾，使用 CLAUDE.md 作為來源，並建立內容相同的 AGENTS.md 和 GEMINI.md。
「doc-sync-tool」を使用しています。 啟動監看模式並編輯 AGENTS.md。
期待される結果:
監看器會記錄已變更的檔案，重新掃描該目錄，並在 CLAUDE.md 和 GEMINI.md 內容不同時更新它們。
「doc-sync-tool」を使用しています。 從儲存庫根目錄執行大寫重新命名輔助工具。
期待される結果:
相符的舊版檔名會重新命名為大寫版本，且腳本會列印已重新命名檔案的數量。
セキュリティ監査
高リスクv5 • 2026/7/8 バージョン別レポートを開く
Most static alerts are false positives from Markdown examples, JavaScript template literals, ANSI color codes, and hardcoded helper commands. Confirmed risks involve local file writes, watch-triggered synchronization, predictable test temporary paths, and unreviewed propagation of AI agent instruction files. No prompt injection attempt, network access, or credential exfiltration was found in the reviewed files.
13
スキャンされたファイル
1,747
解析済み行数
8
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (2)
高
Unreviewed Agent Instruction Overwrite
The sync logic selects the newest AGENTS.md, CLAUDE.md, or GEMINI.md file and writes its content to companion files without a diff, backup, or confirmation. This can propagate malicious or mistaken agent instructions across tools.
The code explicitly sorts by modification time and writes source content into other agent files. Watch mode automatically triggers the same sync path after file changes.
中
Broad Recursive Project Modification Scope
The tool scans from the current working directory or a wrapper-selected target directory, then recursively processes matching files. Running it from a broad parent directory can modify many projects unexpectedly.
CONFIG.scanPath is process.cwd(), scanDirectory recurses through child directories, and run-sync.sh changes into a caller-provided target before running sync.js.
機能レビュー項目 (8)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
中
Node.js fs operations
fs.renameSync(file, newPath);
fs.renameSync renames every discovered Agents.md file under the current tree and can overwrite AGENTS.md without a prompt. This is an intended helper, but it creates real data-integrity risk.
中
Node.js fs operations
fs.renameSync(file, newPath);
fs.renameSync renames every discovered Gemini.md file under the current tree and can overwrite GEMINI.md without a prompt. This is an intended helper, but it creates real data-integrity risk.
中
Node.js fs operations
fs.writeFileSync(targetFilePath, content, 'utf8');
writeFileSync overwrites an existing target agent file when content differs from the selected newest source. There is no diff, backup, or confirmation gate.
中
Node.js fs operations
fs.writeFileSync(targetFilePath, content, 'utf8');
writeFileSync creates missing agent instruction files from the selected source content. This modifies the repository automatically and can propagate unwanted instructions.
中
Synchronous file operations
fs.writeFileSync(targetFilePath, content, 'utf8');
The synchronous write overwrites an existing target agent file without review. The risk is the write behavior, not the synchronous API choice.
中
Synchronous file operations
fs.writeFileSync(targetFilePath, content, 'utf8');
The synchronous write creates target agent files automatically without approval. This can spread incorrect or malicious instruction content.
中
Temp directory access
TEST_DIR="/tmp/doc-sync-test-$(date +%s)"
The test script uses a predictable /tmp path based on the current timestamp and later removes it recursively. This is test-only, but predictable temp paths are unsafe on shared systems.
中
File system watching
const watcher = fs.watch(dir, { recursive: true }, (eventType, filename) => {
fs.watch monitors the project tree and triggers synchronization on matching file changes. Persistent automatic sync increases the chance of unreviewed overwrites.
リスク要因
⚙️ 外部コマンド (69)
EXAMPLES.md:23-24 EXAMPLES.md:24-27 EXAMPLES.md:27-28 EXAMPLES.md:28-34 EXAMPLES.md:392-394 EXAMPLES.md:254 README.md:230 rename-quick.js:5 rename-quick.js:14 rename-quick.js:33 rename-quick.js:25 rename-quick.js:44 rename-quick.js:51 rename-to-uppercase.sh:14 rename-to-uppercase.sh:22 rename-to-uppercase.sh:1 run-sync.sh:6 run-sync.sh:7 run-sync.sh:1 run-watch.sh:6 run-watch.sh:7 run-watch.sh:1 SKILL.md:10 SKILL.md:29-32 SKILL.md:32-36 SKILL.md:36-42 SKILL.md:42-46 SKILL.md:46-52 SKILL.md:52-56 SKILL.md:56-65 SKILL.md:65-69 SKILL.md:69 SKILL.md:78-80 SKILL.md:80-86 SKILL.md:86-90 SKILL.md:90 SKILL.md:98-100 SKILL.md:100-106 SKILL.md:106-109 sync.js:25 sync.js:60 sync.js:69 sync.js:75 sync.js:94 sync.js:97 sync.js:102 sync.js:108 sync.js:110 sync.js:115 sync.js:123 sync.js:124 sync.js:136 sync.js:147 sync.js:148 sync.js:149 sync.js:150 test.sh:8 test.sh:9 test.sh:76 test.sh:78 test.sh:1 watch.js:21 watch.js:50 watch.js:78 watch.js:90 watch.js:101 watch.js:111 watch.js:112 watch.js:113
📁 ファイルシステムへのアクセス (31)
EXAMPLES.md:121 EXAMPLES.md:122 EXAMPLES.md:154 QUICKSTART.md:82 QUICKSTART.md:83 QUICKSTART.md:84 QUICKSTART.md:85 rename-quick.js:24 rename-quick.js:43 rename-quick.js:7 rename-quick.js:14 rename-quick.js:33 rename-to-uppercase.sh:18 rename-to-uppercase.sh:26 sync.js:31 sync.js:79 sync.js:90 sync.js:93 sync.js:101 sync.js:53 sync.js:79 sync.js:90 sync.js:93 sync.js:101 test.sh:26 test.sh:36 test.sh:48 test.sh:64 test.sh:77 test.sh:9 watch.js:63
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/zhanlincui-doc-sync-tool/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/zhanlincui-doc-sync-tool?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/zhanlincui-doc-sync-tool?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/zhanlincui-doc-sync-tool/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/zhanlincui-doc-sync-tool.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
ZhanlinCui. (2026). doc-sync-tool security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/zhanlincui-doc-sync-tool/audits/5BibTeX形式の引用
@techreport{zhanlincui-zhanlincui-doc-sync-tool-2026,
author = {ZhanlinCui},
title = {doc-sync-tool security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/zhanlincui-doc-sync-tool/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "doc-sync-tool security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "ZhanlinCui"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/zhanlincui-doc-sync-tool/audits/5"
identifiers:
- type: other
value: "skillstore:zhanlincui-doc-sync-tool:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 中 55
アーキテクチャ
85
保守性
87
コンテンツ
71
コミュニティ
83
仕様準拠
作成できるもの
讓代理指令保持一致
在共享專案資料夾中維持一致的 AGENTS.md、CLAUDE.md 和 GEMINI.md 指引。
初始化新專案文件
建立一個指令檔案，並為其他 AI 程式設計工具產生對應檔案。
自動化儲存庫維護
在提交或建置前執行同步，讓代理文件保持最新。
これらのプロンプトを試す
執行手動同步
Use doc-sync-tool to synchronize agent instruction files in this repository. Show which files would be affected before running commands.
設定監看模式
Configure doc-sync-tool watch mode for my current project and explain how to stop it safely.
自訂檔名
Update doc-sync-tool so it also synchronizes our custom agent instruction file. Keep the existing exclusions.
自動化前稽核
Review this repository for safe doc-sync-tool integration. Recommend a Git hook or CI step with rollback precautions.
ベストプラクティス
- 從範圍較小的專案根目錄執行，並在每次同步後檢視 Git 變更。
- 首次使用前，先備份或提交現有的指令檔案。
- 只有在可接受自動覆寫時才使用監看模式。
回避
- 不要從家目錄或範圍很廣的工作區根目錄執行。
- 當每個 AI 工具需要不同指令時，不要使用它。
- 當衝突編輯需要人工審查時，不要依賴修改時間。
よくある質問
此技能會同步哪些檔案？
目前的腳本目標是 AGENTS.md、CLAUDE.md 和 GEMINI.md。
它會將檔案傳送到網路服務嗎？
未發現執行階段網路行為。此工具在本機檔案上運作。
它會覆寫現有內容嗎？
會。它會將最新目標檔案內容複製到其他已設定的檔案。
我可以變更目標檔名嗎？
可以。目標檔案清單定義在 sync.js 的 CONFIG 物件中。
監看模式會一直執行嗎？
會。監看模式會持續執行直到停止，通常使用 Ctrl+C 或程序管理器停止。
這對 marketplace 使用安全嗎？
它可以發布，但需要附上警告，因為它會在本機檔案系統中執行廣泛寫入。