# Skill 安全与风险审查清单

对每个收集到的 Skill，先判断类型，再按对应层级检查。每项标 pass / warn / fail。

## 分层检查规则

| Skill 类型 | 检查范围 |
|-----------|---------|
| `guide-only` | 1、3、6（凭证、网络、提示词注入） |
| `script-bundled` | 1–6（加注入、文件、依赖） |
| `api-dependent` / `mcp-dependent` | 1–6（外部依赖重点看网络与依赖安全） |
| `browser-automation` / `hybrid` | 全部 1–8 |

## 1. 凭证泄露

- [ ] SKILL.md 或附属文件是否硬编码 API key / token / 密码
- [ ] 脚本是否包含明文凭证
- [ ] 是否夹带 `.env` 文件

## 2. 命令注入风险

- [ ] 脚本是否把用户输入未转义拼进 shell 命令
- [ ] 是否用 `eval()` / `exec()` / `os.system()` 处理不可信输入
- [ ] Bash 变量是否加引号

## 3. 网络行为

- [ ] 是否有未说明的外部 HTTP 请求
- [ ] 是否把用户数据发往第三方服务
- [ ] 外部 API 依赖是否为已知可信服务

## 4. 文件系统操作

- [ ] 是否写入用户未预期的路径
- [ ] 是否有删除/覆盖操作未做确认
- [ ] 是否读取敏感路径（~/.ssh、~/.aws、~/.claude 等）

## 5. 依赖安全

- [ ] 依赖的包是否为已知、活跃维护的项目
- [ ] 是否 pin 了版本号
- [ ] 是否有可疑的 postinstall 脚本

## 6. 提示词注入

- [ ] SKILL.md 是否试图覆盖系统提示词
- [ ] 是否有隐藏指令（不可见字符、注释里的指令）
- [ ] 是否试图绕过安全限制

## 7. 浏览器自动化风险

- [ ] 是否操作用户 cookie / session
- [ ] 是否在用户不知情时访问网站或提交表单
- [ ] 截图/录屏是否可能泄露敏感信息

## 8. 平台合规与发布风险（涉及内容发布的 Skill）

- [ ] 发布方式：官方 API / 浏览器自动化 / 手动
- [ ] 平台反自动化策略（限流、降权、封号）风险
- [ ] 批量发布是否有频率控制
- [ ] 建议评级：推荐 / 谨慎使用 / 高风险

常见平台风险参考：

| 平台 | API 发布风险 | 浏览器自动化风险 |
|-----|------------|----------------|
| 小红书 | 无官方 API，高风险 | 中（反爬较强） |
| 微信公众号 | 官方 API 可用，低 | 低（方案成熟） |
| Twitter / X | API 限流严格，中 | 高（anti-bot 强） |
| 抖音 / TikTok | 无官方 API，高风险 | 高（反爬极强） |
| LinkedIn | API 受限，中 | 高（封号风险） |

## 风险等级判定

| 等级 | 条件 |
|-----|------|
| `safe` | 全部 pass |
| `caution` | 有 warn 但无 fail |
| `danger` | 有任何 fail |
