中文 EN

Scan Report

Scan New Files

✓ Trusted — Risk Score 5/100
Last scan:2 days ago Rescan
5 /100
stock-earnings-review
东方财富业绩点评工具，面向沪深京港美上市公司生成财报分析
东方财富业绩点评工具，代码干净，无越权行为，API密钥通过环境变量读取且文档明确禁止硬编码，属正常业务技能。
Skill Namestock-earnings-review
Duration34.3s
Enginepi
✓
Safe to install
可安全使用。建议关注 httpx 无版本锁定的依赖风险（低危）。

Findings 2 items

Severity Finding Location
Low
httpx 依赖无版本锁定
SKILL.md 中安装依赖仅写 `pip3 install httpx`，未声明版本号，可能拉取有已知漏洞的旧版本 httpx。
pip3 install httpx --user
→ 建议改为 `pip3 install httpx>=0.27.0 --user`，锁定安全版本
 SKILL.md:97
Info
文档示例占位符非实际硬编码
预扫描标记 SKILL.md:79 的 API_KEY place holder，但这是文档示例，非代码中的真实密钥，仅为文档说明，不构成风险。
export EM_API_KEY="your_api_key_here"
→ 无需处理，属正常文档示例
 SKILL.md:79
ResourceDeclaredInferredStatusEvidence
Environment READ READ ✓ Aligned scripts/common.py:51 EM_API_KEY = os.environ.get("EM_API_KEY", "")
Network READ READ ✓ Aligned scripts/common.py:11-13 三个 eastmoney.com API
Filesystem WRITE WRITE ✓ Aligned scripts/common.py:119 base64.b64decode + write_bytes 写本地附件
1 High 4 findings
🔑
High API Key 疑似硬编码凭证
API_KEY="your_api_key_here"
SKILL.md:79
🔗
Medium External URL 外部 URL
https://ai-saas.eastmoney.com/proxy/entity/dialogTagsV2
scripts/common.py:11
🔗
Medium External URL 外部 URL
https://ai-saas.eastmoney.com/proxy/app-robo-advisor-api/assistant/write/choice/reportList
scripts/common.py:12
🔗
Medium External URL 外部 URL
https://ai-saas.eastmoney.com/proxy/app-robo-advisor-api/assistant/write/performance/comment
scripts/common.py:13

File Tree

6 files · 34.9 KB · 905 lines
Python 4f · 557L Markdown 2f · 348L
├─ ▾ 📁 scripts
│ ├─ 🐍 call_review_api.py Python 128L · 4.3 KB
│ ├─ 🐍 common.py Python 218L · 6.9 KB
│ ├─ 🐍 normalize_report_period.py Python 132L · 4.5 KB
│ └─ 🐍 validate_entity.py Python 79L · 2.6 KB
├─ 📝 BUSINESS_LOGIC.md Markdown 138L · 7.5 KB
└─ 📝 SKILL.md Markdown 210L · 9.2 KB

Dependencies 1 items

PackageVersionSourceKnown VulnsNotes
httpx * pip No 无版本锁定，建议指定最低版本

Security Positives

✓ 文档明确禁止硬编码凭证（"禁止在代码、提示词、日志或输出中硬编码或明文暴露密钥"）
✓ API密钥仅通过 os.environ 读取，无硬编码
✓ 无 shell/subprocess/exec/eval 等危险操作
✓ 所有网络请求均为 eastmoney.com 域名，无隐蔽境外通信
✓ base64 解码仅用于保存接口返回的 PDF/Word 附件，用途明确
✓ 无环境变量遍历收割、无敏感路径访问（~/.ssh/.aws/.env 均未触及）
✓ verify=False 跳过 HTTPS 证书验证（httpx），但仅用于对接东方财富内部接口，非攻击行为