中文 EN

扫描报告

扫描新文件

⚠ 低风险 — 风险评分 20/100
上次扫描：2 天前 重新扫描
20 /100
initiation_of_coverage_or_deep_dive
依托东方财富数据库，生成上市公司首次覆盖报告或深度研究报告
EastMoney 上市公司研究报告生成技能，功能正常，未发现明确恶意行为，存在轻微文档缺失问题。
技能名称initiation_of_coverage_or_deep_dive
分析耗时45.8s
引擎pi
✓
可以安装
可正常使用。建议补充 MX_SAAS_BASE_URL 环境变量的文档说明。

安全发现 4 项

严重性 安全发现 位置
低危
未声明的 MX_SAAS_BASE_URL 环境变量
代码中读取 MX_SAAS_BASE_URL 环境变量用于自定义 API 端点，但 SKILL.md 文档中未声明此变量。
BASE_URL = os.environ.get("MX_SAAS_BASE_URL", "https://ai-saas.eastmoney.com")
→ 建议在 SKILL.md 环境变量表格中添加 MX_SAAS_BASE_URL 的说明。
 scripts/generate_deep_research_report.py:52
提示
API端点可配置性
BASE_URL 默认指向 eastmoney.com 但可被 MX_SAAS_BASE_URL 环境变量覆盖。虽然这是合法的配置灵活性，但可能被恶意用于将 API key 发送到非预期服务器。
BASE_URL = os.environ.get("MX_SAAS_BASE_URL", "https://ai-saas.eastmoney.com")
→ 考虑添加端点白名单验证，或在 SKILL.md 中明确说明该变量的合法用途和风险。
 scripts/generate_deep_research_report.py:52
提示
API Key 通过 HTTP Header 传输
EM_API_KEY 通过 HTTP header (em_api_key) 发送到外部服务器，这是标准 API 认证方式，不属于凭证收割。
"em_api_key": EM_API_KEY
→ 无需修改，这是正常的 API 调用模式。
 scripts/generate_deep_research_report.py:89
提示
Base64 解码文件写入
脚本将 API 返回的 base64 编码 PDF/Word 文件解码后写入本地文件系统，路径使用 uuid 生成，不存在明显的路径遍历风险。
raw = base64.b64decode(b64_str)
file_path.write_bytes(raw)
→ 无需修改，文件写入是报告生成功能的必要部分。
 scripts/generate_deep_research_report.py:65
资源类型声明权限推断权限状态证据
文件系统 WRITE WRITE ✓ 一致 SKILL.md:23 声明写入附件目录，scripts/generate_deep_research_report.py:97-109 实现 base64 解…
环境变量 READ READ ✓ 一致 SKILL.md:9 声明读取 EM_API_KEY，scripts/generate_deep_research_report.py:55-56 读取 EM_…
网络访问 READ READ ✓ 一致 SKILL.md 声明调用 eastmoney.com，scripts/generate_deep_research_report.py:52-53 允许 MX…
1 高危 2 项发现
🔑
高危 API 密钥 疑似硬编码凭证
API_KEY="your_api_key_here"
SKILL.md:47
🔗
中危 外部 URL 外部 URL
https://ai-saas.eastmoney.com
scripts/generate_deep_research_report.py:72

目录结构

3 文件 · 16.4 KB · 400 行
Python 1f · 220L Markdown 1f · 175L JSON 1f · 5L
├─ ▾ 📁 scripts
│ └─ 🐍 generate_deep_research_report.py Python 220L · 9.8 KB
├─ 📋 _meta.json JSON 5L · 154 B
└─ 📝 SKILL.md Markdown 175L · 6.4 KB

依赖分析 1 项

包名版本来源已知漏洞备注
httpx * pip 否 无版本锁定，但 httpx 库本身安全性良好

安全亮点

✓ 代码逻辑清晰，无混淆或混淆的字符串
✓ 无 base64|bash 管道、裸 IP 请求、eval(atob(...)) 等高危模式
✓ 无访问 ~/.ssh、~/.aws、.env 等敏感路径
✓ 无外部数据外传行为
✓ 依赖简洁，仅使用 httpx 库
✓ API 凭证仅发送到声明的 eastmoney.com（默认情况）