中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：2 天前 重新扫描
5 /100
Train Ticket Inquiry - 火车查询
支持站站、车次、余票查询，返回时刻、票价与余票，基于极速数据（JisuAPI）火车查询接口
火车票查询技能，代码行为与文档声明完全一致，无越权操作，无恶意行为。
技能名称Train Ticket Inquiry - 火车查询
分析耗时24.4s
引擎pi
✓
可以安装
无需阻止使用，可直接部署。建议将 requests 依赖写入 requirements.txt 并锁定版本。

安全发现 1 项

严重性 安全发现 位置
低危
第三方依赖未声明
train.py 依赖 requests 库但项目中无 requirements.txt、pyproject.toml 或 Pipfile 等依赖声明文件，且 requests 无版本锁定。
import requests
→ 创建 requirements.txt，内容：requests>=2.28.0
 train.py:7
资源类型声明权限推断权限状态证据
网络访问 READ READ ✓ 一致 train.py:14-16 向 jisuapi.com 发送 GET 请求，文档已声明调用外部火车查询 API
环境变量 READ READ ✓ 一致 train.py:143 仅读取 JISU_API_KEY（通过 os.getenv），SKILL.md 已声明需要此环境变量
文件系统 NONE NONE — 代码中无任何文件读写操作
命令执行 NONE NONE — 无 subprocess、os.system 等 shell 执行调用
1 高危 6 项发现
🔑
高危 API 密钥 疑似硬编码凭证
API_KEY="your_appkey_here"
SKILL.md:25
🔗
中危 外部 URL 外部 URL
https://www.jisuapi.com/
SKILL.md:9
🔗
中危 外部 URL 外部 URL
https://www.jisuapi.com/api/train/
SKILL.md:18
🔗
中危 外部 URL 外部 URL
https://api.jisuapi.com/train/station2s
train.py:14
🔗
中危 外部 URL 外部 URL
https://api.jisuapi.com/train/line
train.py:15
🔗
中危 外部 URL 外部 URL
https://api.jisuapi.com/train/ticket
train.py:16

目录结构

2 文件 · 11.1 KB · 371 行
Python 1f · 191L Markdown 1f · 180L
├─ 📝 SKILL.md Markdown 180L · 5.7 KB
└─ 🐍 train.py Python 191L · 5.3 KB

依赖分析 1 项

包名版本来源已知漏洞备注
requests * pip 否 无版本锁定，依赖文件未声明

安全亮点

✓ 文档与代码行为完全一致，无阴影功能
✓ 无 subprocess、eval、base64 解码等危险操作
✓ 无凭证收割、环境变量遍历、敏感路径访问
✓ 无数据外传，仅调用 jisuapi.com 火车查询 API
✓ 无隐藏指令（HTML 注释、隐蔽字符串等）
✓ API Key 通过环境变量注入，非硬编码
✓ 输入参数经过 basic validation（有非空检查）
✓ 代码结构清晰，3 个查询函数各自独立，错误处理完善