中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 5/100
上次扫描：12 小时前 重新扫描
5 /100
baidu-finance-search
百度财经搜索 skill，基于超哥方法论定制，支持雪球/知乎/东方财富/同花顺等站点的财经舆情搜索
百度财经搜索工具，代码实现与 SKILL.md 声明完全一致，仅使用标准库调用百度千帆 API 进行财经搜索，无恶意行为。
技能名称baidu-finance-search
分析耗时35.0s
引擎pi
✓
可以安装
该 skill 可安全使用。如需提升安全性，可考虑移除 SSL 验证禁用（lines 148-150），使用默认 SSL 验证。

安全发现 1 项

严重性 安全发现 位置
低危
SSL 证书验证禁用 供应链
代码在 lines 148-150 禁用了 SSL 证书验证，可能导致中间人攻击风险。这是已知的权衡设计，用于测试或特殊网络环境。
ctx.check_hostname = False
ctx.verify_mode = ssl.CERT_NONE
→ 如非必要，建议移除 SSL 验证禁用，使用默认安全验证；如必须使用，建议添加域名白名单检查
 scripts/search.py:148-150
资源类型声明权限推断权限状态证据
文件系统 READ READ ✓ 一致 scripts/search.py:44 仅读取 .env 获取 API_KEY
网络访问 READ READ ✓ 一致 scripts/search.py:138 仅调用百度千帆 API qianfan.baidubce.com
命令执行 NONE NONE — 无 subprocess/os.system 等调用
环境变量 READ READ ✓ 一致 scripts/search.py:42 仅读取 BAIDU_API_KEY
技能调用 NONE NONE — 无其他 skill 调用
剪贴板 NONE NONE — 无剪贴板操作
浏览器 NONE NONE — 无浏览器自动化
数据库 NONE NONE — 无数据库操作
1 项发现
🔗
中危 外部 URL 外部 URL
https://qianfan.baidubce.com/v2/ai_search/web_summary
SKILL.md:28

目录结构

3 文件 · 11.3 KB · 404 行
Python 1f · 294L Markdown 1f · 105L JSON 1f · 5L
├─ ▾ 📁 scripts
│ └─ 🐍 search.py Python 294L · 8.5 KB
├─ 📋 _meta.json JSON 5L · 139 B
└─ 📝 SKILL.md Markdown 105L · 2.6 KB

安全亮点

✓ 使用标准库 urllib，无第三方依赖
✓ API 调用仅指向百度官方域名 qianfan.baidubce.com
✓ 凭证读取仅限于 BAIDU_API_KEY，符合最小权限原则
✓ 无环境变量遍历、无敏感路径访问
✓ 无代码混淆、无 base64 执行
✓ 无 subprocess/shell 执行
✓ SKILL.md 文档与实际代码行为完全一致