中文 EN

扫描报告

扫描新文件

✓ 可信 — 风险评分 10/100
上次扫描：2 天前 重新扫描
10 /100
historical-guide
博物馆讲解器升级版：召唤李白、苏轼、孔子等历史人物讲解文物
博物馆历史人物讲解技能，代码结构清晰，仅调用本地脚本和LLM API，无恶意行为
技能名称historical-guide
分析耗时38.5s
引擎pi
✓
可以安装
建议在 SKILL.md 中补充声明 subprocess 调用，并锁定 requests 版本

安全发现 2 项

严重性 安全发现 位置
低危
subprocess调用未在文档中明确声明
SKILL.md描述'调用脚本'但未明确说明使用subprocess执行外部Python脚本
subprocess.run([sys.executable, str(script_dir / "persona_generator.py"), args.character])
→ 在SKILL.md中补充说明使用subprocess调用本地脚本
 scripts/tour_guide.py:60
低危
requests依赖无版本锁定
SKILL.md声明pip install requests但未锁定版本
pip install requests
→ 使用 pip install requests==2.31.0 或类似版本锁定
 SKILL.md:44
资源类型声明权限推断权限状态证据
文件系统 READ READ ✓ 一致 scripts/character_loader.py:37-47 读取references/*.json
网络访问 READ READ ✓ 一致 scripts/relic_presenter.py:67-72 调用外部LLM API
命令执行 NONE READ ✓ 一致 scripts/tour_guide.py:60 subprocess调用本地脚本
1 项发现
🔗
中危 外部 URL 外部 URL
https://api.example.com/v1/chat/completions
SKILL.md:45

目录结构

10 文件 · 47.4 KB · 1414 行
Python 7f · 1082L Markdown 1f · 316L JSON 2f · 16L
├─ ▾ 📁 scripts
│ ├─ 🐍 api_config.py Python 40L · 1.1 KB
│ ├─ 🐍 character_loader.py Python 147L · 3.9 KB
│ ├─ 🔑 config.json ⚠ JSON 5L · 58 B
│ ├─ 🐍 persona_generator.py Python 191L · 6.4 KB
│ ├─ 🐍 relic_presenter.py Python 78L · 2.3 KB
│ ├─ 🐍 session_manager.py Python 133L · 4.7 KB
│ ├─ 🐍 tour_guide.py Python 415L · 15.4 KB
│ └─ 🐍 utils.py Python 78L · 3.0 KB
├─ 📋 _meta.json JSON 11L · 289 B
└─ 📝 SKILL.md Markdown 316L · 10.3 KB

依赖分析 1 项

包名版本来源已知漏洞备注
requests * pip 否 无版本锁定，建议锁定到稳定版本

安全亮点

✓ 代码结构清晰，专注于单一功能（历史人物讲解）
✓ 无凭证外传，API密钥仅用于调用LLM
✓ 无远程代码执行，仅执行本地Python脚本
✓ 无文件系统越权，仅在references/目录操作
✓ 无base64/eval等危险操作
✓ 敏感路径（~/.ssh等）访问: 未发现
✓ 人物画像存储在本地，无数据外泄风险