中文 EN

Scan Report

Scan New Files

✓ Trusted — Risk Score 5/100
Last scan:2 days ago Rescan
5 /100
ssh-handoff
Create and reuse a secure shared terminal handoff when a human must authenticate first and the agent must resume work in the same shell session afterward
ssh-handoff 是一个合法的 tmux 会话共享和浏览器终端工具，代码质量高，包含完善的安全控制（token验证、IP过滤、TTL自动清理），无恶意行为
Skill Namessh-handoff
Duration42.0s
Enginepi
✓
Safe to install
可直接使用。注意在外部通信渠道（如Telegram/Discord）上不要随意启动浏览器终端模式

Findings 3 items

Severity Finding Location
Info
文档使用示例IP地址
SKILL.md第122行使用192.0.2.10和192.0.2.20作为文档示例，这些是RFC5737 TEST-NET-1保留地址，仅用于文档目的
HOST=192.0.2.10 CLIENT_IP=192.0.2.20
→ 无需修复，这是标准文档实践
 SKILL.md:122
Info
安全控制完善
包含完整的安全机制：一次性token、IP过滤、Host/Origin验证、TTL自动清理、会话隔离
token验证、IP白名单、TTL自动关闭
→ 保持现有设计
 scripts/url-token-proxy.js:1
Info
Guardrails文档完善
SKILL.md包含详细的guardrails，明确禁止公网暴露、外部渠道启动浏览器模式等
Do not expose the terminal through a public tunnel or reverse proxy
→ 遵循文档中的安全建议
 SKILL.md:105
ResourceDeclaredInferredStatusEvidence
Shell NONE WRITE ✓ Aligned scripts/start-url-token-web-terminal.sh:137-145 调用tmux/ttyd/node命令
Filesystem NONE WRITE ✓ Aligned scripts/start-url-token-web-terminal.sh:99 写入/tmp状态文件
Network NONE WRITE ✓ Aligned scripts/start-url-token-web-terminal.sh:137 启动ttyd/tcp服务
2 High 4 findings
📡
High IP Address 硬编码 IP 地址
192.0.2.10
SKILL.md:122
📡
High IP Address 硬编码 IP 地址
192.0.2.20
SKILL.md:122
🔗
Medium External URL 外部 URL
https://$EXPECTED_HOST
scripts/start-url-token-web-terminal.sh:229
🔗
Medium External URL 外部 URL
http://$EXPECTED_HOST
scripts/start-url-token-web-terminal.sh:231

File Tree

10 files · 41.6 KB · 1381 lines
Markdown 5f · 555L Shell 3f · 484L JavaScript 1f · 337L JSON 1f · 5L
├─ ▾ 📁 references
│ ├─ 📝 design-notes.md Markdown 122L · 3.2 KB
│ ├─ 📝 examples.md Markdown 48L · 1.6 KB
│ └─ 📝 lan-restricted.md Markdown 37L · 1.3 KB
├─ ▾ 📁 scripts
│ ├─ 🔧 start-local-web-terminal.sh Shell 88L · 2.0 KB
│ ├─ 🔑 start-url-token-web-terminal.sh ⚠ Shell 376L · 11.2 KB
│ ├─ 🔧 stop-local-web-terminal.sh Shell 20L · 335 B
│ └─ 🔑 url-token-proxy.js ⚠ JavaScript 337L · 9.3 KB
├─ 📋 _meta.json JSON 5L · 130 B
├─ 📝 README.md Markdown 112L · 3.9 KB
└─ 📝 SKILL.md Markdown 236L · 8.6 KB

Dependencies 3 items

PackageVersionSourceKnown VulnsNotes
ttyd * system No 系统依赖，需预装
tmux * system No 系统依赖，需预装
node * system No 系统依赖，用于运行proxy脚本

Security Positives

✓ 完整的安全设计文档（design-notes.md、lan-restricted.md）
✓ 代码结构清晰，注释充分
✓ 一次性token机制防重放
✓ 严格的Host/Origin验证防CSRF
✓ IP白名单过滤
✓ TTL自动清理机制
✓ 进程PID追踪便于管理
✓ 无外部网络请求
✓ 无凭证收割行为
✓ 无隐蔽执行逻辑