中文 EN

Scan Report

Scan New Files

✓ Trusted — Risk Score 5/100
Last scan:2 days ago Rescan
5 /100
paper-cluster-survey-v2-2
学术论文提取、分类与综述生成工具
学术论文综述工具，代码结构清晰，无恶意行为，各脚本功能与声明一致
Skill Namepaper-cluster-survey-v2-2
Duration41.9s
Enginepi
✓
Safe to install
可安全使用，权限声明略宽泛但与实际需要相符，建议补充权限使用说明

Findings 2 items

Severity Finding Location
Info
Shell权限用于PDF提取
extract-paper-records.mjs使用spawnSync调用pdftotext/mutool进行PDF文本提取，这是学术文献处理的合理需求
runCommand(tool.name, tool.args)
→ 可接受，建议在SKILL.md中明确说明PDF提取工具调用
 scripts/extract-paper-records.mjs:197-215
Info
网络请求限于用户源URL
网络请求仅用于获取用户指定的论文URL，无外部API调用或数据外传
fetch(url, { redirect: 'follow', headers: { 'user-agent': 'paper-cluster-survey-v2-2/1.0' } })
→ 符合学术工具预期
 scripts/extract-paper-records.mjs:280-290
ResourceDeclaredInferredStatusEvidence
Filesystem READ+WRITE READ+WRITE ✓ Aligned 所有脚本均需读写文件，功能与声明一致
Network NONE READ ✓ Aligned extract-paper-records.mjs L280: fetch(url) 仅获取用户提供URL
Shell WRITE WRITE ✓ Aligned extract-paper-records.mjs L197-215: 仅调用pdftotext/mutool等PDF工具
Environment NONE NONE — 无os.environ遍历
Skill Invoke NONE NONE — 无跨技能调用
Clipboard NONE NONE — 无剪贴板操作
Browser NONE NONE — 无浏览器控制
Database NONE NONE — 无数据库访问
1 findings
🔗
Medium External URL 外部 URL
https://arxiv.org/abs/1234.5678
README.md:30

File Tree

11 files · 37.8 KB · 1325 lines
JavaScript 3f · 792L Markdown 6f · 522L YAML 1f · 6L JSON 1f · 5L
├─ ▾ 📁 agents
│ └─ 📋 openai.yaml YAML 6L · 360 B
├─ ▾ 📁 references
│ ├─ 📝 extraction-pipeline.md Markdown 48L · 1.4 KB
│ ├─ 📝 output-schema.md Markdown 107L · 1.8 KB
│ ├─ 📝 review-paper-style.md Markdown 81L · 2.1 KB
│ └─ 📝 taxonomy-guidelines.md Markdown 35L · 1.1 KB
├─ ▾ 📁 scripts
│ ├─ 📜 extract-paper-records.mjs JavaScript 492L · 14.3 KB
│ ├─ 📜 normalize-sources.mjs JavaScript 138L · 3.1 KB
│ └─ 📜 render-formal-review-template.mjs JavaScript 162L · 4.1 KB
├─ 📋 _meta.json JSON 5L · 144 B
├─ 📝 README.md Markdown 99L · 3.1 KB
└─ 📝 SKILL.md Markdown 152L · 6.1 KB

Dependencies 3 items

PackageVersionSourceKnown VulnsNotes
pdftotext (poppler-utils) system system binary No PDF文本提取首选工具
mutool (mupdf) system system binary No PDF文本提取备选工具
pypdf * pip (optional) No Python PDF库，非必需

Security Positives

✓ 代码结构清晰，各脚本职责明确
✓ 无base64/eval/隐蔽shell等高危操作
✓ 无凭证收割、环境变量遍历
✓ 文档与实现高度一致，无阴影功能
✓ PDF提取有fallback机制（pdftotext→mutool→pypdf→strings）
✓ 敏感文件路径检查完善（排除.ssh、.aws等）
✓ 网络请求有合理user-agent头