中文 EN

Scan Report

Scan New Files

✓ Trusted — Risk Score 5/100
Last scan:2 days ago Rescan
5 /100
workwork
Academic review writer and formatting assistant for Chinese academic papers
学术论文格式化工具，所有能力均已在文档中声明，无恶意行为、阴影功能或越权操作。subprocess调用仅用于合法打开生成文档，外部网络请求为可选深度验证且需用户显式触发。
Skill Nameworkwork
Duration59.7s
Enginepi
✓
Safe to install
可直接使用。所有声明的能力均有合法用途，代码质量良好，无安全顾虑。

Findings 4 items

Severity Finding Location
Info
冗余脚本文件
存在 literature_integrity_checker_auto_open.py，与 literature_integrity_checker.py（v3.2.0）功能高度重叠。后者已包含完整 auto-open 功能，前者为早期简化版本
脚本完整内容与主版本重叠
→ 删除 literature_integrity_checker_auto_open.py 以减少维护负担
 scripts/literature_integrity_checker_auto_open.py:1
Info
外部网络请求为可选功能
外部 HTTP 请求（api.crossref.org）仅在用户显式传入 --deep-check 参数时触发，非静默行为
search_url = f"https://api.crossref.org/works?query={encoded_query}"
→ 无需修改，行为符合预期
 scripts/literature_integrity_checker.py:299
Info
subprocess 调用边界清晰
所有 subprocess/exec 调用仅用于调用系统原生程序（open/xdg-open/start）打开已生成的本地文档，不执行任意 shell 命令
subprocess.call(['open', word_doc])
→ 无需修改，调用范围受控
 scripts/literature_integrity_checker.py:315-323, scripts/create_word_with_superscript.js:195-207:315
Info
extract_ref_format.py 仅本地文件操作
脚本硬编码读取本地模板文件 '参考文献格式.docx' 并提取 XML 内容，无网络请求或数据外传
with zipfile.ZipFile('参考文献格式.docx', 'r') as docx:
→ 无需修改
 scripts/extract_ref_format.py:12
ResourceDeclaredInferredStatusEvidence
Filesystem WRITE WRITE ✓ Aligned SKILL.md 明确声明 extract_and_fix_references.py、filter_references.py 会修改源文件
Shell WRITE WRITE ✓ Aligned SKILL.md 声明 auto-open 功能，literature_integrity_checker.py:315-323 和 create_word_w…
Network READ READ ✓ Aligned SKILL.md 声明 --deep-check 启用外部 API 验证，literature_integrity_checker.py:299 使用 urll…
Environment NONE NONE — 无 os.environ 访问代码，无凭证收割行为
2 findings
🔗
Medium External URL 外部 URL
http://schemas.openxmlformats.org/wordprocessingml/2006/main
scripts/extract_ref_format.py:20
🔗
Medium External URL 外部 URL
https://api.crossref.org/works?query=
scripts/literature_integrity_checker.py:299

File Tree

25 files · 221.1 KB · 6621 lines
Python 14f · 4131L Markdown 7f · 1818L JavaScript 2f · 530L YAML 1f · 88L JSON 1f · 54L
├─ ▾ 📁 references
│ ├─ 📝 features_checklist.md Markdown 464L · 11.7 KB
│ └─ 📝 workflow_guide.md Markdown 415L · 11.1 KB
├─ ▾ 📁 scripts
│ ├─ 🐍 analyze_citation_pattern.py Python 224L · 8.1 KB
│ ├─ 🐍 check_duplicate_citations.py Python 130L · 4.3 KB
│ ├─ 📜 create_word_doc_v3.js JavaScript 175L · 4.3 KB
│ ├─ 📜 create_word_with_superscript.js JavaScript 355L · 9.4 KB
│ ├─ 🐍 document_format_checker.py Python 544L · 19.8 KB
│ ├─ 🐍 extract_and_fix_references.py Python 118L · 3.3 KB
│ ├─ 🐍 extract_ref_format.py Python 34L · 889 B
│ ├─ 🐍 filter_references.py Python 116L · 3.3 KB
│ ├─ 🐍 literature_integrity_checker_auto_open.py Python 361L · 13.8 KB
│ ├─ 🐍 literature_integrity_checker.py Python 520L · 20.5 KB
│ ├─ 🐍 merge_duplicate_citations_in_paragraphs.py Python 188L · 6.3 KB
│ ├─ 🐍 reference_accuracy_checker.py Python 468L · 16.7 KB
│ ├─ 🐍 reference_formatter.py Python 474L · 17.6 KB
│ ├─ 🐍 simple_verify.py Python 96L · 2.8 KB
│ ├─ 🐍 typo_grammar_checker.py Python 396L · 13.8 KB
│ └─ 🐍 unified_checker.py Python 462L · 16.4 KB
├─ ▾ 📁 templates
│ └─ 📋 ref_format_default.yml YAML 88L · 2.3 KB
├─ 📝 CHANGELOG.md Markdown 170L · 4.8 KB
├─ 📋 package.json JSON 54L · 1.8 KB
├─ 📝 README.md Markdown 214L · 6.5 KB
├─ 📝 SKILL.md Markdown 476L · 18.1 KB
├─ 📝 test_sample_with_errors.md Markdown 22L · 587 B
└─ 📝 test_sample.md Markdown 57L · 2.8 KB

Dependencies 3 items

PackageVersionSourceKnown VulnsNotes
docx ^9.6.1 npm No npm 公开包，版本有锁定
pyyaml 未锁定（无 requirements.txt） pip No SKILL.md 声明但未提供 requirements.txt，依赖用户环境已有
python-docx 未锁定（SKILL.md 声明为可选） pip No 标记为 optional，非核心依赖

Security Positives

✓ 所有文件操作严格限定在用户提供的 markdown 文件和生成的输出文件，无越权访问
✓ shell 执行仅用于打开本地文档，不执行任意命令，无命令注入风险
✓ 网络请求为可选 opt-in 功能（--deep-check），且为公开学术 API
✓ 无环境变量遍历、无凭证访问、无 base64/eval 混淆
✓ 无 HTML 注释隐藏指令
✓ 无敏感路径访问（~/.ssh、~/.aws、.env 等）
✓ package.json 依赖版本锁定（docx: ^9.6.1）
✓ SKILL.md 文档详尽，版本历史清晰，能力声明完整