Skill Trust Decision
hekouwang-stock-data-reader-skill
仅含 SKILL.md 文档，声称引用 scripts/ 但目录不存在，文档描述与实际交付严重不符（文档欺骗），无可疑代码行为。
Why this conclusion was reached
1/4 dimensions flagged Pass
Declared vs actual capability
Declared resources and inferred behavior are broadly aligned.
Pass
Hidden execution and egress
No obvious high-risk egress or execution signals were found.
Block
Attack chain and severe findings
The report includes 0 attack-chain steps and 1 severe findings.
Review
Dependencies and supply chain hygiene
Dependency information is incomplete, so supply-chain confidence stays limited.
What drove the risk score up
文档-行为差异（doc deception） +20
SKILL.md 引用 scripts/fetch.py、scripts/analyze.py、scripts/build_report.py、templates/screenshot.js、references/compliance.md、references/report-structure.md、requirements.txt 等多个文件，但 scripts/、templates/、references/ 目录全部不存在，无任何代码交付
仅文档，无代码验证 +5
预扫描确认 totalFiles=1，无脚本文件，无法验证声明的功能是否存在恶意行为
Most important evidence
High Doc Mismatch
文档引用多个文件但实际全部缺失
SKILL.md 完整描述了 scripts/fetch.py、scripts/analyze.py、scripts/build_report.py、templates/screenshot.js、references/compliance.md、references/report-structure.md、requirements.txt 等 7+ 个配套文件的用途和工作流，但 scripts/、templates/、references/ 目录及所有脚本文件均不存在。仅有一个孤立的 SKILL.md（4.6KB，65行），无任何代码可执行。
SKILL.md:30 该 skill 为文档模板或未完成草稿。若以此形式分发，接收方无法获得实际功能。需补充完整代码后方可安全使用，或明确标注为模板/文档包。
Medium Doc Mismatch
声明的数据处理能力无法验证
SKILL.md 声称通过 akshare 获取资金流/龙虎榜/估值/财务三表等数据，并计算「主力资金进出·龙虎榜席位结构·利润质量·利润结构」等指标，但无实际代码。akshare 为合法开源库（MIT），但数据外传行为（若有）无法验证。
SKILL.md:15 若后续补充代码，需确认 akshare 数据仅本地处理，不上传外部服务器。
Low Supply Chain
声明的依赖无 package 文件可验证
SKILL.md 第 6 节声明 'requirements.txt — akshare + pandas'，但 requirements.txt 文件不存在，依赖版本锁定无法验证。
SKILL.md:47 补充 requirements.txt 并锁定版本（如 akshare>=1.14.0）以防供应链攻击。
Declared capability vs actual capability
Filesystem Pass
Declared NONE
→ Inferred NONE
SKILL.md 声明 scripts/ 目录会写入 out/<代码>/*.csv、_report.json、analysis.json，但 scripts/ 不存在 Network Pass
Declared NONE
→ Inferred NONE
SKILL.md 声称调用 akshare（东方财富/乐咕/sina API），但无脚本代码可审查 Shell Pass
Declared NONE
→ Inferred NONE
SKILL.md 工作流声明 'python3 scripts/...' 和 'node templates/...'，但对应文件均不存在 Suspicious artifacts and egress
No obvious IOC was extracted.
Dependencies and supply chain
There are no structured dependency warnings.
File composition
1 files · 65 lines
Markdown 1 files · 65 lines
Files of concern · 1
SKILL.md 文档引用多个文件但实际全部缺失 · 声明的数据处理能力无法验证 · 声明的依赖无 package 文件可验证
Security positives
akshare 为合法、知名的 A 股开源数据项目（GitHub 6.2k+ stars），非恶意库
文档中明确合规护栏（不荐股/不预测/风险提示），意图方向正面
无 base64 编码、eval 调用、IP 直连等高危模式（因无代码）
无 .env、密钥文件或敏感凭证文件
预扫描无 IOC（IP、域名、哈希）检出