中文 EN

扫描报告

扫描新文件

⚠ 低风险 — 风险评分 20/100
上次扫描：2 天前 重新扫描
20 /100
bdpan-storage
百度网盘文件管理，支持上传、下载、转存、分享、搜索等操作
百度网盘存储工具，设计规范、安全约束完善，但存在执行远程二进制安装器的轻微越权行为。
技能名称bdpan-storage
分析耗时46.7s
引擎pi
✓
可以安装
可安全使用。建议明确声明 scripts/install.sh 会下载并执行远程二进制安装器。当前安全机制（SHA256 校验、两步确认、Agent 环境限制 --yes）设计良好。

安全发现 4 项

严重性 安全发现 位置
低危
执行远程二进制安装器
install.sh 从百度 CDN 下载安装器并执行。虽硬编码 SHA256 校验值，但执行远程二进制文件仍是潜在风险。
curl -fsSL -o "${installer_path}" "${installer_url}"
→ SKILL.md 文档中已提到会下载安装器，可补充说明执行流程以消除歧义
 scripts/install.sh:130
低危
下载并解压远程更新包
update.sh 从百度 API 获取更新信息并下载 zip 包解压覆盖 Skill 目录。存在文件覆盖风险，但有 SHA256 校验和两步确认保护。
curl -fsSL -o "$zip_path" "$remote_url"
→ 当前安全机制（校验+确认）已充分，建议保持
 scripts/update.sh:64
提示
Agent 环境检测限制自动化
update.sh 检测到 Agent 环境（CLAUDE_CODE/ANTHROPIC_API_KEY/MCP_SERVER）时忽略 --yes 参数，强制保留用户确认环节。
if [ -n "$CLAUDE_CODE" ] || [ -n "$ANTHROPIC_API_KEY" ] || [ -n "$MCP_SERVER" ]
→ 良好的安全设计，防止 Agent 绕过确认
 scripts/update.sh:189
提示
授权码安全传递
login.sh 使用 --set-code-stdin 通过 stdin 传递授权码，避免在 ps/proc/PID/cmdline 中泄露。
echo "$AUTH_CODE" | bdpan login --set-code-stdin
→ 安全实践，可作为其他技能的参考
 scripts/login.sh:120
资源类型声明权限推断权限状态证据
命令执行 WRITE WRITE ✓ 一致 SKILL.md:1 allowed-tools: Bash
文件系统 READ WRITE ✓ 一致 scripts/update.sh:159 unzip 解压覆盖 Skill 文件
网络访问 NONE READ ✓ 一致 scripts/install.sh:130 scripts/update.sh:64 下载远程资源
10 项发现
🔗
中危 外部 URL 外部 URL
https://pan.baidu.com/s/1xxxxx?pwd=abcd
SKILL.md:99
🔗
中危 外部 URL 外部 URL
https://pan.baidu.com/s/1xxxxx
SKILL.md:100
🔗
中危 外部 URL 外部 URL
https://pan.baidu.com/s/1
reference/bdpan-commands.md:128
🔗
中危 外部 URL 外部 URL
https://pan.baidu.com/s/1xxxxxxx
reference/bdpan-commands.md:230
🔗
中危 外部 URL 外部 URL
https://openapi.baidu.com/oauth/2.0/authorize?...
reference/examples.md:167
🔗
中危 外部 URL 外部 URL
https://openapi.baidu.com/oauth/...?device_code=xxxxx
reference/troubleshooting.md:34
🔗
中危 外部 URL 外部 URL
https://openapi.baidu.com/oauth/2.0/authorize?response_type=device_code&client_id=...&device_code=xxxxx
reference/troubleshooting.md:48
🔗
中危 外部 URL 外部 URL
https://issuecdn.baidupcs.com/issue/netdisk/ai-bdpan/installer/$
scripts/install.sh:9
🔗
中危 外部 URL 外部 URL
https://pan.baidu.com/act/v2/api/conf?conf_key=bd_skills
scripts/update.sh:15
📧
提示 邮箱 邮箱地址
[email protected]
reference/examples.md:176

目录结构

10 文件 · 72.2 KB · 2710 行
Markdown 6f · 1709L Shell 4f · 1001L
├─ ▾ 📁 reference
│ ├─ 📝 authentication.md Markdown 117L · 2.3 KB
│ ├─ 📝 bdpan-commands.md Markdown 661L · 14.6 KB
│ ├─ 📝 examples.md Markdown 356L · 7.6 KB
│ ├─ 📝 notes.md Markdown 26L · 1.0 KB
│ └─ 📝 troubleshooting.md Markdown 349L · 6.9 KB
├─ ▾ 📁 scripts
│ ├─ 🔧 install.sh Shell 300L · 11.2 KB
│ ├─ 🔧 login.sh Shell 183L · 6.9 KB
│ ├─ 🔧 uninstall.sh Shell 155L · 4.2 KB
│ └─ 🔧 update.sh Shell 363L · 10.0 KB
└─ 📝 SKILL.md Markdown 200L · 7.5 KB

依赖分析 1 项

包名版本来源已知漏洞备注
bdpan CLI 3.7.3 百度 CDN (issuecdn.baidupcs.com) 否 通过 SHA256 校验的安装器安装

安全亮点

✓ 安全约束文档详尽，覆盖登录、更新、路径限制等多维度
✓ 路径限制 /apps/bdpan/ 防止目录穿越
✓ 登录流程使用 stdin 传递授权码，防止泄露
✓ Agent 环境检测并限制 --yes 参数，强制用户确认
✓ SHA256 完整性校验覆盖安装器和更新包
✓ 两步确认机制（下载确认 + 应用确认）
✓ 硬编码 CDN URL 和校验值，防止供应链篡改
✓ 卸载脚本完整清理配置文件和授权信息