Scan Report
5 /100
Car Models Inquiry - 车型大全查询
基于极速数据 API 的车型品牌/车系/车款查询工具
标准车型查询 API 封装工具，行为与文档完全一致，无越权操作，无恶意特征。
Safe to install
可直接使用。无需限制。
| Resource | Declared | Inferred | Status | Evidence |
|---|---|---|---|---|
| Network | READ | READ | ✓ Aligned | car.py:14 — requests.get(url) 指向固定域名 api.jisuapi.com |
| Environment | READ | READ | ✓ Aligned | car.py:169 — os.getenv('JISU_API_KEY')，仅读取所需凭证 |
| Filesystem | NONE | NONE | — | car.py 无文件读写操作 |
| Shell | NONE | NONE | — | 无 subprocess / os.system / popen 调用 |
1 High 5 findings
High API Key 疑似硬编码凭证
API_KEY="your_appkey_here" SKILL.md:31 Medium External URL 外部 URL
https://www.jisuapi.com/ SKILL.md:9 Medium External URL 外部 URL
https://www.jisuapi.com/api/car SKILL.md:24 Medium External URL 外部 URL
https://www.jisuapi.com/api/car/ car.py:5 Medium External URL 外部 URL
https://api.jisuapi.com/car car.py:14 File Tree
2 files · 12.7 KB · 391 lines Python 1f · 232L
Markdown 1f · 159L
├─
car.py
Python
└─
SKILL.md
Markdown
Dependencies 1 items
| Package | Version | Source | Known Vulns | Notes |
|---|---|---|---|---|
requests | * | pip | No | 无版本锁定，但本工具仅做简单 HTTP GET，风险可控 |
Security Positives
✓ 声明与实现完全匹配，无阴影功能
✓ 仅访问单一固定域名 api.jisuapi.com，无动态 IP 或境外地址
✓ 不访问 ~/.ssh、~/.aws、.env 等敏感路径
✓ 不遍历或外传环境变量
✓ 第三方依赖 requests 仅用于合法 HTTP 调用
✓ 无 base64/eval/动态代码执行
✓ 无隐藏指令或 HTML 注释