扫描报告
5 /100
invoice-scan
AI-powered invoice OCR, scanning, and data extraction
invoice-scan 是一个合法的发票 OCR/数据提取工具，代码行为与 SKILL.md 声明完全一致，仅在 CLI 模式下通过 HTTPS 将发票图片发送至 Anthropic API（已声明），Agent-native 模式纯本地处理。
可以安装
无需修改，可安全使用。CLI 模式传输发票数据至第三方，请确保符合隐私合规要求。
安全发现 1 项
| 严重性 | 安全发现 | 位置 |
|---|---|---|
| 低危 | 依赖项使用宽松版本锁定 供应链 | scripts/package.json:25 |
| 资源类型 | 声明权限 | 推断权限 | 状态 | 证据 |
|---|---|---|---|---|
| 文件系统 | WRITE | WRITE | ✓ 一致 | 代码读写本地文件用于发票处理和输出 |
| 网络访问 | READ | READ | ✓ 一致 | 仅在 CLI 模式发送 base64 图片到 api.anthropic.com，Agent-native 模式无网络调用 |
| 命令执行 | NONE | NONE | — | 无 shell 执行代码 |
| 环境变量 | READ | READ | ✓ 一致 | 仅读取 ANTHROPIC_API_KEY 用于 CLI 模式 |
| 剪贴板 | NONE | NONE | — | 无剪贴板访问 |
| 浏览器 | NONE | NONE | — | 无浏览器相关功能 |
目录结构
21 文件 · 140.4 KB · 3726 行 JavaScript 17f · 3437L
Markdown 3f · 249L
JSON 1f · 40L
├─
▾
references
│ ├─
canonical-schema.md
Markdown
│ └─
validation-rules.md
Markdown
├─
▾
scripts
│ ├─
▾
adapters
│ │ ├─
base.js
JavaScript
│ │ ├─
claude.js
JavaScript
│ │ └─
index.js
JavaScript
│ ├─
▾
extraction
│ │ └─
scanner.js
JavaScript
│ ├─
▾
output
│ │ ├─
csv.js
JavaScript
│ │ ├─
excel.js
JavaScript
│ │ ├─
index.js
JavaScript
│ │ ├─
json.js
JavaScript
│ │ └─
prepare.js
JavaScript
│ ├─
▾
preprocessing
│ │ └─
preprocess.js
JavaScript
│ ├─
▾
schema
│ │ └─
canonical.js
JavaScript
│ ├─
▾
test
│ │ └─
run-tests.js
JavaScript
│ ├─
▾
validation
│ │ ├─
arithmetic.js
JavaScript
│ │ ├─
completeness.js
JavaScript
│ │ └─
document-rules.js
JavaScript
│ ├─
cli.js
JavaScript
│ ├─
index.js
JavaScript
│ └─
package.json
JSON
└─
SKILL.md
Markdown
依赖分析 2 项
| 包名 | 版本 | 来源 | 已知漏洞 | 备注 |
|---|---|---|---|---|
sharp | ^0.33.0 | npm | 否 | 宽松版本锁定，建议固定 |
xlsx | ^0.18.5 | npm | 否 | 宽松版本锁定，建议固定 |
安全亮点
✓ Agent-native 模式声明不发送数据至外部，完全本地处理
✓ 仅依赖两个已知安全库 (sharp, xlsx)，无复杂依赖链
✓ Claude API 调用使用 HTTPS，凭证通过 header 传输
✓ 代码结构清晰，无混淆或隐藏功能
✓ SKILL.md 完整声明了两种模式及其数据流
✓ 无文件系统越权访问，仅处理用户提供的发票文件
✓ 输出文件保存至 {WORKSPACE}/invoice-scan/output/，符合声明