跳转到正文
skillsafebeta
← 报告库
用途分类 / 文档处理

Documentation And Adrs Skill 安全审计

作者说它能做什么（原文）

Records decisions and documentation. Use when making architectural decisions, changing public APIs, shipping features, or when you need to record context that future engineers and agents will need to understand the codebase.

第三方安全检查结论

发现安全风险

已检查文件
1
发现的风险
1
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。未发现风险
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。发现 1 项风险
中风险

文档任务可能扩展为删除仓库中的注释代码

原文依据：4 处
发现了什么

该 Skill 的声明用途是记录文档和决策，但最终验证清单要求“不保留任何被注释掉的代码”。这是对源文件的清理要求，不只是编写文档，也没有限定到用户明确指定的文件。

为什么需要注意

如果代理把清单应用到整个仓库，可能删除暂时保留的实现、调试片段或尚未迁移的参考代码，形成持久且超出文档任务预期的文件变更。版本控制通常可恢复，但未提交内容可能丢失。

该 Skill 的主要用途是编写文档和 ADR，但其活动性验证清单要求确认“没有被注释掉的代码”，前文还明确写着“Delete it”。如果代理把这些要求应用于整个仓库，它可能在用户只要求记录文档时删除源文件中的注释代码；这些内容也可能是保留示例、临时诊断或尚未提交的用户工作。用户可要求作者将检查限定为报告问题，且仅在用户明确授权的文件中删除。

SKILL.md:2来自说明文档打开原文件
---name: documentation-and-adrsdescription: Records decisions and documentation. Use when making architectural decisions, changing public APIs, shipping features, or when you need to record context that future engineers and agents will need to understand the codebase.---
查看另外 3 个位置
SKILL.md:281来自说明文档打开原文件
After documenting:- [ ] ADRs exist for all significant architectural decisions- [ ] README covers quick start, commands, and architecture overview- [ ] API functions have parameter and return type documentation- [ ] Known gotchas are documented inline where they matter- [ ] No commented-out code remains- [ ] Rules files (CLAUDE.md etc.) are current and accurate
SKILL.md:133来自说明文档打开原文件
// Don't leave commented-out code// const oldImplementation = () => { ... }  ← Delete it, git has history```
SKILL.md:279来自说明文档打开原文件
## VerificationAfter documenting:- [ ] ADRs exist for all significant architectural decisions- [ ] README covers quick start, commands, and architecture overview- [ ] API functions have parameter and return type documentation- [ ] Known gotchas are documented inline where they matter- [ ] No commented-out code remains- [ ] Rules files (CLAUDE.md etc.) are current and accurate
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

8 个说明模块

该 Skill 的主要用途是记录架构决策、公共 API 和功能变更的背景与权衡。

查看原文
SKILL.md:2来自说明文档打开原文件
---name: documentation-and-adrsdescription: Records decisions and documentation. Use when making architectural decisions, changing public APIs, shipping features, or when you need to record context that future engineers and agents will need to understand the codebase.---

创建 ADR 前，它要求检查仓库已有的目录、格式、编号和标题约定；证据冲突时应提出冲突，而不是静默引入新方案。

查看原文
SKILL.md:38来自说明文档打开原文件
Before creating an ADR, inspect the available repository context for an established convention — existing ADRs, project instructions, and ADR-related configuration or tooling (e.g. an `.adr-dir` file). An established convention overrides the defaults below. Match:- **Location and format** — e.g. `docs/adr/*.md`, `Documentation/Decisions/*.rst`, a MADR layout, or an `adr-tools` setup. Match the existing directory, file extension, and markup (Markdown vs reStructuredText).- **Numbering and naming** — continue the existing sequence and filename pattern (`ADR-004-Title.rst`, `0004-title.md`, …); don't restart at 001 or introduce a second scheme.- **Section headings** — reuse the project's heading set rather than imposing this template's.If the available evidence conflicts, surface the conflict rather than silently introducing another scheme. Only when no convention can be established do you apply the default below.

它要求保留旧 ADR，并在决策变化时新增一份引用并取代旧记录的 ADR，从而保存历史背景。

查看原文
SKILL.md:99来自说明文档打开原文件
- **Don't delete old ADRs.** They capture historical context.- When a decision changes, write a new ADR that references and supersedes the old one.
从这里开始 · 工作说明SKILL.md
documentation-and-adrs
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。 另有 3 个章节，可在原文件中查看。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明

代码和说明中提到的操作

安装其他软件包
SKILL.md:211来自说明文档打开原文件
1. Clone the repo2. Install dependencies: `npm install`3. Set up environment: `cp .env.example .env`
读取密钥或账号配置
SKILL.md:212来自说明文档打开原文件
2. Install dependencies: `npm install`3. Set up environment: `cp .env.example .env`4. Run the dev server: `npm run dev`
读取了多少行
289
文件校验值（用于核对版本）
199c58aaaa6d001fcef3517630189c14def7f7e9e2e6668c25785db191d9d7cf