跳转到正文
skillsafebeta
← 报告库
用途分类 / 数据分析

Seo Skill 安全审计

作者说它能做什么（原文）

Optimize for search engine visibility and ranking. Use when asked to "improve SEO", "optimize for search", "fix meta tags", "add structured data", "sitemap optimization", or "search engine optimization".

第三方安全检查结论

发现安全风险

已检查文件
2
发现的风险
3
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。未发现风险
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。发现 2 项风险
中风险

robots.txt 示例公开列出敏感路径，并可能被误当作访问控制

原文依据：2 处
发现了什么

示例把 `/admin/`、`/api/` 和 `/private/` 称为应“阻止”的管理或私有区域。robots.txt 是公开的爬虫提示，不会阻止浏览器、攻击者或不守规则的机器人访问这些地址；列出它们还会帮助外部人员发现路径。

为什么需要注意

如果用户复制该配置并依赖它保护内容，管理接口、API 或私有页面仍可能被直接访问，同时合法搜索爬虫会停止抓取这些路径。

这是“Crawlability”章节中的配置示例，不是实际访问控制代码；但它明确把管理、API 和私有路径逐一写入公开的 robots.txt。只有遵守 robots.txt 的爬虫会据此停止抓取，浏览器和恶意访问者不会被阻止，因此照抄可能暴露路径名称并造成已有保护的错觉。用户可要求作者明确说明这些路径仍须身份验证和服务器端授权，并避免列出不必公开的敏感路径。

SKILL.md:41来自说明文档打开原文件
```text# /robots.txtUser-agent: *Allow: /# Block admin/private areasDisallow: /admin/Disallow: /api/Disallow: /private/
查看另外 1 个位置
SKILL.md:39来自说明文档打开原文件
**robots.txt:**```text# /robots.txtUser-agent: *Allow: /# Block admin/private areasDisallow: /admin/Disallow: /api/Disallow: /private/
中风险

以 SEO 名义统一启用 HSTS 和拒绝嵌入可能破坏现有服务

原文依据：1 处
发现了什么

技能直接给出带 `includeSubDomains` 的 HSTS 和 `X-Frame-Options: DENY`，却没有要求检查子域 HTTPS 状态或页面是否需要被可信站点嵌入。这些是会改变浏览器安全行为的站点级控制，不只是 SEO 元数据。

为什么需要注意

HTTP-only 子域可能在支持 HSTS 的浏览器中无法访问；支付、身份验证、合作伙伴门户或其他依赖 iframe 的合法流程也可能停止工作。

这些是文档示例，不会自行修改站点，但被描述为 SEO“信任信号”且没有部署前检查。启用带 `includeSubDomains` 的 HSTS 后，浏览器会强制所有子域使用 HTTPS；仍依赖 HTTP 的子域可能无法访问。`X-Frame-Options: DENY` 会禁止任何站点嵌入页面，可能破坏受信任集成。用户可要求作者加入 HTTPS 子域清单、分阶段 HSTS 部署和嵌入需求检查，并将安全策略与 SEO 修改分开审批。

SKILL.md:141来自说明文档打开原文件
**Security headers for SEO trust signals:**```Strict-Transport-Security: max-age=31536000; includeSubDomainsX-Content-Type-Options: nosniffX-Frame-Options: DENY```
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。未发现风险
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。发现 1 项风险
中风险

分页规范网址示例可能使后续分页退出搜索索引

原文依据：1 处
发现了什么

该技能建议对分页内容把 canonical 指向 `/products`。如果第二页及以后包含不同商品或内容，搜索引擎可能把它们视为首页副本，而不是可独立发现的页面。旁边提到 `prev`/`next`，但没有要求先确认页面是否真正重复。

为什么需要注意

深层商品和内容可能更难被搜索引擎发现或收录，从而减少自然搜索曝光和潜在收入。

这是示例而非自动执行，但它把“分页内容”的 canonical 指向总览页，并未限定仅用于重复页面。若后续页包含独有商品或内容，照用可能让搜索引擎把这些页合并到 `/products`，降低其独立发现或索引机会。旁边的 `prev`/`next` 只是可选提示，未消除该风险。用户可要求作者按每种分页模板先验证内容关系，并默认使用自引用 canonical，除非页面确实重复。

SKILL.md:71来自说明文档打开原文件
**Canonical URLs:**```html<!-- Prevent duplicate content issues --><link rel="canonical" href="https://example.com/page"><!-- Self-referencing canonical (recommended) --><link rel="canonical" href="https://example.com/current-page"><!-- For paginated content --><link rel="canonical" href="https://example.com/products"><!-- Or use rel="prev" / rel="next" for explicit pagination -->```

Skill 逻辑拆解

8 个说明模块

该技能会先运行页面审计并检查响应头、重定向、robots.txt、站点地图、规范网址和结构化数据；只有用户提供权限时才查看 Search Console。随后它要求修改源文件并复查，因此“审计”可能包含实际代码变更。

查看原文
SKILL.md:18来自说明文档打开原文件
1. Run live Lighthouse SEO and Agentic Browsing checks when that capability is available; with Chrome DevTools MCP, use `lighthouse_audit`. Use the results to localize rendered-page failures.2. Inspect signals Lighthouse cannot establish on its own: response headers, redirects, `robots.txt`, sitemap coverage, canonical consistency across page templates, structured-data eligibility, and Search Console evidence when the user provides access.3. Separate technical crawl/index findings from content quality and authority. Do not invent ranking-factor weights or promise ranking changes.4. Fix the source and re-run the same checks. For indexation or ranking outcomes, report that search-engine validation remains pending.

该技能明确限制结构化数据只能描述页面上可见且真实的内容，并说明语法通过不保证搜索引擎展示富媒体结果。这降低了把示例中的公司、价格、评分或评论误当成真实数据的风险。

查看原文
SKILL.md:256来自说明文档打开原文件
Read [the structured data reference](references/STRUCTURED-DATA.md) when the user requests schema markup or an audit surfaces a structured-data issue. It contains Organization, Article, Product, FAQ, and Breadcrumb examples plus validation links.* **Describe visible, accurate content.** Do not add a type or claim solely to obtain a rich result.* **Use the most specific applicable type.** Keep identifiers and absolute URLs stable across renders.* **Validate rendered output.** Passing syntax does not guarantee search-engine eligibility or display.
references/STRUCTURED-DATA.md:3来自说明文档打开原文件
Use the type that matches the page's visible content and current search-feature eligibility. These examples are starting points; verify required and recommended properties against maintained Google Search and Schema.org documentation.

对于 AI 爬虫和 WebMCP，该技能强调按产品分别判断，并仅在应用确有可公开操作且用户要求集成时添加工具；它没有把 AI 可抓取性等同于排名或引用保证。

查看原文
SKILL.md:266来自说明文档打开原文件
* **Lighthouse Agentic Browsing** measures technical signals that help an assistant understand and interact with the rendered page. Current checks include the agent-facing accessibility tree, optional `llms.txt`, and WebMCP registrations, schemas, and form coverage when present.* **Search indexing and ranking** depend on search-engine systems and cannot be inferred from the Agentic Browsing score.* **AI ingestion or citation** is product-specific. A technically browsable page or valid `llms.txt` file does not prove that an AI product will ingest, rank, or cite it.Prioritize semantic HTML, descriptive labels, crawlable content, accurate metadata, and clear page structure because they benefit people, search engines, and agents. Add WebMCP tools only when the application has useful actions to expose and the user wants that integration; validate tool names, descriptions, schemas, and form annotations with Lighthouse.

提供的文件只有说明、配置片段和结构化数据示例；没有安装步骤、可执行脚本、凭据读取或数据上传实现。是否会访问网络或修改网站，取决于承载代理如何执行这些指令。

查看原文
SKILL.md:393来自说明文档打开原文件
## Tools| Tool | Use ||------|-----|| Google Search Console | Monitor indexing, fix issues || Google PageSpeed Insights | Performance + Core Web Vitals || Rich Results Test | Validate structured data || Live Lighthouse audit (Chrome DevTools MCP: `lighthouse_audit`) | Rendered SEO and Agentic Browsing checks for agents || Lighthouse CLI | SEO audit fallback || Screaming Frog | Crawl analysis |
从这里开始 · 工作说明SKILL.md
seo
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。 另有 2 个章节，可在原文件中查看。

文件引用关系图

1 处引用
哪些文件发起引用引用了什么
连线表示真实的文件引用，不是运行顺序。点击节点可高亮相关连线，并查看具体文件和原文位置。虚线表示还有文件需要定位。
文件与检查记录2 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文
  • references/STRUCTURED-DATA.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明
  • references/STRUCTURED-DATA.md配套文件

代码和说明中提到的操作

连接外部网站
SKILL.md:53来自说明文档打开原文件
Sitemap: https://example.com/sitemap.xml```
SKILL.md:74来自说明文档打开原文件
<!-- Prevent duplicate content issues --><link rel="canonical" href="https://example.com/page">
SKILL.md:77来自说明文档打开原文件
<!-- Self-referencing canonical (recommended) --><link rel="canonical" href="https://example.com/current-page">
读取了多少行
564
文件校验值（用于核对版本）
b89bdf1549bfdc69f43db5806c3e67b8bdcd4a7955bf1cb36a57cf444107ba1b