跳转到正文
skillsafebeta
← 报告库
用途分类 / 其他用途

Web Perf Skill 安全审计

作者说它能做什么（原文）

Audit, diagnose, or optimize website loading and interaction performance, Core Web Vitals, and Lighthouse performance scores.

第三方安全检查结论

发现安全风险

已检查文件
1
发现的风险
2
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。发现 1 项风险
中风险

可选安装示例会直接执行未固定版本的远程 npm 包

原文依据：3 处
发现了什么

配置示例使用 `npx -y chrome-devtools-mcp@latest`。`-y` 会自动接受安装，而 `@latest` 会随发布变化，因此将来执行的代码没有固定到已审查版本。技能确实限定只有在用户要求安装且配置变更已获授权时才这样做，但这不能消除远程包更新或依赖被入侵的供应链风险。

为什么需要注意

如果用户采用此配置，启动 MCP 服务时可能下载并以用户权限执行当时的最新版包及其依赖；恶意或被入侵的版本可能读取该账户可访问的文件、令牌或浏览器数据。

这是可选且有条件的安装示例：仅当用户要求设置且配置变更属于授权范围时才适用。实际采用示例会让 `npx -y` 无需再次确认便获取并运行 `chrome-devtools-mcp@latest`；`latest` 未固定到已审查版本，因此执行内容可能随未来发布变化。用户可要求作者固定具体版本并提供包来源与版本审查说明。

SKILL.md:22来自说明文档打开原文件
If the user wants Chrome DevTools MCP setup, consult its [installation guide](https://github.com/ChromeDevTools/chrome-devtools-mcp#quick-start) and use the latest package version. Only change MCP configuration when setup is within the user's authorized scope; otherwise ask first. For clients using `command` and `args`, an example server entry is:
查看另外 2 个位置
SKILL.md:24来自说明文档打开原文件
```json"chrome-devtools": {  "command": "npx",  "args": ["-y", "chrome-devtools-mcp@latest"]}```
SKILL.md:26来自说明文档打开原文件
"chrome-devtools": {  "command": "npx",  "args": ["-y", "chrome-devtools-mcp@latest"]}
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。未发现风险
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。发现 1 项风险
中风险

一次跟踪中没有请求就被当作可明确删除的依据

原文依据：3 处
发现了什么

技能称某来源在观察到零请求时“明确未使用”并建议删除，同时要求明确陈述结论。一次页面加载并不能覆盖其他路由、登录状态、同意选择、设备条件、错误处理或延迟触发的功能，因此这个结论可能超出实际验证范围。

为什么需要注意

如果用户依据该建议删除预连接配置，未被审计场景中的加载性能可能下降。该技能本身只要求提出建议；只有用户随后采纳建议才会改变配置。

技能要求先验证再建议删除，但又把观察到零请求称为“明确未使用”。这只证明本次已观察的加载中没有请求，不能证明其他页面、登录状态、用户同意、设备条件或稍后触发的功能也不会使用该来源。若据此删除预连接，可能损害未测试场景的性能；用户可要求作者把结论限定在已测试场景，并在多条关键路径验证后再建议删除。

SKILL.md:33来自说明文档打开原文件
- **Be assertive**: Verify claims by checking network requests, DOM, or codebase—then state findings definitively.- **Verify before recommending**: Confirm something is unused before suggesting removal.- **Quantify impact**: Use estimated savings from insights. Don't prioritize changes with 0ms impact.
查看另外 2 个位置
SKILL.md:126来自说明文档打开原文件
5. **Large payloads**: Uncompressed or oversized JS/CSS bundles6. **Unused preconnects**: If flagged, verify by checking if ANY requests went to that origin. If zero requests, it's definitively unused—recommend removal. If requests exist but loaded late, the preconnect may still be valuable.
SKILL.md:114来自说明文档打开原文件
List all network requests to identify optimization opportunities:```list_network_requests(resourceTypes: ["Script", "Stylesheet", "Document", "Font", "Image"])```
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。未发现风险

Skill 逻辑拆解

7 个说明模块

该技能会先发现可用的浏览器和性能工具；如果跟踪工具不可用，它仍会进行有限分析并说明无法获得的测量结果。

查看原文
SKILL.md:20来自说明文档打开原文件
Discover available browser and performance tools before starting. Use the capabilities available for the requested audit. If trace tools are unavailable, continue any useful source or network analysis and state which measurements could not be collected.

其主要流程会打开用户指定的网址、重新加载页面并记录性能跟踪，然后检查页面发出的脚本、样式、文档、字体和图片请求。目标网址及其请求会因此暴露给所使用的浏览器和远程站点，这是该审计功能的正常组成部分。

查看原文
SKILL.md:66来自说明文档打开原文件
1. Navigate to the target URL:   ```   navigate_page(url: "<target-url>")   ```2. Start a performance trace with reload to capture cold-load metrics:   ```   performance_start_trace(autoStop: true, reload: true)   ```
SKILL.md:114来自说明文档打开原文件
List all network requests to identify optimization opportunities:```list_network_requests(resourceTypes: ["Script", "Stylesheet", "Document", "Font", "Image"])```

在获得代码库访问权时，该技能还会读取配置文件、package.json、构建脚本及相关源代码模式，以识别框架和优化机会；审计第三方站点且没有代码访问权时应跳过此阶段。

查看原文
SKILL.md:146来自说明文档打开原文件
## Phase 5: Codebase Analysis**Skip if auditing a third-party site without codebase access.**Analyze the codebase to understand where improvements can be made.
SKILL.md:168来自说明文档打开原文件
Also check `package.json` for framework dependencies and build scripts.

该技能的预期产出是性能指标摘要、按优先级排列的问题、具体修复建议和可选的代码库发现；提供的文本没有指示它自动实施这些修复。

查看原文
SKILL.md:194来自说明文档打开原文件
## Output FormatPresent findings as:1. **Core Web Vitals Summary** - Table with metric, value, and rating (good/needs-improvement/poor)2. **Top Issues** - Prioritized list of problems with estimated impact (high/medium/low)3. **Recommendations** - Specific, actionable fixes with code snippets or config changes4. **Codebase Findings** - Framework/bundler detected, optimization opportunities (omit if no codebase access)
从这里开始 · 工作说明SKILL.md
web-perf
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。
文件与检查记录1 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明

代码和说明中提到的操作

连接外部网站
SKILL.md:14来自说明文档打开原文件
|--------|----------------|---------|| web.dev | `https://web.dev/articles/vitals` | Core Web Vitals thresholds, definitions || Chrome DevTools docs | `https://developer.chrome.com/docs/devtools/performance` | Tooling APIs, trace analysis |
SKILL.md:15来自说明文档打开原文件
| web.dev | `https://web.dev/articles/vitals` | Core Web Vitals thresholds, definitions || Chrome DevTools docs | `https://developer.chrome.com/docs/devtools/performance` | Tooling APIs, trace analysis || Lighthouse scoring | `https://developer.chrome.com/docs/lighthouse/performance/performance-scoring` | Score weights, metric thresholds |
SKILL.md:16来自说明文档打开原文件
| Chrome DevTools docs | `https://developer.chrome.com/docs/devtools/performance` | Tooling APIs, trace analysis || Lighthouse scoring | `https://developer.chrome.com/docs/lighthouse/performance/performance-scoring` | Score weights, metric thresholds |
读取了多少行
202
文件校验值（用于核对版本）
9730f7964571e79d60a25c3424445d20a6af282ed8e275037d9f8d43fdc0ed5f