跳转到正文
skillsafebeta
← 报告库
用途分类 / 其他用途

Cro Skill 安全审计

作者说它能做什么（原文）

When the user wants to optimize, improve, or increase conversions on any marketing page or form — including homepage, landing pages, pricing pages, feature pages, lead capture forms, or contact forms. Also use when the user says 'CRO,' 'conversion rate optimization,' 'this page isn't converting,' 'improve conversions,' 'why isn't this page working,' 'my landing page sucks,' 'form abandonment,' 'no

第三方安全检查结论

发现安全风险

已检查文件
4
发现的风险
3
会不会运行危险命令？检查是否下载程序后直接运行、让他人远程控制电脑，或藏起要运行的命令。未发现风险
会不会泄露文件和密钥？检查是否发送含密码或密钥的文件，以及代码里是否直接写了密钥。发现 1 项风险
中风险

建议可能扩大访客追踪并把表单数据交给补全服务

原文依据：4 处
发现了什么

指南建议逐字段追踪用户行为、根据访客数据个性化内容，并在提交后使用 Clearbit 等服务补全信息。它没有要求先确定数据最小化、同意、保留期限或第三方传输规则。

为什么需要注意

实施后可能增加个人数据和行为数据的收集，并把邮箱或推断出的公司信息交给第三方；这会增加隐私、合规和数据泄露风险。

这些是优化建议而非自动执行代码，但它们明确建议逐字段记录交互、按访客群体个性化，以及从邮箱域推断信息或交给 Clearbit 等补全服务。实施时可能扩大行为监测或向第三方传送、推断个人/企业数据，而指南未同时要求同意、最小化、保留期限或供应商审查。用户可要求仅采用必要事件、禁止敏感字段内容采集，并在启用补全或个性化前完成隐私与合规审查。

references/form.md:294来自说明文档打开原文件
### What to Track- Form views- First field focus- Each field completion- Errors by field- Submit attempts- Successful submissions
查看另外 3 个位置
references/form.md:79来自说明文档打开原文件
### Company/Organization- Auto-suggest for faster entry- Enrichment after submission (Clearbit, etc.)- Consider inferring from email domain
references/experiments.md:234来自说明文档打开原文件
|------|------------|| Chat widget | Impact on conversions || Cookie consent UX | Minimize friction || Page load speed | Performance vs. features || Mobile experience | Responsive optimization || Accessibility | Impact on conversion || Personalization | Dynamic content by segment |
references/experiments.md:232来自说明文档打开原文件
| Test | Hypothesis ||------|------------|| Chat widget | Impact on conversions || Cookie consent UX | Minimize friction || Page load speed | Performance vs. features || Mobile experience | Responsive optimization || Accessibility | Impact on conversion || Personalization | Dynamic content by segment |
会不会删除文件或一直在后台运行？检查是否大范围删除文件、改写磁盘，或设置自动启动。未发现风险
会不会绕过安全保护？检查是否跳过网站安全验证、开放过多文件权限，或取消操作前的确认。未发现风险
会不会误导 AI 或隐藏内容？检查工作说明是否要求 AI 忽略你的指令、干扰检查结果，或夹带看不见的文字。发现 1 项风险
中风险

项目营销文件可能把提示注入带入代理上下文

原文依据：2 处
发现了什么

Skill 要求代理读取固定路径下的项目文件并“使用该上下文”，但没有要求把其中内容仅视为数据、忽略命令或防范提示注入。能修改仓库文件的人可在这些文件中放入与 CRO 无关的指令。

为什么需要注意

若代理遵从嵌入指令，分析结果可能被操纵；在代理同时拥有文件、网络或账户工具的环境中，还可能诱导其尝试超出页面分析范围的操作。

该 Skill 的有效指令要求代理在回答前读取仓库中的固定营销文件，并直接“使用该上下文”，却没有说明应把文件内容仅当作资料而非指令。若仓库贡献者可修改这些文件，嵌入其中的提示可能影响代理行为，超出用户请求的 CRO 分析范围。风险取决于这些文件是否存在及其内容；引文不证明注入已经发生。用户可要求作者加入明确的非可信数据边界，并限制读取范围。

SKILL.md:14来自说明文档打开原文件
**Check for product marketing context first:**If `.agents/product-marketing.md` exists (or `.claude/product-marketing.md`, or the legacy `product-marketing-context.md` filename, in older setups), read it before asking questions. Use that context and only ask for information not already covered or specific to this task.
查看另外 1 个位置
references/form.md:7来自说明文档打开原文件
**Check for product marketing context first:**If `.agents/product-marketing.md` exists (or `.claude/product-marketing.md` in older setups), read it before asking questions. Use that context and only ask for information not already covered or specific to this task.
会不会偷偷改推广链接或收款方？检查是否强制替换推广链接或收款对象，同时要求隐瞒更改。发现 1 项风险
中风险

转化建议可能导致未经核实的隐私保证、社会证明或“推荐方案”标识

原文依据：6 处
发现了什么

指南提供“绝不分享信息”“不会分享号码”等保证，并建议使用客户数量、徽章、评价及“最受欢迎”方案标识，但没有要求先验证这些说法真实、可证明且符合实际数据处理和购买行为。

为什么需要注意

如果直接发布不准确的保证或标识，客户可能在错误信息下提交数据或购买方案；用户可能面临投诉、退款、监管或声誉损失。

指南把“绝不分享你的信息”“不会分享你的号码”等绝对隐私承诺作为可用文案，同时建议客户标识、评价、具体数字及“推荐方案”标记，却未要求先核对真实的数据处理方式、客户授权、评价来源或实际购买分布。若用户照搬，访客可能基于无法兑现或缺乏依据的声明作出提交资料或购买决定。用户可要求所有保证和社会证明在发布前由隐私、法务及证据所有者确认，并把方案标签标明为编辑推荐或用真实销量支撑。

references/form.md:220来自说明文档打开原文件
### Near the Form- Privacy statement: "We'll never share your info"- Security badges if collecting sensitive data- Testimonial or social proof- Expected response time### Reducing Perceived Effort- "Takes 30 seconds"- Field count indicator- Remove visual clutter- Generous white space### Addressing Objections- "No spam, unsubscribe anytime"- "We won't share your number"- "No credit card required"
查看另外 5 个位置
references/form.md:232来自说明文档打开原文件
### Addressing Objections- "No spam, unsubscribe anytime"- "We won't share your number"- "No credit card required"
SKILL.md:48来自说明文档打开原文件
**Strong headline patterns:**- Outcome-focused: "Get [desired outcome] without [pain point]"- Specificity: Include numbers, timeframes, or concrete details- Social proof: "Join 10,000+ teams who..."
references/experiments.md:68来自说明文档打开原文件
|------|------------|| Annual vs. monthly display | Highlight savings or simplify || Price points | $99 vs. $100 vs. $97 psychology || "Most Popular" badge | Highlight target plan || Number of tiers | 3 vs. 4 vs. 2 visible options || Price anchoring | Order plans to anchor expectations || Custom enterprise tier | Show vs. "Contact Sales" |
SKILL.md:74来自说明文档打开原文件
### 5. Trust Signals and Social Proof**Types to look for:**- Customer logos (especially recognizable ones)- Testimonials (specific, attributed, with photos)- Case study snippets with real numbers- Review scores and counts- Security badges (where relevant)**Placement:** Near CTAs and after benefit claims
SKILL.md:137来自说明文档打开原文件
### Pricing Page CRO- Clear plan comparison- Recommended plan indication- Address "which plan is right for me?" anxiety

Skill 逻辑拆解

8 个说明模块

该 Skill 的主要行为是分析营销页面或表单，并输出快速改进、高影响改动、A/B 测试和文案建议；所提供源码中没有脚本、安装步骤或直接执行页面修改的指令。

查看原文
SKILL.md:10来自说明文档打开原文件
You are a conversion rate optimization expert. Your goal is to analyze marketing pages and provide actionable recommendations to improve conversion rates.
SKILL.md:109来自说明文档打开原文件
Structure your recommendations as:### Quick Wins (Implement Now)Easy changes with likely immediate impact.### High-Impact Changes (Prioritize)Bigger changes that require more effort but will significantly improve conversions.### Test IdeasHypotheses worth A/B testing rather than assuming.### Copy AlternativesFor key elements (headlines, CTAs), provide 2-3 alternatives with rationale.

运行时会先检查并读取项目中的产品营销上下文文件，然后用其内容减少重复提问。

查看原文
SKILL.md:14来自说明文档打开原文件
**Check for product marketing context first:**If `.agents/product-marketing.md` exists (or `.claude/product-marketing.md`, or the legacy `product-marketing-context.md` filename, in older setups), read it before asking questions. Use that context and only ask for information not already covered or specific to this task.

该 Skill 建议收集表单浏览、字段交互、错误和提交等细粒度行为指标，并可能使用数据补全或个性化。

查看原文
references/form.md:294来自说明文档打开原文件
### What to Track- Form views- First field focus- Each field completion- Errors by field- Submit attempts- Successful submissions
references/form.md:79来自说明文档打开原文件
### Company/Organization- Auto-suggest for faster entry- Enrichment after submission (Clearbit, etc.)- Consider inferring from email domain
从这里开始 · 工作说明SKILL.md
cro
连线表示工作说明包含的模块，不是实际运行顺序。点击模块可查看原文。

文件引用关系图

2 处引用
哪些文件发起引用引用了什么
连线表示真实的文件引用，不是运行顺序。点击节点可高亮相关连线，并查看具体文件和原文位置。虚线表示还有文件需要定位。
文件与检查记录4 个文件

检查范围与遗漏

逐文件查看涉及的内容

下方列出本次涉及的原文范围；纳入检查不代表已查清所有问题。

  • SKILL.md已纳入全文
  • references/experiments.md已纳入全文
  • references/form.md已纳入全文
  • evals/evals.json已纳入全文

这份报告只针对上方版本。我们看了拿到的代码和说明文件，没有实际运行 Skill，也没有检查它另外安装的软件包。因此，这不是“保证安全”的承诺；换了版本或使用环境，结果也可能不同。

  • SKILL.md工作说明
  • evals/evals.json配套文件
  • references/experiments.md配套文件
  • references/form.md配套文件

代码和说明中提到的操作

连接外部网站
evals/evals.json:6来自说明文档打开原文件
      "id": 1,      "prompt": "Here's my SaaS landing page: https://example.com/product. We get about 5,000 visitors/month from Google Ads but only 1.2% convert to free trial signups. Can you help me figure out what's wrong?",      "expected_output": "Should check for product-marketing.md first. Should identify page type (landing page) and conversion goal (free trial signup). Should analyze across the CRO framework dimensions: value proposition clarity, headline …
读取了多少行
972
文件校验值（用于核对版本）
d0bca2e52f036b51efa320e0128841261e226bec17ec7b88f23870d07a0d7b0b